77 / 84
İKTİSADİ KALKINMA VAKFI DERGİSİ
75
vuru ile Facebook ile paylaşmış olduğunu
kişisel verilerinin ABD’ye transferinin
engellenmesini istedi.
AB’de yürürlükte bulunan 95/46
sayılı Kişisel Verilerin Korunması Yö-
nergesi’nin ilgili hükümlerine istinaden
kişisel verilerin AB dışında üçüncü bir
ülkeye transferi, prensip olarak, sade-
ce ilgili üçüncü ülkenin kişisel verileri
yeterli bir şekilde korunmasını garanti
altına alan koruma mekanizmalarına
sahip olması şartı ile mümkün olabiliyor.
Ayrıca söz konusu yönerge Avrupa Ko-
misyonu’na, AB sınırları dışına transfer
edilen kişisel verilerin, belirli ülkelerde
yeterli bir seviyede korumaya sahip ol-
duğu yönünde karar alabilme yetkisi de
veriyor. Komisyon, yönergenin kendisine
vermiş olduğu işbu yetkiye dayanarak
2000 yılında almış olduğu ve “Güvenli
Liman Kararı” olarak da bilinen kararı ile
ABD’nin, transfer edilen kişisel verilere
yeterli bir seviyede koruma sağladığı
değerlendirmesinde bulundu.
Bu bağlamda İrlanda Veri Koruma
Kurumu, AB hukukunun üye devletle-
rin hukuk sistemleri ile ilişkisine hakim
temel hukuki prensiplerden hareketle,
Komisyon’un ABD ile ilgili olarak almış
olduğu Güvenli Liman Kararı’nın bir üye
devlet kurumu olarak kendisi için bağla-
yıcı olduğu ve işbu sebepten ötürü ilgili
kararın içeriği ile ters düşen Schrems’in
iddiası ve talebi hakkında karar verme
yetkisinin olmadığını gerekçe göstermek
suretiyle, talebin reddine karar verdi.
Schrems’in söz konusu ret kararın ip-
tali için İrlanda Yüksek Mahkemesine
dava açması üzerine yüksek mahkeme
ABAD’dan, Komisyon’un Güvenli Liman
Kararı’na rağmen ulusal veri koruma
otoritelerinin Komsiyon kararında yer
alan değerlendirmenin aksini iddia eden
bu tarz başvuruları inceleme ve yapılan
inceleme neticesinde gerekli görmesi
durumunda verilerin transferini engel-
leme yetkisinin bulunup bulunmadığı
hususunda bir karar vermesini istedi.
Dava önüne gelen ABAD, ilk olarak
İrlanda İdare Mahkemesi’nin sorusunu
cevaplarken ardından Komsiyon’un Gü-
venli Liman Kararı’nın geçerliliğini sor-
guladı. Mahkemenin sorusuna vermiş ol-
duğu cevabı, teknik hukuki tartışmalara
çok fazla girmeden özetleyecek olur isek
ABAD kısaca, Komisyon kararının varlı-
ğının ulusal otoritelerin benzer talepleri
inceleme yetkisini sınırlandıramayacağı-
nı belirtti. Buna gerekçe olarak da kişisel
verilerin ulusal otoriteler tarafından et-
kin bir biçimde korunmasının sadece bir
yetkiden ibaret olmadığını, bunun yanı
sıra ulusal otoritelerin üçüncü ülkeler
ile paylaşılan kişisel verilere sağlanan
korumanın Avrupa Temel Haklar Şartı
ve Kişisel Verilerin Korunması Yöner-
gesi’nin ön gördüğü temel prensiplere
uyumlu olup olmadığını irdeleme görev
ve yükümlüğünde olduğunu belirtti. Baş-
ka bir değişle ABAD’a göre, Komisyon’un
Güvenli Liman Kararı’na rağmen İrlanda
Veri Koruma Kurumu, Schrems’in talebi-
ni değerlendirmeye almak ve ABD’de yü-
rürlükte bulunan hukuki rejimin haliha-
zırda kişisel verilere yeterli düzeyde bir
koruma sağlayıp sağlamadığını inceleme
yükümlülüğünün bulunduğunun kabul
edilmesi gerekiyor. Bununla birlikte AB
hukukuna göre ulusal mahkemelerin
bir AB düzenlemesini iptal etme şansı
bulunmadığından dolayı, ilk olarak İr-
landa Yüksek Mahkemesi’nin sormuş
olduğu soruyu cevaplandıran ABAD,
yukarıda da belirttiğimiz üzere ikinci
olarak Komisyon kararının geçerliliğini
de sorguladı. ABAD’a göre Komisyon
öncelikle Güvenli Liman Kararı’nı alırken
ABD’de yürürlükte olan kişisel verilerin
korunmasını amaçlayan mevzuatın fi-
iliyatta nasıl uygulandığı ile ilgili yeterli
inceleme yapmadı. Ayrıca ABAD, Güvenli
Liman Kararı’nın ABD’ye transferi yapı-
lan kişisel verilerin Avrupa Temel Haklar
Şartı ve Kişisel Verilerin Korunması Yö-
nergesi’nin ön görmüş olduğu seviyede
bir korumadan yararlanacağını garanti
altına alacak mekanizmalardan yoksun
olduğuna da vurgu yapmak suretiyle Gü-
venli Liman Kararı’nın geçersiz olduğuna
hükmetti. Dolayısı ile İrlanda Veri Koruma
Kurulu’nun, Schrems ve Schrems ile aynı
pozisyonda bulunan AB vatandaşlarının
benzer taleplerini değerlendirmeye al-
mak ve işbu taleplere temel teşkil eden
iddiaları büyük bir ciddiyetle incelemek
ile yükümlü olduğunun kabul etmesi
gerekiyor. Kurulun, yapacağı inceleme
neticesinde iddia edildiği üzere ABD’de
yürürlükte olan mevcut hukuki ve idari
rejimin ön görmüş olduğu korumanın,
AB hukukunun ön görmüş olduğu seviye
ile karşılaştırıldığında yetersiz olduğuna
kanaat getirmesi durumunda ise AB’den
ABD’ye veri transfer akışı askıya alınacak.
Her ne kadar ilgili karar dava özelinde
AB’den ABD’ye kişisel verilerin transferi
ile ilgili olsa da genel perspektifte işbu
kararın sonucu olarak, AB üyesi 28 dev-
letin ulusal veri koruma kurumları, birlik
vatandaşlarının kişisel verilerinin özel-
likle Avrupa Temel Haklar Şartı ve Kişisel
Verilerin Korunması Yönergesi’nin ortaya
koymuş olduğu temel prensiplere uygun
olarak korunmasını garanti altına almak
ve konu ile ilgili şikayetleri değerlendir-
mekle yükümlü oldukları net bir şekilde
ortaya konuyor.
■