Yurt dışına veri aktarımı: 2024 sonrası rejim

Yurt dışına kişisel veri aktarımı rejimi, 2/3/2024 tarihli 7499 sayılı Kanunun 34. maddesiyle tümüyle yeniden yazılmıştır. Önceki dönemde uygulanan taahhütname ve izin merkezli yapı yerini, üç kademeli bir sisteme bırakmıştır. Bulut hizmeti, grup içi paylaşım ve yurt dışı yazılım kullanımı yaygınlaştığından, bu rejim neredeyse her kuruluşu ilgilendirir.

Birinci kademe: yeterlilik kararı

KVKK m.9/1 (7499 sayılı Kanunla değişik): kişisel veriler, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması hâlinde, veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.

İki koşul birlikte aranır:

1. m.5 veya m.6'daki bir işleme şartı. Aktarım da bir işleme faaliyetidir; bu nedenle önce genel işleme şartlarından birinin bulunması gerekir. Özel nitelikli veriler bakımından m.6/3'teki bentlerden biri aranır.

2. Yeterlilik kararı. Aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunmalıdır.

Yeterlilik kararının kapsamı esnektir: bir ülkenin tamamı için verilebileceği gibi, o ülkedeki belirli sektörler için de verilebilir.

m.9/2: yeterlilik kararı, Kurul tarafından verilir ve Resmî Gazete'de yayımlanır. Kurul, ihtiyaç duyması hâlinde ilgili kurum ve kuruluşların görüşünü alır. Yeterlilik kararı, en geç dört yılda bir değerlendirilir. Kurul, değerlendirme sonucunda veya gerekli gördüğü diğer hâllerde, yeterlilik kararını ileriye etkili olmak üzere değiştirebilir, askıya alabilir veya kaldırabilir.

Buradaki dört yıllık periyodik değerlendirme ve askıya alma/kaldırma yetkisi, kuruluşlar için bir risk doğurur: bugün yeterlilik kararı bulunan bir ülke bakımından karar sonradan kaldırılabilir. Bu nedenle aktarım yapılan ülkelerin durumu izlenmeli ve alternatif güvence hazırlığı bulundurulmalıdır.

m.9/3, yeterlilik kararı verilirken öncelikle dikkate alınacak hususları sayar:

• a) Aktarılacak ülke, sektör veya uluslararası kuruluşlar ile Türkiye arasında karşılıklılık durumu,
• b) Aktarılacak ülkenin ilgili mevzuatı ve uygulaması ile uluslararası kuruluşun tâbi olduğu kurallar,
• c) Aktarılacak ülkede veya kuruluşta bağımsız ve etkin bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının bulunması,
• ç) Kişisel verilerin korunmasıyla ilgili uluslararası sözleşmelere taraf veya uluslararası kuruluşlara üye olma durumu,
• d) Türkiye'nin üye olduğu küresel veya bölgesel kuruluşlara üye olma durumu,
• e) Türkiye'nin taraf olduğu uluslararası sözleşmeler.

İkinci kademe: uygun güvenceler

KVKK m.9/4: kişisel veriler, yeterlilik kararının bulunmaması durumunda, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, aşağıda belirtilen uygun güvencelerden birinin taraflarca sağlanması hâlinde veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir:

Bu fıkrada üç koşul birlikte aranır:

1. m.5 veya m.6'daki bir işleme şartı,
2. İlgili kişinin aktarım yapılacak ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânı,
3. Sayılan uygun güvencelerden biri.

İkinci koşul sıkça atlanır: güvencelerden biri sağlansa dahi, ilgili kişinin o ülkede hak arama imkânının bulunup bulunmadığı ayrıca değerlendirilmelidir.

Dört uygun güvence sayılmıştır:

a) Kurul izinli anlaşma. Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye'deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi.

Bu güvence yalnızca kamu kurumları ve kamu kurumu niteliğindeki meslek kuruluşları için geçerlidir.

b) Bağlayıcı şirket kuralları. Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı.

Bu yol, çok uluslu şirket grupları için tasarlanmıştır. Grup içi aktarımlarda her seferinde ayrı bir sözleşme yapmak yerine, tek bir kural seti Kurul onayından geçirilir. Onay süreci uzun olmakla birlikte, sürekli grup içi aktarımı olan yapılarda en sürdürülebilir çözümdür.

c) Standart sözleşme. Kurul tarafından ilan edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı.

Bu, uygulamada en yaygın kullanılan güvencedir. Sözleşme metni Kurul tarafından ilan edilir; taraflar bu metni imzalar.

İçeriğinde bulunması gereken hususlar maddede sayılmıştır: veri kategorileri, aktarım amaçları, alıcı ve alıcı grupları, alıcı tarafından alınacak teknik ve idari tedbirler ve özel nitelikli veriler için ek önlemler.

ç) Kurul izinli taahhütname. Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.

Bu yol, Kurul iznine bağlı olduğundan standart sözleşmeye göre daha uzun sürer.

Standart sözleşmede beş iş günlük bildirim

KVKK m.9/5: standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.

Bu, kısa ve kesin bir süredir. Standart sözleşme imzalandıktan sonra beş iş günü içinde bildirim yapılmazsa yükümlülük ihlal edilmiş olur.

Bildirim yükümlülüğü veri sorumlusu veya veri işleyen tarafından yerine getirilebilir; taraflar arasında hangisinin bildirim yapacağı sözleşmede netleştirilmelidir.

Uygulamada bu süre sıkça kaçırılır; çünkü sözleşme imzalandıktan sonra bildirim adımı unutulur. Bu nedenle standart sözleşme süreci, imza ve bildirim adımlarını birlikte içeren bir kontrol listesine bağlanmalıdır.

Üçüncü kademe: arızi aktarım

KVKK m.9/6: veri sorumluları ve veri işleyenler, yeterlilik kararının bulunmaması ve dördüncü fıkrada öngörülen uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak kaydıyla sadece aşağıdaki hâllerden birinin varlığı hâlinde yurt dışına kişisel veri aktarabilir:

Bu kademe, iki sınırla çevrilidir:

• Arızi olmak kaydıyla. Süreklilik gösteren, olağan iş akışının parçası olan aktarımlar bu kapsamda değildir. Yalnızca istisnai ve tek seferlik aktarımlar için kullanılabilir.
• Sadece sayılan hâllerden birinin varlığı hâlinde. Sayım sınırlıdır.

Sayılan hâllerden ilk ikisi şunlardır:

a) İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi.

Burada rıza tek başına yeterli değildir: ilgili kişinin muhtemel riskler hakkında bilgilendirilmiş olması aranır. Yani aktarım yapılacak ülkede korumanın yetersiz olabileceği ve bunun doğurabileceği riskler açıkça anlatılmalıdır.

b) Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.

Sayım devam eder ve kamu yararı, hakkın tesisi-kullanılması-korunması, hayati menfaatlerin korunması gibi hâlleri de içerir.

Bu kademenin arızi niteliği vurgulanmalıdır: bulut hizmeti gibi sürekli aktarım içeren yapılar bu fıkraya dayandırılamaz.

Karar ağacı

Bir yurt dışı aktarımı değerlendirilirken izlenecek sıra:

1. m.5 veya m.6'da bir işleme şartı var mı? Yoksa aktarım zaten mümkün değildir.
2. Yeterlilik kararı var mı? Varsa m.9/1 uyarınca aktarım yapılabilir.
3. Yoksa uygun güvencelerden biri sağlanabilir mi? (m.9/4) En yaygın yol standart sözleşmedir; grup içi yapılarda bağlayıcı şirket kuralları değerlendirilir.
4. İlgili kişinin o ülkede hak arama imkânı var mı? (m.9/4'ün ikinci koşulu)
5. Standart sözleşme imzalandıysa beş iş günü içinde Kuruma bildirildi mi? (m.9/5)
6. Hiçbiri sağlanamıyorsa aktarım arızi mi? (m.9/6) Sürekli aktarımlarda bu yol kapalıdır.

Diğer yükümlülüklerle bağlantı

Sicil (m.16/3). Bildirimde yurt dışına aktarımı öngörülen kişisel veriler gösterilir. Aktarım başladığında bildirimin güncellenmesi gerekir.

Güvenlik (m.12). m.12/1 uyarınca uygun güvenlik düzeyi sağlanmalıdır. m.12/2 uyarınca veriler kuruluş adına başka bir kişi tarafından işleniyorsa müşterek sorumluluk doğar; yurt dışındaki hizmet sağlayıcıları bu kapsamdadır.

Aydınlatma ve haklar (m.11). İlgili kişi, m.11/1-ç uyarınca yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme hakkına sahiptir. Bu nedenle aktarım yapılan alıcılar kayıt altında tutulmalıdır.

İlkeler (m.4/2). Aktarım da bir işlemedir; amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi burada da geçerlidir. Amaç için gerekli olandan fazla verinin aktarılması hukuka aykırıdır.

Örnek senaryo

Bir şirket, müşteri destek süreçlerini yurt dışında yerleşik bir yazılım sağlayıcısının bulut hizmeti üzerinden yürütmeye başlamıştır. Aktarım süreklidir ve müşteri iletişim verileri ile bazı sağlık bilgileri aktarılmaktadır.

Değerlendirme:

1. İşleme şartı. Önce m.5/2'deki bir şart belirlenir. Sağlık verisi bakımından ayrıca m.6/3'teki bentlerden biri aranır; ayrıca m.6/4 uyarınca yeterli önlemler alınmalıdır.
2. Yeterlilik kararı. Aktarımın yapılacağı ülke veya sektör hakkında yeterlilik kararı bulunup bulunmadığı araştırılır. Varsa m.9/1 uyarınca aktarım mümkündür.
3. Yeterlilik kararı yoksa. m.9/4 uyarınca uygun güvencelerden biri sağlanmalıdır. Grup içi bir yapı olmadığından en uygun yol standart sözleşmedir.
4. Hak arama imkânı. m.9/4 uyarınca ilgili kişinin aktarım yapılacak ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunup bulunmadığı değerlendirilir.
5. Beş iş günlük bildirim. Standart sözleşme imzalandıktan sonra beş iş günü içinde Kuruma bildirilmelidir (m.9/5). Bildirimi hangi tarafın yapacağı sözleşmede belirlenmelidir.
6. Arızi aktarım yolu kapalı. Aktarım sürekli olduğundan m.9/6'daki arızi aktarım hâllerine dayanılamaz.
7. Sicil. m.16/3 uyarınca yurt dışına aktarım bildirimde gösterilmeli; başlamışsa güncelleme yapılmalıdır.
8. Müşterek sorumluluk. m.12/2 uyarınca yazılım sağlayıcısıyla veri işleyen sözleşmesi düzenlenmeli; teknik ve idari tedbirler, denetim hakkı ve ihlal bildirimi konuları yazılmalıdır.
9. Yeterlilik kararının izlenmesi. m.9/2 uyarınca karar dört yılda bir değerlendirilir ve askıya alınabilir; alternatif güvence hazırlığı bulundurulmalıdır.

Sık yapılan hatalar

• 2024 öncesi taahhütname/izin rejimine dayanılması. m.9, 7499 sayılı Kanunla tümüyle değiştirilmiştir.
• Beş iş günlük bildirimin kaçırılması. m.9/5 kesin bir süre öngörür.
• Sürekli aktarımın arızi sayılması. m.9/6 yalnızca arızi aktarımlar içindir.
• Açık rızanın tek başına yeterli sanılması. m.9/6-a, muhtemel riskler hakkında bilgilendirme koşulunu da arar.
• m.5/m.6 şartının atlanması. Aktarımın kendisi bir işleme faaliyetidir.
• Hak arama imkânı koşulunun değerlendirilmemesi. m.9/4 bunu ayrıca arar.
• Yeterlilik kararının kalıcı sanılması. Karar dört yılda bir değerlendirilir; askıya alınabilir veya kaldırılabilir.
• Sicil bildiriminin güncellenmemesi. Yurt dışı aktarımı bildirimde gösterilmelidir.