Genel veri koruma tüzüğünde bağlayıcı şirket kuralları Avrupa Birliği hukukunda uygulama

Abstract

Teknolojik gelişmelerin taşıdığı pek çok avantaj, kişisel verilerden oluşan bir ekonomi yaratmıştır. Günümüzde kişisel verilere ekonomik bir değer biçilmekte ve büyük global kuruluşlar, bundan çıkar sağlamaktadır. Hedeflenen, veri alışverişine dayalı dijital ekosistemin işlerliğini sağlarken, kişisel veriler üstündeki kişilik haklarını da global ölçekte korumak olmalıdır. Çalışmamızda Avrupa Birliği hukukunda bu dengeyi sağlamayı hedefleyen Binding Corporate Rules incelenmiştir. Bu kuralları düzenleyip taahhüt eden grup şirketler veya ekonomik iş birliği halindeki teşebbüsler, farklı ülkelerde yer alan üyeleri arasında serbest veri akışı sağlayabilmektedir. Düzenlemeler, şeffaflığı ve şirketlerin hesap verilebilirliğini arttırırken, kişilerin mahremiyetini korumayı da taahhüt etmektedir. Binding Corporate Rules sayesinde grup şirketin farklı ülkelerde yer alan tüm üyeleri aynı veri koruma kurallarını benimsemektedir. Dolayısıyla Binding Corporate Rules düzenlemeleri Türkiye açısından da önem taşımaktadır. Öyle ki uluslararası bir grup şirketin Türkiye’deki üyesi, kendisine iletilen Binding Corporate Rules’u taahhüt edecektir. Binding Corporate Rules’un içinde taahhüt edilen hükümleri anlamak adına, çalışmamız ilk olarak Genel Veri Koruma Tüzüğü’ndeki temel ilkeleri incelemiştir. Devamında Tüzüğün Avrupa Birliği dışına veri aktarımları için öngördüğü yöntemler karşılaştırılmış ve Binding Corporate Rules’un yeri belirlenmiştir. Bu taahhüt metinlerinin tarihçesi incelenmiş ve Binding Corporate Rules ile yerel hukuk arasındaki uyuşmazlık halinde izlenecek yöntemler ortaya konmuştur. Binding Corporate Rules düzenlemelerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu ile ilişkisi ele alınmıştır. Çalışmamızın üçüncü bölümünde ise, Türk kanunlarından doğabilecek sorumluluk halleri belirlenmiştir. Gerek ilgili kişilerin tazminat istemleri gerekse idari para cezaları incelenmiştir. Üçüncü bölümün devamında Kişisel Verileri Koruma Kurumu’nun 10.04.2020 tarihindeki duyurusuyla Türk kanunları çerçevesinde düzenlediği Bağlayıcı Şirket Kuralları değerlendirilmiştir. Türk hukukuna uygun şekilde düzenlenecek Bağlayıcı Şirket Kurallarının avantajları, ne koşullarda ve hangi yöntemlerle uygulanacağı ortaya konulmuştur. Özellikle ispat aracı olarak kullanılabilmelerinin üzerinde durulmuştur. Tez çalışmasında Avrupa Birliği hukuku temel alınmıştır. Uluslararası nitelikteki İngilizce ve Almanca kaynaklar taranmıştır. İlgili görülen Avrupa Adalet Divanı, Avrupa Birliği Komisyonu, Çalışma Grupları, Avrupa Birliği Veri Koruma Kurulu ve üye devletlerin veri koruma otoriteleri kararları incelenmiştir.

The technological advancements carry many advantages. However, these advantages have created a new economy based on personal data. In this current age, an economic value is assigned to personal data and global corporations are benefitting from it. The aim shall be to ensure a safe development in the digital ecosystem whilst providing adequate protection for personality rights. This study focuses on Binding Corporate Rules in European Union Law, which aim to establish the above-mentioned balance. The group of undertakings or enterprises in joint economic activity that regulate the Binding Corporate Rules, benefit from the free movement of personal data within their group. Binding Corporate Rules provide accountability and ensure transparency in every member of the group, while also committing to protect data subjects’ privacy. By virtue of Binding Corporate Rules, same binding data protection rules are adopted in every member of said group of undertaking, regardless of them being subject to differing local regulations. Thusly the importance of Binding Corporate Rules in Turkey becomes apparent. As the compliance of the Turkish member to such Binding Corporate Rules is also going to be obligatory. In order to better grasp the individual commitments to be made under Binding Corporate Rules, this study shall begin with a general explanation regarding data protection principles. Following that, the data transfer rules under the General Data Protection Regulation shall be reviewed. Parallels between different options for appropriate safeguards for data transfers to third countries shall be drawn. In this regard, Binding Corporate Rules shall be compared to other appropriate safeguards. The history of Binding Corporate Rules shall be inspected and procedures to be followed in case of an incompatibility between the Binding Corporate Rules and local law, shall become apparent. This point shall exhibit the relation between the Binding Corporate Rules and the Turkish Law on Protection of Personal Data numbered 6698. The third chapter of this study shall focus on the liability. The data subjects’ claim for damages as well as administrative fines shall be reviewed. The third chapter shall continue with the Binding Corporate Rules as they are adopted in the Turkish Law. Such that on 10.04.2020, Turkish Data Protection Authority has introduced Binding Corporate Rules as an adequate safeguard for data transfers under the Turkish Law on Protection of Personal Data numbered 6698. Our study shall inspect the advantages of this new safeguard under Turkish Law and the requirements they shall meet to be considered legally valid. In that, their use as an evidence for compliance shall be introduced. This study is focused mainly on European Union Law. For this purpose, the international literature both in English and in German have been reviewed. Decisions from European Court of Justice have been referred to, where needed. The relevant decisions and opinions to several data protection authorities as well as European Data Protection Board have been inspected.