Kişisel verilerin yurt dışına aktarılması, 6698 sayılı Kanun’un 2/3/2024 tarihli ve 7499 sayılı Kanun’la değiştirilen 9. maddesinde üç kademeli bir rejime bağlanmıştır. Aktarım öncelikle yeterlilik kararının varlığı hâlinde yapılabilir; yeterlilik kararı yoksa dört uygun güvenceden biri sağlanmalıdır; bunlar da yoksa yalnızca arızi olmak kaydıyla altı istisnai hâlden birine dayanılabilir. Her hâlde 5. veya 6. maddedeki işleme şartlarından birinin bulunması aranır.
6698 sayılı Kanun’un 9. maddesi 2/3/2024 tarihli ve 7499 sayılı Kanun’un 34. maddesiyle bütünüyle yeniden yazılmıştır. Önceki dönemde uygulanan taahhütname ve Kurul izni ağırlıklı yapı, yerini kademeli ve öngörülebilir bir sisteme bırakmıştır.
Birinci kademe yeterlilik kararıdır. Kanun m.9/1 uyarınca kişisel veriler, 5. ve 6. maddelerdeki şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması hâlinde veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.
İkinci kademe uygun güvencelerdir; üçüncü kademe ise arızi nitelikteki istisnai hâllerdir. Bu sıralama zorunludur: alt kademeye ancak üst kademedeki imkânın bulunmaması hâlinde geçilebilir.
Yeterlilik kararı Kişisel Verileri Koruma Kurulu tarafından verilir ve Resmî Gazete’de yayımlanır. Kurul, ihtiyaç duyması hâlinde ilgili kurum ve kuruluşların görüşünü alır. Karar en geç dört yılda bir değerlendirilir ve gerektiğinde ileriye etkili olmak üzere değiştirilebilir, askıya alınabilir veya kaldırılabilir.
Kanun m.9/3, yeterlilik kararı verilirken öncelikle dikkate alınacak hususları sayar. Bunlar arasında aktarımın yapılacağı ülke ile Türkiye arasındaki karşılıklılık durumu, ilgili ülkenin mevzuatı ve uygulaması, bağımsız ve etkin bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının bulunması yer alır.
Ayrıca hedef ülkenin veya uluslararası kuruluşun kişisel verilerin korunmasına ilişkin uluslararası sözleşmelere taraf olma durumu, Türkiye’nin üye olduğu küresel veya bölgesel kuruluşlara üyeliği ve Türkiye’nin taraf olduğu uluslararası sözleşmeler değerlendirilir.
Yeterlilik kararının bulunmadığı hâllerde aktarım, m.9/4’te sayılan dört uygun güvenceden birine dayanabilir. Bunun için ayrıca ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması gerekir.
İlk güvence, yurt dışındaki kamu kurum ve kuruluşları ile Türkiye’deki kamu kurumları arasında yapılan, uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul izni; ikincisi, ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü olduğu ve Kurulca onaylanan bağlayıcı şirket kurallarıdır.
Üçüncü güvence, Kurul tarafından ilan edilen standart sözleşmedir. Bu sözleşme veri kategorilerini, aktarım amaçlarını, alıcı ve alıcı gruplarını, alınacak teknik ve idari tedbirleri ve özel nitelikli veriler için ek önlemleri içerir. Dördüncüsü ise yeterli korumayı sağlayacak hükümleri taşıyan yazılı taahhütname ve Kurul iznidir.
Kanun m.9/5, standart sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilmesini zorunlu tutar. Bu süre hak düşürücü nitelikte olmasa da, uyulmaması idari yaptırım riski doğurur.
2/3/2024 tarihli değişiklikle 18. maddeye eklenen (d) bendi uyarınca, 9. maddenin beşinci fıkrasındaki bildirim yükümlülüğünü yerine getirmeyenler hakkında idari para cezası öngörülmüştür. Bu ceza, veri sorumlusunun yanı sıra veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında da uygulanır.
Bildirim yükümlülüğü, standart sözleşmenin içeriğinin Kurulca ilan edilen metne uygun olmasını da gerektirir. Metinde tek taraflı değişiklik yapılması, güvencenin geçerliliğini tartışmalı hâle getirir.
Yeterlilik kararı bulunmuyor ve uygun güvencelerden hiçbiri sağlanamıyorsa, aktarım ancak arızi olmak kaydıyla m.9/6’daki altı hâlden birine dayanabilir. Bunlar; muhtemel riskler hakkında bilgilendirme kaydıyla ilgili kişinin açık rızası, sözleşmenin ifası veya sözleşme öncesi tedbirler, ilgili kişi yararına yapılacak sözleşme, üstün kamu yararı, bir hakkın tesisi ya da korunması ve hayatî menfaatlerin korunmasıdır.
Kamuya veya meşru menfaati bulunan kişilere açık bir sicilden, mevzuatta öngörülen şartların sağlanması kaydıyla aktarım yapılması da bu kapsamdadır. Arızi nitelik vurgusu önemlidir: bu hâller süreklilik arz eden aktarımlara hukuki dayanak oluşturmaz.
Kanun m.9/8 uyarınca yurt dışına aktarılan verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımlar bakımından da aynı güvenceler sağlanır. Ayrıca m.9/9, Türkiye’nin veya ilgili kişinin menfaatinin ciddi biçimde zarar göreceği durumlarda aktarımı ilgili kamu kurumunun görüşü alınarak Kurul iznine bağlar.
Bulut hizmeti, elektronik posta altyapısı ve müşteri ilişkileri yazılımı kullanımının aktarım doğurup doğurmadığı çoğu zaman gözden kaçar. Sunucu konumu ve destek ekiplerinin erişim yetkileri incelenmeden aktarım analizi tamamlanmış sayılmaz.
Açık rızaya dayanan aktarım, arızi hâllerden biridir ve sürekli veri akışları için uygun bir dayanak değildir. Grup şirketleri arasındaki düzenli aktarımlarda bağlayıcı şirket kuralları veya standart sözleşme değerlendirilmelidir.
Standart sözleşme imzalandığı hâlde beş iş günlük bildirimin yapılmaması sık rastlanan bir eksikliktir. Sözleşme takvimi ile bildirim takviminin birlikte izlenmesi önerilir.
Yapılabilir. 6698 sayılı Kanun m.9/4 uyarınca standart sözleşme, bağlayıcı şirket kuralları, taahhütname veya kurumlar arası anlaşma gibi uygun güvencelerden biri sağlanmak kaydıyla aktarım mümkündür.
Evet. Kanun m.9/5 uyarınca standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.
Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketler için uygundur. Kurallar, kişisel verilerin korunmasına ilişkin hükümler içermeli ve Kurul tarafından onaylanmalıdır.
Uygun değildir. Açık rıza, Kanun m.9/6’da arızi hâller arasında sayılmıştır. Süreklilik arz eden aktarımlarda yeterlilik kararı veya uygun güvencelerden birine dayanılması gerekir.
Kanun m.9/8 uyarınca sonraki aktarımlar bakımından da Kanundaki güvencelerin sağlanması ve aynı madde hükümlerinin uygulanması gerekir.
Uyum süreçleri, veri ihlalleri ve içerik uyuşmazlıklarında değerlendirme için bize ulaşın.
Aktarımda açık rızanın sınırlı rolü ve geçerlilik şartları.
Devamını oku ›MakaleAktarım analizinin envanter çalışmasındaki yeri.
Devamını oku ›MakaleAktarımda tarafların yükümlülüklerinin ayrıştırılması.
Devamını oku ›