Kişisel verileri yurt dışına aktarmak serbest değildir: işleme şartlarından birinin bulunması ve aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında Kurulun yeterlilik kararının bulunması gerekir; karar yoksa uygun güvencelerden biri (standart sözleşme, bağlayıcı şirket kuralları, taahhütname gibi) sağlanmalı, bu da yoksa yalnızca arızi olmak kaydıyla sayılan sınırlı istisnalara dayanılabilir (KVKK m. 9). Yurt dışındaki bir sunucuya veri göndermek de bu rejime tabidir.
Bu yazı, yurt dışına veri aktarımının üç basamağını, yeterlilik kararını, standart sözleşmenin Kuruma bildirilmesini, grup şirketleri arasındaki aktarımı, açık rızanın ve diğer istisnaların sınırlarını, yurt dışı sunucu kullanımını ve silme-yok etme kurallarıyla ilişkisini anlatır.
Bu yazıda
- Yurt dışına aktarımın üç basamağı
- Yeterlilik kararı: kim verir, ne zaman gözden geçirilir?
- Karar yoksa: uygun güvenceler
- Standart sözleşmenin Kuruma bildirimi
- Grup şirketine çalışan verisi göndermek
- Arızi aktarım hâlleri: açık rıza, sözleşme, kamu yararı
- Yurt dışındaki sunucu ve bulut hizmetleri
- Özel nitelikli veriler ve diğer kanunlar
- Silme, yok etme ve anonim hâle getirme
- Kaynaklar
Yurt dışına aktarımın üç basamağı
Kanunun 9. maddesi bir sıralama kurar. Önce aktarımın dayanağı olan bir işleme şartı (KVKK m. 5 veya özel nitelikli veri için m. 6) bulunmalıdır. Bunun üzerine şu üç yoldan biri izlenir:
- Yeterlilik kararı: Aktarım yapılacak ülke, ülke içindeki sektörler veya uluslararası kuruluşlar hakkında karar varsa veri aktarılabilir.
- Uygun güvenceler: Karar yoksa, işleme şartına ek olarak ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, kanunda sayılan güvencelerden biri taraflarca sağlanır.
- Arızi aktarım: Karar ve güvence de yoksa, yalnızca arızi olmak kaydıyla sayılan hâllerden biri varsa aktarım yapılabilir.
Eski bir “genel rıza” metnini tek çözüm saymak, bu sıralamanın başındaki basamakları atlamak anlamına gelir.
Yeterlilik kararını kim verir?
Yeterlilik kararı Kurul tarafından verilir ve Resmî Gazete’de yayımlanır. Kurul gerekirse ilgili kurum ve kuruluşların görüşünü alır. Karar en geç dört yılda bir değerlendirilir; Kurul değerlendirme sonucunda veya gerekli gördüğü diğer hâllerde kararı ileriye etkili olmak üzere değiştirebilir, askıya alabilir veya kaldırabilir (KVKK m. 9/2). Karar verilirken karşılıklılık durumu, ilgili ülkenin mevzuatı ve uygulaması, bağımsız ve etkin bir veri koruma kurumunun varlığı, uluslararası sözleşmelere taraf olma durumu gibi hususlar öncelikle dikkate alınır (m. 9/3). Bir ülkeye aktarım yapmadan önce güncel yeterlilik kararlarını Kurumun resmî duyurularından ve Resmî Gazete’den kontrol edin.
Yeterlilik kararı yoksa veri nasıl aktarılabilir?
İşleme şartlarından biri bulunmalı, ilgili kişi aktarımın yapılacağı ülkede de haklarını kullanabilmeli ve etkili kanun yollarına başvurabilmelidir. Ayrıca kanundaki uygun güvencelerden biri sağlanır (KVKK m. 9/4):
- Yurt dışındaki kamu kurumları veya uluslararası kuruluşlarla Türkiye’deki kamu kurumları arasında yapılan, uluslararası sözleşme niteliğinde olmayan anlaşma ve Kurulun aktarıma izin vermesi,
- Ortak ekonomik faaliyette bulunan teşebbüs grubundaki şirketlerin uymakla yükümlü olduğu ve Kurulca onaylanan bağlayıcı şirket kuralları,
- Kurulca ilan edilen, veri kategorilerini, aktarım amaçlarını, alıcıları, alıcı tarafından alınacak teknik ve idari tedbirleri ve özel nitelikli veriler için alınan ek önlemleri içeren standart sözleşme,
- Yeterli korumayı sağlayacak hükümler içeren yazılı bir taahhütname ve Kurulun aktarıma izin vermesi.
Standart sözleşme imzalanırsa Kuruma bildirim gerekir mi?
Evet. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir (KVKK m. 9/5). Bu bildirimi yapmayanlar hakkında idari para cezası verilir (KVKK m. 18); güncel tutarlar için Kurumun resmî duyurularına bakın. Bildirim gününü sözleşme imza tarihinden itibaren takvime işlemek, süre kaçırma riskini azaltır.
Yurt dışındaki grup şirketine çalışan verisi gönderebilir miyim?
Aktarım için işleme şartı bulunmalı ve yeterlilik kararı yoksa uygun güvencelerden biri sağlanmalıdır. Aynı ekonomik faaliyette bulunan şirket grubu için Kurulca onaylanan bağlayıcı şirket kuralları uygun güvencelerden biridir; bunun yanında standart sözleşme de kullanılabilir. Çalışan verilerinde özel nitelikli veriler de bulunabileceğinden (sağlık raporu, sendika üyeliği gibi) aktarım öncesinde veri kategorilerini ayrıca belirleyin.
Arızi aktarım hâlleri
Yeterlilik kararı ve uygun güvence yoksa, arızi olmak kaydıyla ve yalnızca sayılan hâllerden biri varken aktarım yapılabilir (KVKK m. 9/6). Kanun bu yolu yalnızca arızi aktarımlar için öngördüğünden, rutin ve süreklilik arz eden veri akışlarını açık rızaya dayandırmak yerine yeterlilik kararı veya uygun güvence aramak daha sağlıklı bir yaklaşımdır. Sayılan hâller şunlardır:
- İlgili kişinin muhtemel riskler hakkında bilgilendirilerek aktarıma açık rıza vermesi,
- İlgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya kişinin talebi üzerine alınan sözleşme öncesi tedbirler için aktarımın zorunlu olması,
- İlgili kişi yararına veri sorumlusu ile bir başka kişi arasında yapılacak sözleşmenin kurulması veya ifası için zorunlu olması,
- Üstün bir kamu yararı için zorunlu olması,
- Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
- Rızasını açıklayamayacak durumdaki kişinin veya bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
- Kamuya veya meşru menfaati bulunan kişilere açık bir sicilden, mevzuattaki şartlar sağlanarak aktarım yapılması.
Sonraki aktarımlar ve uluslararası kuruluşlara aktarımlar bakımından da aynı güvenceler sağlanır ve 9. madde hükümleri uygulanır (m. 9/8). Ayrıca uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye’nin veya ilgili kişinin menfaatinin ciddi şekilde zarar göreceği durumlarda veri ancak ilgili kamu kurumunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir (m. 9/9).
Aktarımdan önce izlenecek sıra: örnek
Bir işletmenin müşteri e-postalarını yurt dışındaki bir pazarlama yazılımına yüklemek istediğini düşünün. Önce verinin hangi işleme şartına dayandığı belirlenir; ardından yazılım sağlayıcısının verileri hangi ülkede işlediği tespit edilir. O ülke veya sektör için yeterlilik kararı varsa aktarım yapılabilir. Yoksa sağlayıcıyla Kurulca ilan edilen standart sözleşme imzalanır ve imzadan itibaren beş iş günü içinde Kuruma bildirilir. Ayrıca müşterilere yapılan aydınlatmada aktarımın yapıldığı, kimlere ve hangi amaçla aktarılabileceği belirtilmeli (KVKK m. 10), VERBİS kaydına da yurt dışı aktarım işlenmelidir. Bu sıranın her adımı kayıt altına alınırsa, olası bir Kurul incelemesinde hazırlıklı olunur.
Yurt dışındaki sunucuya veri göndermek serbest mi?
Hayır; sunucunun yurt dışında olması, aktarım rejimini devreye sokar. Bulut hizmeti, e-posta sağlayıcısı veya yapay zekâ aracı kullanıyorsanız sunucunun konumu kadar alt sağlayıcılar ve verilere erişimin nereden yapıldığı da önemlidir. Pratik kontrol listesi: hizmet sağlayıcının hangi ülkelerde hangi alt sağlayıcılarla çalıştığı, o ülkeler için yeterlilik kararı olup olmadığı, yoksa hangi uygun güvencenin (örneğin standart sözleşme) kullanıldığı, sözleşmenin Kuruma süresinde bildirilip bildirilmediği, VERBİS bildirimine yurt dışı aktarımın yansıtılıp yansıtılmadığı (KVKK m. 16).
Özel nitelikli veriler ve diğer kanunlar
Yurt içinde üçüncü kişilere aktarımda genel kural, ilgili kişinin açık rızası olmaksızın aktarım yapılamamasıdır. Özel nitelikli veriler ise yeterli önlemler alınmak kaydıyla, 6. maddenin üçüncü fıkrasındaki şartlardan biri varsa açık rıza aranmaksızın aktarılabilir. Kişisel verilerin aktarılmasına ilişkin diğer kanunlardaki hükümler de saklıdır (KVKK m. 8); başka bir kanun belirli bir aktarımı zorunlu kılıyor veya düzenliyorsa o kanuna ayrıca bakılır.
Silme, yok etme ve anonim hâle getirme
Yurt dışına aktarılan veriler bakımından da silme hakkı geçerlidir. Kanun ve ilgili diğer kanunlara uygun işlenmiş olsa bile işlenmesini gerektiren sebepler ortadan kalkarsa veriler resen veya talep üzerine silinir, yok edilir veya anonim hâle getirilir; diğer kanunlardaki saklama hükümleri saklıdır ve usul yönetmelikle düzenlenir (KVKK m. 7). Silme talebinin sınırları için KVKK başvuru ve silme yazımıza bakabilirsiniz.
Sık yapılan hatalar
- Yurt dışına aktarımı yalnızca açık rıza metniyle çözmeye çalışmak.
- Standart sözleşmeyi imzalayıp Kuruma süresinde bildirmemek.
- Alt sağlayıcıları ve erişim ülkelerini dikkate almamak.
- Yeterlilik kararlarını güncel olarak kontrol etmemek.
- Özel nitelikli verileri genel verilerle aynı kategoride değerlendirmek.