Yurtdışına veri aktarımı ve standart sözleşme

Çoğu şirket, yurtdışına veri aktardığının farkında değildir. Oysa yurtdışında barındırılan bir bulut hizmeti, yabancı bir İK yazılımı, yurtdışı merkezli bir e-posta pazarlama aracı veya grup şirketinin yurtdışındaki merkeziyle paylaşılan bir çalışan listesi — bunların hepsi Kanun'un 9. maddesi kapsamında yurtdışına aktarımdır ve kendi dayanağını gerektirir.

2024 değişikliği neyi değiştirdi?

Kanun'un 9. maddesi 2024 yılında yeniden düzenlenmiştir. Önceki dönemde uygulama, ağırlıklı olarak açık rıza ile taahhütname etrafında dönüyordu; taahhütname için Kurul izni gerektiğinden ve izin süreçleri uzun sürdüğünden, pratikte aktarımların çoğu açık rızaya dayandırılıyordu.

Yeni düzenleme, aktarımı üç kademeli bir yapıya oturtmuştur. Sıralama önemlidir: önce yeterlilik kararı aranır, yoksa uygun güvencelere bakılır, o da yoksa ancak arızi hâllerden biri varsa aktarım yapılabilir.

Birinci kademe: yeterlilik kararı

Kurul; ülkeler, ülkelerin belirli sektörleri veya uluslararası kuruluşlar bakımından yeterlilik kararı verebilir. Böyle bir karar varsa aktarım, ek bir güvence aranmaksızın yapılabilir.

Yeterlilik kararları, Kurumun duyurularından takip edilmelidir; kapsam ülke bazında olabildiği gibi sektör bazında da sınırlanabilir.

İkinci kademe: uygun güvenceler

Yeterlilik kararı yoksa, ilgili kişinin aktarımın yapıldığı ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, tarafların aşağıdaki güvencelerden birini sağlaması gerekir:

• Yurtdışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlarla yapılan yazılı taahhütname (Kurul izniyle),
• Şirketler topluluğu içinde uygulanan bağlayıcı şirket kuralları (Kurul onayıyla),
• Kurul tarafından ilan edilen standart sözleşme,
• Yeterli korumayı sağlayacak hükümler içeren yazılı taahhütname (Kurul izniyle).

Standart sözleşmenin pratikteki önemi şuradan gelir: diğerlerinden farklı olarak önceden Kurul izni gerektirmez. Kurul'un ilan ettiği metinler, tarafların sıfatına göre farklılaşır (veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene ve tersi yönler). Doğru metnin seçilebilmesi için tarafın veri sorumlusu mu veri işleyen mi olduğunun önceden belirlenmiş olması gerekir.

Standart sözleşmede kritik ayrıntı: 5 iş günü

Standart sözleşme kullanıldığında iş bitmez: sözleşme, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmek zorundadır.

Bu yükümlülüğün ihlali, Kanun'un 18. maddesine 2024'te eklenen bende göre ayrı bir idari para cezası doğurur; güncel tutarları ceza tablosunda bulabilirsiniz. Uygulamada en sık atlanan adım budur: sözleşme imzalanır, dosyaya konur ve bildirim unutulur.

Üçüncü kademe: arızi hâller

Yeterlilik kararı da uygun güvence de yoksa, aktarım ancak arızi olmak kaydıyla ve maddede sayılan hâllerde yapılabilir. Bunlar arasında ilgili kişinin aktarımın risklerine ilişkin bilgilendirilmesi üzerine verdiği açık rıza, sözleşmenin ifası için zorunluluk, üstün kamu yararı, bir hakkın tesisi veya korunması ve hayati tehlike gibi hâller yer alır.

Buradaki "arızi" ifadesi belirleyicidir: bu yol, süreklilik arz eden aktarımlar için kullanılamaz. Her ay yurtdışındaki sunucuya yedek gönderen bir şirketin dayanağı arızi hâl olamaz.

Sık yapılan hatalar

1. Aktarım yaptığının farkında olmamak. Sunucusu yurtdışında olan bir SaaS ürünü kullanmak aktarımdır; sözleşmede "veriler güvende" yazması dayanak yerine geçmez.
2. Açık rızayı sürekli aktarımın dayanağı yapmak. Rıza arızi hâller arasındadır ve geri çekilebilir; çekildiğinde altyapınız dayanaksız kalır.
3. Standart sözleşmeyi imzalayıp bildirmemek. Beş iş günlük süre kaçırılır.
4. Yanlış standart sözleşme türünü seçmek. Tarafların sıfatı yanlış belirlendiğinde imzalanan metin de yanlış olur.
5. Grup içi aktarımı iç mesele saymak. Yurtdışındaki ana şirkete veri göndermek de aktarımdır; bağlayıcı şirket kuralları tam da bu ihtiyaç için vardır.
6. Analitik ve reklam araçlarını unutmak. Web sitesine eklenen bir kod parçası da aktarım başlatır — çerez uyumu yazımızda ele almıştık.

Bütüncül gözden geçirme

Yurtdışına aktarım kararı, tek bir sözleşmeyle sınırlı kalmaz. Bir aktarım başlatıldığında: kişisel veri envanterinizde "yurtdışına aktarılan veriler" alanı doldurulmalı, VERBİS kaydınız bu bilgiyle güncellenmeli, aydınlatma metinleriniz aktarımın yapıldığını, alıcı grubunu ve dayanağını anlatmalı, dayanak açık rıza ise risklere ilişkin bilgilendirme ayrıca yapılmalı, taraf veri işleyense veri işleyen sözleşmesi de kurulmalı ve saklama-imha politikanız yurtdışındaki kopyanın akıbetini tanımlamalıdır.

Bu zincirin en zor halkası, dayanağın doğru kademeden seçilmesidir; yanlış kademe seçimi sonradan tüm yapıyı geçersiz kılar. Bu nedenle aktarım envanterinizin hukuki destek alınarak çıkarılmasını öneririz; Genç Partners hangi aktarımın hangi dayanağa oturacağını belirlemekte yol gösterir.

Son bir not: en temiz çözüm çoğu zaman hiç aktarmamaktır. Veriyi Türkiye'de tutan bir mimari, bu üç kademeli yapıyı ve bildirim yükümlülüklerini tümüyle gündem dışı bırakır. kisiselverilerim.com'un tüm verileri Türkiye'de barındırma tercihi bu nedenledir; hizmetlerimizi inceleyebilirsiniz.

Özet

• Yapı üç kademelidir: yeterlilik kararı → uygun güvenceler → arızi hâller.
• Standart sözleşme, önceden Kurul izni gerektirmemesiyle öne çıkar.
• Standart sözleşme 5 iş günü içinde Kuruma bildirilmelidir; ihlali ayrı ceza doğurur.
• Arızi hâller süreklilik arz eden aktarımlarda kullanılamaz.
• Bulut, SaaS, analitik araçlar ve grup içi paylaşım da aktarımdır.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Aktarımlarınızın dayanağının belirlenmesi ve sözleşmelerin kurulması için hukuki destek alınız.