Yurt Dışına Kişisel Veri Aktarımı Nasıl Yapılır?

Yurt Dışına Kişisel Veri Aktarımı Nasıl Yapılır?

İlgili hizmet sayfası → Fikri Mülkiyet Avukatı: Marka, telif, haksız rekabet ve dijital hukuk uyuşmazlıkları için hizmet sayfası.

Kısa cevap: 7499 sayılı Kanunla yeniden yazılan KVKK md. 9, aktarımı üç kademeli bir sisteme bağlar. Önce yeterlilik kararı aranır; yoksa uygun güvencelerden biri sağlanır; ikisi de yoksa yalnızca arızi olmak kaydıyla sayılı istisnalara dayanılabilir. Hangi kademede olunursa olunsun, KVKK md. 5 veya md. 6'daki işleme şartlarından birinin ayrıca bulunması zorunludur.

Aktarım için tek başına açık rıza almak, artık genel bir çözüm değildir. Açık rıza üçüncü kademede ve arızi hallerde yer alır.

---

1. Birinci Kademe: Yeterlilik Kararı

KVKK md. 9/1 uyarınca kişisel veriler, aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması halinde veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.

Yeterlilik kararını Kişisel Verileri Koruma Kurulu verir ve Resmî Gazete'de yayımlar. Karar en geç dört yılda bir değerlendirilir; Kurul gerekli gördüğünde ileriye etkili olmak üzere değiştirebilir, askıya alabilir veya kaldırabilir. Karar verilirken karşılıklılık durumu, hedef ülkenin mevzuatı ve uygulaması, bağımsız ve etkin bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının bulunması dikkate alınır¹.

Önemli: Yeterlilik kararı ülke bazında olabileceği gibi sektör bazında da verilebilir. Hedef ülke için bir karar bulunması, o ülkedeki her alıcıya aktarımın serbest olduğu anlamına gelmez; kararın kapsamı okunmalıdır.

---

2. İkinci Kademe: Uygun Güvenceler

Yeterlilik kararı yoksa, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkanının bulunması kaydıyla KVKK md. 9/4'teki güvencelerden biri sağlanır:

• Yurt dışındaki kamu kurumları veya uluslararası kuruluşlar ile Türkiye'deki kamu kurumları arasında yapılan, uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurulun aktarıma izin vermesi.
• Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü olduğu ve Kurul tarafından onaylanan bağlayıcı şirket kuralları.
• Kurul tarafından ilan edilen standart sözleşmenin taraflarca imzalanması.
• Yeterli korumayı sağlayacak hükümler içeren yazılı taahhütname ve Kurulun aktarıma izin vermesi.

Uygulamada özel sektör için işleyen iki yol standart sözleşme ile bağlayıcı şirket kurallarıdır. Standart sözleşme, Kurul tarafından ilan edilen metin üzerinden kurulur ve içeriği taraflarca serbestçe değiştirilemez. Bağlayıcı şirket kuralları ise grup içi aktarımlar için tasarlanmıştır ve Kurul onayı gerektirdiğinden hazırlık süresi uzundur.

---

3. Standart Sözleşmede Beş İş Günlük Bildirim

KVKK md. 9/5 açık bir usul yükümlülüğü getirir: standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.

Bu bildirim biçimsel bir formalite değildir. 7499 sayılı Kanunla KVKK md. 18'e eklenen bent, bu bildirim yükümlülüğünü yerine getirmeyenler için ayrı bir idari para cezası kalemi oluşturur. Ceza kalemlerinin bütünü KVKK idari para cezaları sorusunda açıklanır. Sözleşme geçerli biçimde imzalanmış olsa dahi, süresinde bildirilmemesi bağımsız bir aykırılık üretir.

---

4. Üçüncü Kademe: Arızi Haller

Yeterlilik kararı yoksa ve uygun güvencelerden hiçbiri sağlanamıyorsa, KVKK md. 9/6 arızi olmak kaydıyla sınırlı hallerde aktarıma izin verir: ilgili kişinin muhtemel riskler hakkında bilgilendirilmesi kaydıyla aktarıma açık rıza vermesi, sözleşmenin ifası veya sözleşme öncesi tedbirlerin uygulanması, ilgili kişi yararına üçüncü kişiyle yapılacak sözleşme, üstün kamu yararı, bir hakkın tesisi, kullanılması veya korunması, hayati menfaatin korunması ve kamuya açık bir sicilden aktarım.

"Arızi" kaydı bu yolun sınırını çizer. Süreklilik taşıyan, tekrarlanan ve sistematik aktarımlar bu kademeye dayandırılamaz. Her ay çalışan verisini yurt dışındaki grup şirketine gönderen bir işletme, açık rıza toplayarak bu yükümlülükten kurtulamaz.

---

Uygulamada

İlk pratik tespit şudur: yurt dışı sunucuda barındırılan bulut hizmetleri, yurt dışı merkezli e-posta pazarlama araçları, analiz ve reklam platformları ile grup içi ortak sistemler aktarım üretir. Veri fiziksel olarak gönderilmese bile, yurt dışından erişim sağlanması aktarım sayılır. Envanterde "aktarım yok" yazan çoğu işletmede fiilen onlarca aktarım vardır.

İkincisi zincir sorumluluğudur. KVKK md. 9/8, yurt dışına aktarılan verilerin sonraki aktarımları bakımından da aynı güvencelerin sağlanmasını öngörür. Hizmet sağlayıcınızın alt yüklenicisine yaptığı aktarım da sizin sorumluluk alanınızdadır; sözleşmeye alt işleyen izni ve aynı güvencelerin yansıtılması kaydı konulmalıdır.

Üçüncüsü sıralamadır. Doğru yöntem, önce aktarım envanterini çıkarmak, sonra her aktarım için kademeyi belirlemek ve en son sözleşme metnini imzalamaktır. Ters sıra ile çalışan işletmeler, aynı hizmet sağlayıcıyla hem standart sözleşme imzalayıp hem açık rıza toplar; bu tutarsızlık denetimde aleyhe yorumlanır.

---

İlgili içerikler için bkz. Dijital Pazarlama KVKK Uyum Rehberi, Müşteri Verilerini Başka Şirkete Aktarabilir miyim?, Veri Sorumlusu ile Veri İşleyen Arasındaki Fark Nedir?, Haksız Rekabet.

Dipnotlar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu md. 9, md. 18, RG 07.04.2016/29677. ↩