Veri Koruma & Brexit: Avrupa Komisyonu’ndan Birleşik Krallık’a Kişisel Veri Akışlarına İlişkin Süreç

19 Şubat 2021 tarihinde Avrupa Komisyonu (“Komisyon”), biri 2016/679 sayılı Genel Veri Koruma Yönetmeliği (“General Data Protection Regulation-GDPR”) ve diğeri 2016/680 sayılı Avrupa Parlamentosu ve Konsey Direktifi (“the Law Enforcement Directive-LED”) kapsamında olmak üzere, iki yeterlilik kararının kabulüne taslak kararları yayımlamak suretiyle kişisel verilerin Birleşik Krallık'a aktarılmasına ilişkin süreci başlatmıştır.

Taslak Kararların Esasları

Geçtiğimiz aylarda Komisyon, kamu yetkilileri tarafından verilere erişim kuralları da dahil olmak üzere Birleşik Krallık'ın kişisel verilerin korunmasına ilişkin yasa ve uygulamalarını dikkatlice değerlendirdiğini belirtmiştir. Neticeten, Komisyon Birleşik Krallık'ın, GDPR ve LED kapsamında garanti edilenle esasen eşdeğer bir koruma seviyesi sağladığı sonucuna varmıştır. Taslak kararlar altında ise yeterlilik kararı verildikten sonra Birleşik Krallık sisteminde yaşanabilecek herhangi bir sorunlu gelişimi ele almak için, bu tür kararların hem izlenmesi hem de gözden geçirilmesi, askıya alınması veya geri çekilmesi açısından açık ve katı mekanizmalar dahil edildiği gözlemlenmektedir.

Özellikle yakın ticari bağları sürdürmek ve suçla mücadelede konusunda etkili bir şekilde iş birliği yapmak için Avrupa Birliği (“AB-Birlik”) ile Birleşik Krallık arasında güvenli veri akışının çok önem taşımasından dolayı söz konusu sürecin başlatıldığı açıklanmıştır. AB vatandaşlarının, kanal boyunca seyahat ederken temel kişisel verilerin korunması hakkından asla taviz vermemelerinin taslak kararlarının amacı olduğu da belirtilmiştir.

Taslak kararlar tahtında özellikle orantılılık ve demokratik bir toplumdaki gereklilik kıstaslarının ele alındığı değerlendirilmektedir. Şöyle ki, orantılılık gerekliliğini karşılamak için, kişisel verilerin korunmasına yönelik istisnalar ve sınırlamalar yalnızca belirli hedeflere ulaşmak için demokratik bir toplumda kesinlikle gerekli olduğu ölçüde Birlik tarafından belirlenmiş eşdeğer menfaati sağlamalıdır. Bununla birlikte, taslak kararlar uyarınca müdahaleye izin veren söz konusu üçüncü ülkenin mevzuatı, söz konusu önlemlerin kapsamını ve uygulanmasını düzenleyen açık ve kesin kurallar belirlemeli ve verileri aktarılan kişilerin, kişisel verilerinin kötüye kullanım riskine karşı etkin bir şekilde korunması adına yeterli güvenceye sahip olması için asgari önlemleri koymalıdır.

Sıklıkla farklı sistemler arasındaki yeterlilik süreciyle yakınsamanın geliştirildiği diğer AB dışı ülkelerle karşılaştırıldığında, AB hukukunun, Birleşik Krallık'ın on yıllardır veri koruma rejimini şekillendirdiği vurgulanmış bu nedenle Birleşik Krallık’ın artık AB gizlilik kurallarına bağlı olmayacağından yeterliliğe ilişkin bulgularının geleceğin temeli olduğu belirtilmiştir.

Süreç Nasıl Devam Edecek?

Taslak kararların paylaşılmasından sonraki ilk adım olarak Avrupa Veri Koruma Kurulunun (“the European Data Protection Board-EDPB”) görüşünü bildirmesi beklenmektedir. Bunun akabinde Komisyon, AB üye devletleri temsilcilerinden onaya ilişkin sözde yeşil ışık talep edecektir. Bu prosedür tamamlandıktan sonra, Komisyon taslak iki yeterlilik kararını kabul edebilecektir.

Bahsi geçen taslak kararların kabulü itibariyle dört yıllık bir ilk dönem için geçerli olacağı ifade edilmiştir. Dört yıl sonra, Birleşik Krallık'taki koruma seviyesi yeterli olmaya devam ederse, yeterlilik bulgusunun yenilenmesinin mümkün olacağı da belirtilmiştir.

Ezgi Ceren Aydoğmuş