معدَّلة: 2/3/2024، القانون رقم 7499، المادة 34
(1) يجوز للمسؤولين عن البيانات ومعالجي البيانات نقل البيانات الشخصية إلى الخارج في حال توافر أحد الشروط المبينة في المادتين 5 و6، ووجود قرار كفاية بشأن الدولة أو القطاعات داخل الدولة أو المنظمات الدولية التي سيتم النقل إليها.
(2) يصدر المجلس قرار الكفاية ويُنشَر في الجريدة الرسمية. ويستطلع المجلس رأي المؤسسات والهيئات المعنية عند الحاجة. ويُعاد تقييم قرار الكفاية مرة كل أربع سنوات على الأكثر. ويجوز للمجلس، نتيجةً للتقييم أو في الحالات الأخرى التي يراها ضرورية، تعديل قرار الكفاية أو تعليقه أو إلغاؤه بأثر مستقبلي.
(3) تُراعى بصفة أولية، عند إصدار قرار الكفاية، المسائل التالية:
a) حالة المعاملة بالمثل في نقل البيانات الشخصية بين تركيا والدولة أو القطاعات داخل الدولة أو المنظمات الدولية التي ستُنقل إليها البيانات الشخصية.
b) التشريعات ذات الصلة وممارساتها في الدولة التي ستُنقل إليها البيانات الشخصية، والقواعد التي تخضع لها المنظمة الدولية التي ستُنقل إليها البيانات الشخصية.
c) وجود هيئة مستقلة وفعالة لحماية البيانات في الدولة التي ستُنقل إليها البيانات الشخصية أو التي تخضع لها المنظمة الدولية، وتوافر سبل التظلم الإدارية والقضائية.
ç) كون الدولة أو المنظمة الدولية التي ستُنقل إليها البيانات الشخصية طرفًا في الاتفاقيات الدولية المتعلقة بحماية البيانات الشخصية أو عضوًا في المنظمات الدولية ذات الصلة.
d) كون الدولة أو المنظمة الدولية التي ستُنقل إليها البيانات الشخصية عضوًا في المنظمات العالمية أو الإقليمية التي تكون تركيا عضوًا فيها.
e) الاتفاقيات الدولية التي تكون تركيا طرفًا فيها.
(4) في حال عدم وجود قرار كفاية، يجوز للمسؤولين عن البيانات ومعالجي البيانات نقل البيانات الشخصية إلى الخارج في حال توافر أحد الشروط المبينة في المادتين 5 و6، شريطة أن تتاح لصاحب البيانات في الدولة التي سيتم النقل إليها أيضًا إمكانية ممارسة حقوقه واللجوء إلى سبل انتصاف قانونية فعالة، إذا وفّر الأطراف إحدى الضمانات المناسبة المبينة أدناه:
a) وجود اتفاق لا يرقى إلى مرتبة الاتفاقية الدولية بين المؤسسات والهيئات العامة أو المنظمات الدولية في الخارج وبين المؤسسات والهيئات العامة أو المنظمات المهنية ذات الطابع المؤسسي العام في تركيا، وإذن المجلس بالنقل.
b) وجود قواعد ملزمة للشركات، يوافق عليها المجلس، تتضمن أحكامًا بشأن حماية البيانات الشخصية، وتلتزم بها الشركات المنضوية في مجموعة منشآت تمارس نشاطًا اقتصاديًا مشتركًا.
c) وجود عقد نموذجي يعلنه المجلس، يتضمن مسائل مثل فئات البيانات وأغراض نقل البيانات والمتلقين ومجموعات المتلقين والتدابير الفنية والإدارية التي يتخذها متلقي البيانات والتدابير الإضافية المتخذة بشأن البيانات الشخصية ذات الطبيعة الخاصة.
ç) وجود تعهد مكتوب يتضمن أحكامًا تكفل الحماية الكافية، وإذن المجلس بالنقل.
(5) يُبلَّغ العقد النموذجي إلى الهيئة من قِبل المسؤول عن البيانات أو معالج البيانات خلال خمسة أيام عمل من تاريخ توقيعه.
(6) في حال عدم وجود قرار كفاية وتعذّر توفير أي من الضمانات المناسبة المنصوص عليها في الفقرة 4، يجوز للمسؤولين عن البيانات ومعالجي البيانات نقل البيانات الشخصية إلى الخارج، بصورة عارضة فقط، عند توافر إحدى الحالات التالية حصرًا:
a) أن يعطي صاحب البيانات موافقته الصريحة على النقل، شريطة إعلامه بالمخاطر المحتملة.
b) أن يكون النقل ضروريًا لتنفيذ عقد بين صاحب البيانات والمسؤول عن البيانات أو لتطبيق التدابير السابقة على التعاقد المتخذة بناءً على طلب صاحب البيانات.
c) أن يكون النقل ضروريًا لإبرام أو تنفيذ عقد يُبرَم بين المسؤول عن البيانات وشخص طبيعي أو اعتباري آخر لمصلحة صاحب البيانات.
ç) أن يكون النقل ضروريًا لمصلحة عامة راجحة.
d) أن يكون نقل البيانات الشخصية ضروريًا لإنشاء حق أو ممارسته أو حمايته.
e) أن يكون نقل البيانات الشخصية ضروريًا لحماية حياة أو سلامة جسد الشخص نفسه أو شخص آخر، إذا كان الشخص في وضع لا يستطيع فيه التعبير عن موافقته بسبب استحالة فعلية، أو كانت موافقته غير معترف بها قانونًا.
f) أن يتم النقل من سجل مفتوح للجمهور أو للأشخاص ذوي المصلحة المشروعة، شريطة استيفاء الشروط اللازمة للوصول إلى السجل وفقًا للتشريعات ذات الصلة وأن يطلب ذلك الشخص صاحب المصلحة المشروعة.
(7) لا تُطبَّق البنود (a) و(b) و(c) من الفقرة 6 على أنشطة المؤسسات والهيئات العامة الخاضعة للقانون العام.
(8) يكفل المسؤولون عن البيانات ومعالجو البيانات الضمانات الواردة في هذا القانون أيضًا فيما يتعلق بعمليات النقل اللاحقة للبيانات الشخصية المنقولة إلى الخارج وعمليات النقل إلى المنظمات الدولية، وتُطبَّق أحكام هذه المادة.
(9) مع عدم الإخلال بأحكام الاتفاقيات الدولية، لا يجوز نقل البيانات الشخصية إلى الخارج، في الحالات التي تتضرر فيها مصلحة تركيا أو مصلحة صاحب البيانات ضررًا جسيمًا، إلا بإذن من المجلس بعد استطلاع رأي المؤسسة أو الهيئة العامة المعنية.
(10) تبقى محفوظةً الأحكامُ الواردة في القوانين الأخرى المتعلقة بنقل البيانات الشخصية إلى الخارج.
(11) تُنظَّم الإجراءات والمبادئ المتعلقة بتطبيق هذه المادة بموجب لائحة.
النص التركي الأصلي
MADDE 9 · Kişisel verilerin yurt dışına aktarılması
(Değişik:2/3/2024-7499/34 md.)
(1) Kişisel veriler, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.
(2) Yeterlilik kararı, Kurul tarafından verilir ve Resmî Gazete’de yayımlanır. Kurul, ihtiyaç duyması halinde ilgili kurum ve kuruluşların görüşünü alır. Yeterlilik kararı, en geç dört yılda bir değerlendirilir. Kurul, değerlendirme sonucunda veya gerekli gördüğü diğer hallerde, yeterlilik kararını ileriye etkili olmak üzere değiştirebilir, askıya alabilir veya kaldırabilir.
(3) Yeterlilik kararı verilirken öncelikle aşağıdaki hususlar dikkate alınır:
a) Kişisel verilerin aktarılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar ile Türkiye arasında kişisel veri aktarımına ilişkin karşılıklılık durumu.
b) Kişisel verilerin aktarılacağı ülkenin ilgili mevzuatı ve uygulaması ile kişisel verilerin aktarılacağı uluslararası kuruluşun tâbi olduğu kurallar.
c) Kişisel verilerin aktarılacağı ülkede veya uluslararası kuruluşun tâbi olduğu bağımsız ve etkin bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının bulunması.
ç) Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, kişisel verilerin korunmasıyla ilgili uluslararası sözleşmelere taraf veya uluslararası kuruluşlara üye olma durumu.
d) Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, Türkiye’nin üye olduğu küresel veya bölgesel kuruluşlara üye olma durumu.
e) Türkiye’nin taraf olduğu uluslararası sözleşmeler.
(4) Kişisel veriler, yeterlilik kararının bulunmaması durumunda, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, aşağıda belirtilen uygun güvencelerden birinin taraflarca sağlanması halinde veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir:
a) Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi.
b) Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı.
c) Kurul tarafından ilan edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı.
ç) Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.
(5) Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.
(6) Veri sorumluları ve veri işleyenler, yeterlilik kararının bulunmaması ve dördüncü fıkrada öngörülen uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak kaydıyla sadece aşağıdaki hallerden birinin varlığı halinde yurt dışına kişisel veri aktarabilir:
a) İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi.
b) Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.
c) Aktarımın, ilgili kişi yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması.
ç) Aktarımın üstün bir kamu yararı için zorunlu olması.
d) Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması.
e) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.
f) Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılması.
(7) Altıncı fıkranın (a), (b) ve (c) bentleri, kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetlerine uygulanmaz.
(8) Veri sorumlusu ve veri işleyenler tarafından, yurt dışına aktarılan kişisel verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımlar bakımından da bu Kanunda yer alan güvenceler sağlanır ve bu madde hükümleri uygulanır.
(9) Kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir.
(10) Kişisel verilerin yurt dışına aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.
(11) Bu maddenin uygulanmasına ilişkin usul ve esaslar yönetmelikle düzenlenir.