Yurt Dışına Kişisel Veri Aktarımı: Yöntemler ve 2024 Sonrası Dönem

Yurt dışına kişisel veri aktarımı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 9. maddesindeki 2024 değişikliğinden sonra üç basamaklı bir sisteme dayanır. Önce aktarım yapılacak ülke için yeterlilik kararı aranır; yeterlilik kararı yoksa uygun güvencelerden biri sağlanır (standart sözleşme, bağlayıcı şirket kuralları, uluslararası sözleşme niteliğinde olmayan anlaşma veya yazılı taahhütname); bunların hiçbiri mevcut değilse yalnızca kanunda sayılan arızi hallerden birinin varlığında aktarım mümkün olur. Açık rıza artık aktarımın ana yolu değildir; sadece arızi haller arasında, tek seferlik veya nadir aktarımlar için başvurulabilecek bir seçenektir.

Değişikliğin mevzuattaki dayanağı nettir. 9. maddedeki yeni düzenlemeyi de içeren kanun 12 Mart 2024 tarihli Resmî Gazete'de yayımlanmış ve 1 Haziran 2024'te yürürlüğe girmiştir. Uygulamayı somutlaştıran Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ise 10 Temmuz 2024 tarihli Resmî Gazete'de yayımlanmış ve aynı gün yürürlüğe girmiştir. Eski dönemin açık rıza esaslı 9/1 hükmü, geçiş amacıyla 1 Eylül 2024 tarihine kadar uygulanmaya devam etmiş, bu tarihten sonra tümüyle yeni sistem geçerli olmuştur. Bu nedenle 2024 sonrası dönemde kurulan aktarım yapıları, açık rızayı temel almak yerine basamaklı sisteme uygun kurgulanmalıdır.

İlk basamak olan yeterlilik kararı, Kurul'un bir ülkeyi, o ülkedeki belirli sektörleri veya uluslararası kuruluşları yeterli korumaya sahip ilan etmesiyle işler. Böyle bir karar varsa aktarım ek bir güvence gerektirmeden yapılabilir. Kurul, verdiği yeterlilik kararlarını en geç dört yılda bir gözden geçirir. Uygulamadaki kritik nokta, yeterlilik kararının henüz somut bir ülke listesine dönüşmemiş olmasıdır. Dolayısıyla bugün pratikte veri sorumlularının büyük çoğunluğu birinci basamaktan yararlanamamakta, ikinci basamak olan uygun güvencelere yönelmek zorunda kalmaktadır.

İkinci basamak olan uygun güvenceler dört seçenek içerir. Birincisi, yurt dışındaki kamu kurum ve kuruluşları ile Türkiye'deki kamu kurum ve kuruluşları arasında yapılan, uluslararası sözleşme niteliğinde olmayan anlaşma ve Kurul izni. İkincisi, aynı şirketler topluluğu içindeki grup şirketleri için Kurul tarafından onaylanan bağlayıcı şirket kuralları. Üçüncüsü, Kurul'ca yayımlanan metne uygun standart sözleşme. Dördüncüsü, standart araçları kullanamayan taraflar için hazırlanan yazılı taahhütname ve Kurul izni. Bunlardan standart sözleşme dışındaki üç yol Kurul'un ön iznini gerektirirken, standart sözleşme yalnızca sonradan bildirim yükümlülüğü doğurur.

Standart sözleşme, uygulamada en yaygın kullanılan güvence yöntemidir; çünkü önceden Kurul izni beklemeden aktarıma imkân verir. Kurul, 4 Haziran 2024 tarihli ve 2024/959 sayılı kararıyla kullanılacak standart sözleşme metinlerini kabul etmiştir. Aktaran ve alıcı tarafın hukuki sıfatına göre dört ayrı metin bulunur: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri sorumlusuna ve veri işleyenden veri işleyene aktarım. Doğru metnin seçilebilmesi için tarafların KVKK anlamında veri sorumlusu mu yoksa veri işleyen mi olduğunun net biçimde belirlenmesi gerekir; yanlış sıfat üzerine kurulan bir sözleşme geçerli bir güvence sağlamaz.

Standart sözleşmenin içeriği belirli asgari unsurları kapsar: aktarılan veri kategorileri, aktarımın amaçları, alıcı ve alıcı grupları, alıcı tarafça uygulanacak teknik ve idari tedbirler ve özel nitelikli kişisel veriler söz konusuysa alınacak ek tedbirler. Metin, tarafların yükümlülüklerini ve ilgili kişinin haklarını da düzenler. Kurul'un yayımladığı metnin esasa ilişkin hükümleri değiştirilemez; taraflar yalnızca kendilerine bırakılan ek bilgi alanlarını doldurabilir. İçeriğin metne aykırı biçimde tadil edilmesi, sözleşmenin uygun güvence niteliğini ortadan kaldırma riski taşır.

Standart sözleşmeye özgü usul yükümlülüğü bildirimdir. Sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirim yapılması zorunludur. Bildirim, fiziki olarak, kayıtlı elektronik posta (KEP) adresi üzerinden veya Kurumun belirlediği yöntemlerle yapılabilir. Sözleşmenin taraflarında ya da içeriğinde yer verilen bilgilerde bir değişiklik olması veya sözleşmenin sona ermesi hâlinde de yine beş iş günü içinde Kuruma bildirim gerekir. Bu yükümlülüğün yerine getirilmemesi, Kanun'un idari para cezası öngören hükümleri kapsamında yaptırıma konu edilebilir; bu nedenle imza tarihinin ve bildirimin kayıt altına alınması önerilir.

Üçüncü ve son basamak olan arızi haller, dar yorumlanması gereken istisnai durumlardır. Bu hallere yalnızca yeterlilik kararı ile uygun güvencelerin hiçbirinin sağlanamadığı ve aktarımın arızi, yani tek seferlik veya süreklilik arz etmeyen nitelikte olduğu durumlarda başvurulabilir. Kanunun 9. maddesinde sayılan bu haller arasında, ilgili kişinin muhtemel riskler konusunda bilgilendirilmesinin ardından verdiği açık rıza; bir sözleşmenin kurulması veya ifası için zorunluluk; üstün bir kamu yararı; bir hakkın tesisi, kullanılması veya korunması için zorunluluk; fiili imkânsızlık nedeniyle rızasını açıklayamayacak kişinin hayatı veya beden bütünlüğünün korunması; ve mevzuattaki şartları taşımak kaydıyla kamuya açık sicillerden aktarım yer alır. Bu yol, süreklilik gösteren ve sistematik aktarımlar için hukuki dayanak olarak kullanılamaz.

2024 sonrası dönemde tipik bir uyum yol haritası şu adımları içerir: aktarımın gerçekten yurt dışına aktarım niteliği taşıyıp taşımadığının tespiti, aktaran ve alıcı tarafların veri sorumlusu veya veri işleyen sıfatlarının belirlenmesi, uygun basamağın seçilmesi ve çoğu senaryoda doğru standart sözleşme metninin imzalanıp beş iş günü içinde Kuruma bildirilmesi. Bulut hizmetleri, yurt dışı merkezli SaaS uygulamaları, grup içi İK ve müşteri verisi paylaşımları ile ödeme altyapıları bu değerlendirmenin sık karşılaşılan konularıdır. Her aktarım için ayrıca aydınlatma yükümlülüğünün ve gerekiyorsa veri işleme kayıtlarının güncellenmesi gerekir.

Aktarım yöntemini yanlış seçmenin sonucu yalnızca usuli değil esaslıdır: uygun bir güvence olmadan yapılan aktarım hukuka aykırı veri işleme sayılabilir ve idari yaptırıma yol açabilir. Bu nedenle mevcut yurt dışı aktarım envanterinin çıkarılması, her bir veri akışının hangi basamağa dayandığının belgelenmesi ve standart sözleşmelerin bildirim kayıtlarının saklanması, denetime hazırlıklı olmanın temelidir. Metin ve usullerde zaman içinde güncelleme olabileceğinden, karar tarihleri ve Kurumun yayımladığı güncel metinler kvkk.gov.tr üzerinden doğrulanmalıdır.

Kuruluşunuzun yurt dışı veri akışlarını doğru basamağa oturtmak, doğru standart sözleşme türünü seçmek ve bildirim yükümlülüklerini zamanında yerine getirmek istiyorsanız, KVKK Danışman ücretsiz bir ön değerlendirme sunar. Mevcut aktarımlarınızı gözden geçirip önceliklendirilmiş bir uyum adımları listesi için bizimle iletişime geçebilirsiniz.

Randevu Al