PayPal ve Apple Pay Türkiye’ye geri dönebilir!

Kişisel Verileri Koruma Kanunu (KVKK), PayPal ve Apple Pay’a yeşil ışık yaktı. KVKK’da değişikliğe gidildi. Buna göre, yurt dışı kuruluşlu global şirketler, bünyelerinde tuttukları kullanıcılara ait kişisel verileri kendi ülkelerinde barındırabilecek. Karar, 12 Mart 2024 tarihli Resmi Gazete’de yayımlandı. Bu durum, “PayPal ve Apple Pay’e yeşil ışık” olarak yorumlandı. Peki, PayPal Türkiye’ye geri mi dönüyor. Apple Pay Türkiye’ye geri mi dönüyor? PayPal Türkiye’ye ne zaman gelecek? PayPal Türkiye’ye dönecek mi? PayPal Apple Pay Türkiye’de açılacak mı? PayPal Türkiye’ye dönecek mi? Özellikle e-ticaret sektörünün sorduğu bu soruların cevapları haberimizde…

KVKK’da yapılan yeni değişiklikler, yurt dışında faaliyet gösteren firmaların müşteri verilerini yurt dışına aktarmalarına imkan tanıyor. Bu değişiklikten, yeterlilik kararı bulunan firmalar yararlanabilecek. KVKK’da yapılan değişiklikle global firmalar müşteri verilerini yurt dışına taşıyabilecek. Dünyanın en büyük online ödeme sistemi PayPal ve ile temassız ödeme imkanı sunan NFC tabanlı ödeme platformu Apple Pay, müşteri verilerini Türkiye’de tutmak istemiyordu. KVKK’daki değişiklikten PayPal ve Apple Pay ile birlikte X, Facebook, Instagram gibi müşteri verilerini yurt dışında tutan şirketler de yararlanabilecek. PayPal, 30 Mayıs 2016 tarihinde Türkiye’deki faaliyetlerini durdurdu. Gerekçe olarak, Bankacılık Düzenleme ve Denetleme Kurumu’na (BDDK) yapılan lisans başvurusunun reddedilmesi gösterildi.

KVKK’daki değişiklikler neler?

Kişisel Verileri Koruma Kurumu, “6698 Sayılı Kişisel Verilerin Korunması Kanununda Yapılan Değişiklikler Hakkında Kamuoyu Duyurusu” başlığı ile yaptığı açıklamada şu ifadeler yer verdi:

“Bilindiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanununa yönelik hükümler de içeren Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun, 12/3/2024 tarihli ve 32487 sayılı Resmî Gazete’de yayımlanmıştır. Söz konusu Kanunun 33 ilâ 36 ncı maddeleri ile 6698 sayılı Kanunun 6’ncı, 9’uncu ve 18’inci maddelerinde değişiklik yapılmakta ve 6698 sayılı Kanuna yeni bir geçici madde eklenmektedir.

Yapılan değişiklikler 1/6/2024 tarihinde yürürlüğe girecektir. Ancak, 6698 sayılı Kanunun kişisel verilerin yurt dışına aktarılmasına ilişkin usul ve esasları düzenleyen 9 uncu maddesinin mevcut birinci fıkrası, maddenin değiştirilen haliyle birlikte 1/9/2024 tarihine kadar uygulanmaya devam edecektir.

Bu çerçevede, söz konusu geçiş sürecinde veri sorumluları ve veri işleyenlerin yeni düzenlemelere uyum sağlamak adına hazırlık çalışmalarını titizlikle ve ivedilikle yürütmesi gerekmektedir. Kamuoyuna saygıyla duyurulur.”

PayPal ve Apple Pay’ı ilgilendiren madde

12 Mart 2024 tarihli Resmi Gazete’de yayımlanan “Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun”a göre, 6698 sayılı Kanunun 9’uncu maddesi aşağıdaki şekilde değiştirildi:

“MADDE 9- (1) Kişisel veriler, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.

(2) Yeterlilik kararı, Kurul tarafından verilir ve Resmî Gazete’de yayımlanır. Kurul, ihtiyaç duyması halinde ilgili kurum ve kuruluşların görüşünü alır. Yeterlilik kararı, en geç dört yılda bir değerlendirilir. Kurul, değerlendirme sonucunda veya gerekli gördüğü diğer hallerde, yeterlilik kararını ileriye etkili olmak üzere değiştirebilir, askıya alabilir veya kaldırabilir.

(3) Yeterlilik kararı verilirken öncelikle aşağıdaki hususlar dikkate alınır:

a) Kişisel verilerin aktarılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar ile Türkiye arasında kişisel veri aktarımına ilişkin karşılıklılık durumu.

b) Kişisel verilerin aktarılacağı ülkenin ilgili mevzuatı ve uygulaması ile kişisel verilerin aktarılacağı uluslararası kuruluşun tâbi olduğu kurallar.

c) Kişisel verilerin aktarılacağı ülkede veya uluslararası kuruluşun tâbi olduğu bağımsız ve etkin bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının bulunması.

ç) Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, kişisel verilerin korunmasıyla ilgili uluslararası sözleşmelere taraf veya uluslararası kuruluşlara üye olma durumu.

d) Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, Türkiye’nin üye olduğu küresel veya bölgesel kuruluşlara üye olma durumu.

e) Türkiye’nin taraf olduğu uluslararası sözleşmeler.

(4) Kişisel veriler, yeterlilik kararının bulunmaması durumunda, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, aşağıda belirtilen uygun güvencelerden birinin taraflarca sağlanması halinde veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir:

a) Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi.

b) Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı.

c) Kurul tarafından ilan edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı.

ç) Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.

(5) Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.

(6) Veri sorumluları ve veri işleyenler, yeterlilik kararının bulunmaması ve dördüncü fıkrada öngörülen uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak kaydıyla sadece aşağıdaki hallerden birinin varlığı halinde yurt dışına kişisel veri aktarabilir:

a) İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi.

b) Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.

c) Aktarımın, ilgili kişi yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması.

ç) Aktarımın üstün bir kamu yararı için zorunlu olması.

d) Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması.

e) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.

f) Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılması.

(7) Altıncı fıkranın (a), (b) ve (c) bentleri, kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetlerine uygulanmaz.

(8) Veri sorumlusu ve veri işleyenler tarafından, yurt dışına aktarılan kişisel verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımlar bakımından da bu Kanunda yer alan güvenceler sağlanır ve bu madde hükümleri uygulanır.

(9) Kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir.

(10) Kişisel verilerin yurt dışına aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.

(11) Bu maddenin uygulanmasına ilişkin usul ve esaslar yönetmelikle düzenlenir.”

PayPal’ın Yasak Olduğu Ülkeler

ABD merkezli PayPal, dünyanın en popüler online ödeme platformu olarak biliniyor. Aktif kullanıcı sayısı yaklaşık 430 milyon olan PayPal, bazı ülkelerde kullanılamıyor. PayPal’ın yasak olduğu ülkeler şunlar; Lübnan, Libya, Pakistan, Kuzey Kore, Suriye, İran, Irak, Sudan, Afganistan, Küba, Orta Afrika Cumhuriyeti, Haiti, Türkiye.

PayPal, 30 Mayıs 2016 tarihinde Türkiye’deki faaliyetlerini durdurdu. Gerekçe olarak, Bankacılık Düzenleme ve Denetleme Kurumu’na (BDDK) yapılan lisans başvurusunun reddedilmesi gösterildi.