Veri Koruma & Brexit: Avrupa Komisyonu’ndan Birleşik Krallık İçin Yeterlilik Kararları

28 Haziran 2021 tarihinde Avrupa Komisyonu (“Komisyon”), Birleşik Krallık için, biri 2016/679 sayılı Genel Veri Koruma Yönetmeliği (“General Data Protection Regulation-GDPR”) kapsamında, diğeri ise Avrupa Parlamentosu ve Konsey Direktifi (“Law Enforcement Directive-LED”) kapsamında olmak üzere iki yeterlilik kararı (“Yeterlilik Kararları”) kabul etmiştir.

Bu Yeterlilik Kararları ile kişisel verilerin artık Avrupa Birliği'nden (“AB”) Birleşik Krallık'a serbestçe aktarılabileceği ve burada AB hukuku kapsamında garanti edilen koruma düzeyine eşdeğer bir koruma düzeyinden yararlanacağı belirtilmiştir. Ayrıca, Yeterlilik Kararları’nın, kişisel bilgilerin değişimini öngören AB-Birleşik Krallık Ticaret ve İşbirliği Anlaşması'nın doğru uygulanmasını da kolaylaştıracağı vurgulanmıştır. Her iki Yeterlilik Kararının da yeterliliğin süresini dört yılla sınırlayan bir “sona erme hükmü” gibi, gelecekte fikir ayrılığı olması durumuna karşı güçlü güvenceler içerdiği belirtilmiştir.

Yeterlilik Kararları’nın Esasları

Öncelikle Komisyon, Yeterlilik Kararları ile Birleşik Krallık'ın veri koruma sisteminin, Birleşik Krallık'ın AB'ye üye devlet olduğu dönemde geçerli olan aynı kurallara tabi olmaya devam edeceğini açıklamıştır. Bununla birlikte, Birleşik Krallık’ın, GDPR ve Avrupa Parlamentosu ve Konsey Direktifi’nin ilkelerini, haklarını ve yükümlülüklerini Brexit sonrası iç hukuk sistemine tam olarak dâhil ettiği belirtilmiştir.

Komisyon, Birleşik Krallık sisteminin, Birleşik Krallık'taki kamu yetkililerinin kişisel verilere erişimi konusunda, özellikle ulusal güvenlik sebebi ile, güçlü güvenlik önlemleri sağladığını belirtmiştir. Bu önlemlere ek olarak, özellikle istihbarat makamları tarafından veri toplanmasının bağımsız bir yargı organının ön iznine tabi olduğu dile getirilmiştir. Ayrıca, Komisyon, herhangi bir önlemin gerekli ve elde edilmesi amaçlanan şeyle orantılı olması gerektiğini vurgulamakla beraber, kanuna aykırı bir şekilde gözetlendiğine inanan herhangi bir kişinin, Soruşturma Yetkileri Mahkemesi (“Investigatory Powers Tribunal”) huzurunda dava açabileceğini belirtmiştir.

Ek olarak Komisyon, Birleşik Krallık’ın, Avrupa İnsan Hakları Mahkemesi'nin yargı yetkisine de tabi olduğunu ve Avrupa İnsan Hakları Sözleşmesi'ne ilaveten veri koruma alanındaki tek bağlayıcı uluslararası anlaşma olan Kişisel Verilerin Otomatik İşlenmesine İlişkin Bireylerin Korunmasına İlişkin Avrupa Konseyi Sözleşmesi'ne de uymak zorunda olduğunu belirtmiştir. Komisyon tarafından yapılan açıklamada, bu uluslararası taahhütlerin, Yeterlilik Kararları’nda değerlendirilen yasal çerçevenin temel unsurları olduğu vurgulanmıştır.

Komisyon, ilk kez bir yeterlilik kararının, sürelerini kesin olarak sınırlayan bir “sona erme hükmü” içerdiğine dikkat çekmiştir. Bu sona erme hükmü kapsamında, Yeterlilik Kararları’nın yürürlüğe girdikten dört yıl sonra otomatik olarak sona ereceği anlamına geldiği de belirtilmiştir. Ayrıca, bu dört yıl boyunca Komisyon’un, Birleşik Krallık'taki yasal durumu izlemeye devam edeceği ve Birleşik Krallık'ın mevcut koruma seviyesinden sapması durumunda herhangi bir noktada müdahale edebileceği açıklanmakla beraber, Komisyon, bu dört yıllık süreden sonra, ancak Birleşik Krallık yeterli düzeyde veri koruması sağlamaya devam ederse, yeterlilik bulgularının yenilenebileceğini belirtmiştir.  Buna göre, Komisyon’un yeterlilik bulgusunu yenilemeye karar vermesi halinde, benimseme sürecinin yeniden başlayacağı da düzenlenmiştir.

Son olarak, Komisyon, Birleşik Krallık tarafından göçmenlik kontrolü amacıyla yapılan veri transferlerinin, Birleşik Krallık ve Galler Yüksek Mahkemeleri'nin bu alandaki veri koruma haklarının belirli kısıtlamalarının geçerliliği ve yorumlanması hakkındaki son kararını yansıtmak amacıyla GDPR kapsamında kabul edilen Yeterlilik Kararları kapsamı dışında tutulduğunu belirtmekle beraber, Komisyon, Birleşik Krallık yasalarındaki bu durum düzeltildikten sonra bu kapsam dışında bırakmayı yeniden değerlendireceğini de eklemiştir.

Yeterlilik Kararları Kabul Süreci

19 Şubat 2021’de Komisyon, iki taslak yeterlilik kararı yayımlamış ve bunların kabulü için ilgili prosedürü başlatmıştır. Bu kapsamda, Komisyon, Birleşik Krallık'taki kamu yetkililerinin verilere erişimiyle ilgili kurallar da dâhil olmak üzere, Birleşik Krallık yasasını ve kişisel verilerin korunmasına ilişkin uygulamasını dikkatle değerlendirdiğini belirtmiştir. Komisyon, 13 Nisan'da görüşünü bildiren Avrupa Veri Koruma Kurulu, Avrupa Parlamentosu ve üye devletler ile yakın temas halinde olduğu bu derinlemesine sürecin ardından, komitoloji prosedüründe üye devletlerin temsilcilerinden yeterlilik kararlarına yeşil ışık yakılmasını istemiştir. Bunun akabinde, üye devletlerin temsilcilerinin anlaşması üzerine prosedürün son adımına gelinmiş ve 28 Haziran 2021’de Yeterlilik Kararları yürürlüğe girmiştir.

Esra Temur, Ezgi Ceren Aydoğmuş