Müşteri Verilerini Başka Şirkete Aktarabilir miyim?

Müşteri Verilerini Başka Şirkete Aktarabilir miyim?

İlgili hizmet sayfası → Fikri Mülkiyet Avukatı: Marka, telif, haksız rekabet ve dijital hukuk uyuşmazlıkları için hizmet sayfası.

Kısa cevap: Müşteri verilerini başka şirkete aktarmak, ancak KVKK md. 8 şartları sağlanıyorsa hukuka uygundur. Aktarım için ya ilgili kişinin açık rızası ya da KVKK md. 5/2 kapsamındaki işleme şartlarından birinin varlığı gerekir. Grup şirketine aktarım, iş ortağıyla paylaşım ve şirket devri senaryolarının her biri ayrı dayanak ister. Dayanağı olmayan aktarım, idari para cezası ve tazminat sorumluluğu doğurur.

---

1. Aktarımın Hukuki Dayanağı: KVKK md. 8

KVKK md. 8, yurt içi aktarımı işleme şartlarına bağlar: açık rıza yoksa, KVKK md. 5/2 istisnalarından biri bulunmalıdır¹. Uygulamada en sık dayanılan istisnalar; sözleşmenin kurulması veya ifası için aktarımın zorunlu olması, hukuki yükümlülüğün yerine getirilmesi ve veri sorumlusunun meşru menfaatidir.

Meşru menfaat dayanağı sınırsız değildir; ilgili kişinin temel hak ve özgürlükleriyle tartılır. Müşteri listesinin bir pazarlama şirketine ticari amaçla satılması, meşru menfaatle açıklanamaz; bu senaryoda açık rıza şarttır. Yurt dışına aktarımda ise KVKK md. 9 devreye girer ve yeterlilik kararı, standart sözleşme gibi ek güvenceler aranır.

---

2. Şirket Satışı ve Devir Senaryosu

Şirket birleşme ve devralmalarında müşteri veri tabanı, devrin en değerli kalemlerinden biridir. Hisse devrinde veri sorumlusu tüzel kişilik değişmediği için aktarım tartışması çoğu zaman doğmaz. Buna karşılık malvarlığı devrinde müşteri verileri başka bir tüzel kişiye geçer; bu geçiş KVKK anlamında aktarımdır ve dayanak gerektirir.

Devir sürecinin due diligence aşaması da risklidir; alıcı adayına müşteri verilerinin açık halde sunulması, devir gerçekleşmese bile hukuka aykırı aktarım oluşturabilir. İnceleme aşamasında anonimleştirilmiş veya toplulaştırılmış veri paylaşımı tercih edilmelidir.

Önemli: Kişisel Verileri Koruma Kurulunun yerleşik yaklaşımında, aktarımın hukuka uygunluğu kadar ilgili kişilerin bilgilendirilmesi de denetlenir. Devir sonrası müşterilere yeni veri sorumlusunu bildiren aydınlatma yapılmaması, aktarım dayanağı bulunsa dahi ayrı bir ihlal başlığı açar.

---

3. Grup Şirketleri Arasında Aktarım

Aynı gruba bağlı şirketler, KVKK karşısında ayrı veri sorumlularıdır. Holding yapısı içinde olmak, müşteri verilerinin grup içinde serbestçe dolaşabileceği anlamına gelmez; her grup içi paylaşım KVKK md. 8 kapsamında ayrı bir aktarımdır.

Grup içi aktarım için pratik çerçeve şudur: aktarımın amacı tanımlanır, dayanak belirlenir, şirketler arasında veri paylaşım protokolü imzalanır ve aydınlatma metinlerinde grup içi aktarım açıkça belirtilir. Ortak müşteri yönetimi veya merkezi CRM kullanılıyorsa, hangi şirketin hangi veriye eriştiği yetki matrisiyle kayıt altına alınır.

---

4. Aydınlatma: Aktarımın Görünür Yüzü

KVKK md. 10, kimlere hangi amaçla aktarım yapılabileceğinin aydınlatma metninde gösterilmesini zorunlu kılar. "İş ortaklarımızla paylaşılabilir" gibi belirsiz ifadeler yeterli kabul edilmez; alıcı grupları ve aktarım amaçları somut biçimde yazılmalıdır. Metnin nasıl kurgulanacağı için KVKK aydınlatma metni sayfası yol gösterir.

Aydınlatma, rızanın yerine geçmez; ancak aydınlatmasız alınan rıza da geçersiz sayılabilir. İki yükümlülük birlikte yürür.

---

5. İhlal Halinde Sonuçlar

Dayanaksız aktarım, KVKK md. 18 uyarınca veri güvenliği ve hukuka aykırı işleme başlıklarında idari para cezasına konu olur; ceza tutarları her yıl yeniden değerleme oranıyla güncellenir. Aktarım aynı zamanda bir veri ihlali niteliği taşıyorsa, KVKK md. 12 uyarınca Kurula ve ilgili kişilere bildirim yükümlülüğü doğar; sürecin işleyişi için veri ihlali bildirimi sayfasına bakılabilir. İlgili kişilerin tazminat talebi ve şikayet hakkı ayrıca saklıdır.

Stratejik Not: Uygulamada en sık hata, aktarımın sözleşmeyle çözüldüğü sanısıdır. Alıcı şirketle imzalanan veri paylaşım sözleşmesi, aktarımın KVKK dayanağını ikame etmez; sözleşme yalnızca taraflar arası sorumluluğu dağıtır. Doğru sıra şudur: önce dayanak analizi, sonra aydınlatma güncellemesi, en son sözleşme. Bu sıra atlanırsa, kusursuz görünen bir sözleşme hukuka aykırı bir aktarımı taşıyor olabilir.

---

İlgili içerikler için bkz. KVKK Aydınlatma Metni, Kişisel Verilerim İzinsiz Paylaşıldı, Nereye Şikayet Edebilirim?, KVKK Veri İhlali Bildirimi Nasıl Yapılır?, Haksız Rekabet Hukuku.

Dipnotlar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu md. 5, md. 8, md. 9, md. 10, md. 12, md. 18, RG 07.04.2016/29677. ↩