Avrupa Komisyonu, 10 Temmuz 2023 tarihinde, Avrupa Birliği ("AB") ile Amerika Birleşik Devletleri ("ABD") arasında AB ile ABD Veri Gizliliği Çerçevesi ("Çerçeve") kapsamında aktarılan kişisel veriler için yeterli koruma düzeyine ilişkin yeterlilik kararını resmen kabul etmiştir. Böylece AB ile ABD arasındaki kişisel veri aktarımları artık tam anlamıyla meşru bir hukuki dayanağa kavuşmuştur. Çerçeve, ABD'yi Avrupa Birliği Genel Veri Koruma Tüzüğünde ("GDPR") öngörülen yeterli koruma düzeyi ölçütlerini karşılayan bir ülke olarak tanıması bakımından önem taşımaktadır. Kısaca ifade etmek gerekirse Çerçeve, AB ile ABD arasında bir "veri köprüsü" kurmaktadır.
Arka Plan
ABD ile AB, daha 2000 yılında ABD'ye ve ABD'den yapılan veri aktarımlarını düzenleyen Güvenli Liman Anlaşmasını ("Anlaşma") akdetmiştir. Anlaşmanın yerini 2016 yılında "AB ile ABD Gizlilik Kalkanı" almış, Gizlilik Kalkanının yerini de bu kez Çerçeve almıştır. Çerçeve, AB ile ABD arasındaki veri aktarımları için tamamen istikrarlı tek hukuki dayanak niteliğindedir.
Çerçevenin İşleyişi
Çerçeve, Avrupa Ekonomik Alanı içinde faaliyet gösteren ABD kuruluşlarının, "Veri Gizliliği Çerçevesi Listesi"nde yer almaları ve Çerçeve ilkelerine sürekli olarak uymaları şartıyla AB'den kişisel veri aktarmalarına imkân tanımaktadır. ABD Ticaret Bakanlığı, listede yer alan kuruluşların Çerçeve ilkelerine uyumunu izleme ve uyumu sağlamak için gerekli tedbirleri alma yetkisine sahiptir. Çerçeve ayrıca ABD istihbarat servislerinin AB kaynaklı kişisel verilere erişimine sınırlar getirmektedir. ABD istihbarat servisleri bu verilere ancak mevcut mevzuatın izin verdiği hâllerde ve yalnızca millî güvenlik amacıyla erişebilmektedir.
Çerçeve, Avrupa Birliği Adalet Divanının daha önce dile getirdiği kaygıları gidermeye yönelik bağlayıcı nitelikte çeşitli güvenceler de içermektedir. Çerçeve, diğer hususların yanı sıra AB vatandaşlarının yargısal başvuru için başvurabileceği bağımsız bir mahkeme olan Veri Koruma İnceleme Mahkemesini ("Mahkeme") kurmaktadır. Mahkeme, verilerin güvencelere aykırı biçimde toplandığını tespit etmesi hâlinde söz konusu verilerin silinmesine karar verebilmektedir. Çerçevenin işleyişi, veri koruma otoriteleri ve ilgili diğer makamlar tarafından düzenli aralıklarla incelenmektedir. ABD'nin veri aktarımları bakımından güvenli bir ülke olma niteliğini yitirdiğinin değerlendirilmesi hâlinde Avrupa Komisyonu, ilgili ABD makamlarına bildirimde bulunarak Çerçevenin kapsamını daraltabilmekte, hatta Çerçeveyi yürürlükten kaldırabilmektedir.
Türkiye Bakımından Önemi
Çerçevenin etkisi, Türkiye gibi GDPR kapsamı dışında kalan ülkeleri de içine alacak şekilde geniş bir alana yayılmaktadır. Kişisel Verileri Koruma Kurumu ("Kurum"), Türk veri koruma mevzuatı uyarınca güvenli ülkeler listesini ilan etmeye yetkilidir. Ancak Kurum henüz böyle bir liste ilan etmemiştir. Bununla birlikte Kurum, Türkiye dışına veri aktarımına izin verip vermeyeceğini değerlendirirken bir dizi ölçütü dikkate almaktadır. Bu nedenle Çerçeve, Kurumun ABD'ye yapılacak veri aktarımlarına izin verilmesine ilişkin değerlendirmesini etkileyebilecektir.
Türk Veri Koruma Hukukundaki Diğer Gelişmeler
- Rekabet Kurumu ile Kişisel Verileri Koruma Kurumu arasında işbirliği: Rekabet Kurumu, 26 Ekim 2023 tarihinde Kişisel Verileri Koruma Kurumu ile İşbirliği ve Bilgi Paylaşımı Protokolü imzaladığını duyurmuştur. Protokol, büyük veri teknolojilerinin kullanımına ilişkin kaygıların giderilmesini amaçlamaktadır.
- Genetik verilerin işlenmesine ilişkin rehber: Kişisel Verileri Koruma Kurumu, 13 Ekim 2023 tarihinde Genetik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlara İlişkin Rehberi yayımlamıştır. Rehber, genetik verilerin işlenmesinde kişisel veri güvenliğinin önemini vurgulamakta ve veri sorumlularına yol göstermektedir. Rehberde genetik veri ilk kez tanımlanmıştır.
- Google için taahhütname başvurusunun onaylanması: Kişisel Verileri Koruma Kurulu, 1 Eylül 2023 tarihinde duyurulan 17 Ağustos 2023 tarihli kararıyla Google Türkiye'nin kişisel verilerin yurt dışına aktarılmasına ilişkin başvurusunu onaylamıştır.