Kişisel Verilerin Korunması Kanununda 2024 değişiklikleri: özel nitelikli veriler ve yurt dışına aktarım

Değişiklikle yurt dışına aktarım üç kademeye ayrıldı. İlk olarak, kanundaki işleme şartlarından birinin bulunması ve aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı bulunması hâlinde aktarım yapılabilir.

Yeterlilik kararı yoksa, işleme şartlarından birinin bulunması ve ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanabilmesi kaydıyla, kanunda sayılan uygun güvencelerden biriyle aktarım yapılabilir: bağlayıcı şirket kuralları, Kurulun ilan ettiği standart sözleşme veya yeterli korumayı sağlayan yazılı taahhütname ile Kurul izni bunlardandır. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilir.

Bu iki imkânın da bulunmadığı durumlarda, yalnızca arızi nitelikte olmak kaydıyla kanunda sayılan sınırlı hâllerde aktarım yapılabilir.

Kanunun 6. maddesi yeniden düzenlenerek özel nitelikli kişisel verilerin işlenebileceği şartlar ayrı ayrı sayıldı. Böylece önceki düzenlemede sağlık ve cinsel hayat dışındaki veriler bakımından öne çıkan kanunda öngörülme şartının yanında başka işleme şartları da tanımlandı. Hangi şartın uygulanacağı, veri türüne ve işleme amacına göre değerlendirilmelidir.

Bulut hizmeti, grup içi paylaşım veya yurt dışındaki hizmet sağlayıcılar kullanan veri sorumlularının aktarım mekanizmalarını yeni yapıya göre gözden geçirmesi gerekir. Önceki dönemde açık rızaya dayanan aktarımların yeni kademelere göre yeniden değerlendirilmesi önem taşır.