Yurt Dışına Kişisel Veri Aktarımı: Yeterlilik, Güvenceler ve İstisnalar

1. Konunun Genel Çerçevesi

Bulut tabanlı yazılımlar, yurt dışındaki grup şirketleriyle ortak kullanılan insan kaynakları sistemleri, e-posta hizmetleri ve uluslararası müşteri yönetim platformları, günümüzde neredeyse her işletmeyi yurt dışına kişisel veri aktaran bir veri sorumlusu hâline getirmektedir. Verinin yurt dışındaki bir sunucuda barındırılması veya yurt dışından erişilebilir olması da aktarım olarak değerlendirilebilmektedir.

7499 sayılı Kanun ile 2024 yılında KVKK m.9 köklü biçimde değiştirilmiştir. Önceki düzenlemede yaygın olarak başvurulan açık rıza, artık temel aktarım aracı değildir. Yeni sistem; yeterlilik kararı, uygun güvenceler ve arızi aktarım istisnaları şeklinde kademeli bir yapı öngörmektedir.

2. Hukuki Dayanak

• KVKK m.9 (kişisel verilerin yurt dışına aktarılması; 7499 sayılı Kanun ile değişik)
• KVKK m.5 ve KVKK m.6 (işleme şartları; aktarımın öncelikle bu şartlardan birine dayanması gerekmektedir)
• KVKK m.18 (standart sözleşmenin bildirilmemesine ilişkin idari para cezası dâhil kabahatler)
• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik
• Kişisel Verileri Koruma Kurulu tarafından ilan edilen standart sözleşme metinleri

3. Kanundaki Düzenleme

Yeterlilik Kararı

Kişisel veriler, KVKK m.5 veya KVKK m.6 kapsamındaki işleme şartlarından birinin bulunması ve aktarımın yapılacağı ülke, ülke içindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması hâlinde yurt dışına aktarılabilmektedir. Yeterlilik kararını Kurul vermektedir ve karar Resmî Gazete'de yayımlanmaktadır. Yeterlilik kararlarının güncel durumunun aktarım tarihinde kontrol edilmesi gerekmektedir.

Uygun Güvenceler

Yeterlilik kararının bulunmaması hâlinde, işleme şartlarından birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânına sahip olması kaydıyla, aşağıdaki güvencelerden biriyle aktarım yapılabilmektedir:

• Kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile yabancı ülke kamu kurumları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmalar (Kurul izniyle)
• Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları ve Kurul tarafından onaylanan bağlayıcı şirket kuralları
• Kurul tarafından ilan edilen, veri kategorileri, aktarımın amaçları, alıcı ve alıcı grupları, alıcı tarafından alınacak teknik ve idari tedbirler ile özel nitelikli veriler için alınan ek önlemleri içeren standart sözleşme
• Yeterli korumayı sağlayacak hükümlere yer verilen yazılı bir taahhütname (Kurul izniyle)

Standart sözleşme, imzalanmasından itibaren 5 iş günü içinde veri sorumlusu veya veri işleyen tarafından Kurum'a bildirilmektedir. Standart sözleşme metni, Kurul'un ilan ettiği biçimde ve değiştirilmeden kullanılmalıdır.

Arızi Aktarım İstisnaları

Yeterlilik kararı ve uygun güvence bulunmaması hâlinde, yalnızca arızi olmak kaydıyla Kanun'da sayılan sınırlı hâllerde aktarım yapılabilmektedir. Bu hâller arasında; olası riskler hakkında bilgilendirilmek kaydıyla ilgili kişinin açık rızası, ilgili kişiyle veri sorumlusu arasındaki sözleşmenin ifası için zorunluluk, bir hakkın tesisi, kullanılması veya korunması için zorunluluk ve hayati menfaatlerin korunması gibi durumlar yer almaktadır. Arızi aktarım, düzenli ve süreklilik arz eden aktarımlar için kullanılamamaktadır.

4. Uygulamada Süreç

1. Aktarım haritası: Kullanılan yazılım ve hizmetlerin sunucu konumları, alt yüklenicileri ve yurt dışından erişim imkânları tespit edilmektedir.
2. İşleme şartının belirlenmesi: Her aktarım için öncelikle KVKK m.5 veya KVKK m.6 kapsamında bir hukuki sebebin bulunduğu tespit edilmektedir.
3. Yeterlilik kararı kontrolü: Aktarımın yapılacağı ülke veya sektör hakkında yürürlükte bir yeterlilik kararı bulunup bulunmadığı araştırılmaktadır.
4. Güvence mekanizmasının seçilmesi: Karar bulunmamaktaysa, aktarımın niteliğine uygun standart sözleşme modülü seçilmekte veya grup içi aktarımlar için bağlayıcı şirket kuralları değerlendirilmektedir.
5. İmza ve bildirim: Standart sözleşme imzalanmakta ve 5 iş günü içinde Kurum'a bildirilmektedir.
6. Aydınlatma ve sicil: Aydınlatma metinleri ile VERBİS kaydındaki yurt dışı aktarım bilgileri güncellenmektedir.
7. İzleme: Hizmet sağlayıcının değişmesi, yeni bir alt yüklenici eklenmesi veya sunucu konumunun değişmesi hâlinde değerlendirme yenilenmektedir.

5. Görevli ve Yetkili Mahkeme veya Merci

Yeterlilik kararı vermek, bağlayıcı şirket kurallarını onaylamak, taahhütnamelere izin vermek ve standart sözleşme bildirimlerini almak konusunda yetkili merci Kişisel Verileri Koruma Kurulu ve Kurumu'dur. Aktarım kurallarına aykırılık nedeniyle verilen idari para cezalarına ve Kurul'un diğer işlemlerine karşı idare mahkemesinde dava açılabilmektedir. Dava açma süresi kural olarak tebliğden itibaren 60 gündür (İYUK m.7).

Hukuka aykırı aktarım nedeniyle zarara uğrayan ilgili kişi, genel hükümler çerçevesinde görevli ve yetkili hukuk mahkemesinde tazminat davası açabilmektedir.

6. Süreler ve Dikkat Edilecek Hususlar

• Standart sözleşmenin imzadan itibaren 5 iş günü içinde Kurum'a bildirilmemesi, KVKK m.18 kapsamında ayrı bir idari para cezası gerektirebilmektedir.
• Açık rıza artık yalnızca arızi aktarımlar için bir istisna olarak kullanılabilmektedir. Süreklilik arz eden bulut hizmetleri için açık rızaya dayanılması risk oluşturmaktadır.
• Yurt dışındaki alıcının veriyi başka bir ülkeye aktarması (sonraki aktarım) da Kanun ve Yönetmelik hükümlerine tabidir.
• Grup şirketleri arasındaki düzenli aktarımlarda bağlayıcı şirket kuralları, uzun vadede daha istikrarlı bir çözüm sunabilmektedir; ancak Kurul onayı süreci zaman almaktadır.
• Standart sözleşme metinlerinde yapılacak değişiklikler, sözleşmenin standart sözleşme niteliğini ortadan kaldırabilmektedir.
• Yabancı ülke mevzuatının, kamu makamlarının veriye erişimine ilişkin hükümleri de risk değerlendirmesinde dikkate alınmalıdır.

7. Sonuç

Yurt dışına veri aktarımı, 2024 değişiklikleriyle birlikte belge ve süreç yönetimi gerektiren bir alana dönüşmüştür. Yeterlilik kararı, uygun güvence ve arızi aktarım kademelerinin doğru sırayla uygulanması, standart sözleşmelerin zamanında bildirilmesi ve aktarım haritasının güncel tutulması bu alandaki uyumun temelini oluşturmaktadır.

Somut olayın özelliklerine göre ayrıca değerlendirme yapılması gerekmektedir.

8. Akademik Kaynaklar

Bu konuya ilişkin akademik çalışmalara aşağıdaki kaynaklar üzerinden ulaşabilirsiniz. Tez ve makalelerin içeriği bu sitede çoğaltılmamaktadır.

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımamaktadır.

← Kişisel Verilerin Korunması ve Veri Uyumu