Yurtdışına Veri Aktarımında Yeni Dönem
8 Ağu 2024
Yurtdışına Veri Aktarımında Yeni Dönem
Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin işlenmesi ve aktarılması konusunda önemli düzenlemeler içermektedir. Özellikle yurtdışı veri aktarımı, küreselleşen dünyada şirketlerin sıklıkla karşılaştığı bir durum olduğundan, bu konudaki düzenlemeler büyük önem taşımaktadır.
8. Yargı Paketi reformu olarak da anılan 1 Mart 2024 tarihli ve 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanunla (“KVKK Reform Yasası”) ile KVKK’nın 6, 9, ve 18. maddelerinde kapsamlı değişiklikler yapılmıştır.
Yurtdışına aktarım konusunun detaylarını belirlemesi beklenen Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (“Yönetmelik”) ise 10 Temmuz 2024 tarihli Resmî Gazete ’de yayımlanmıştır. Yönetmelik ile KVKK’ da düzenlenen yurtdışına veri aktarılmasına ilişkin yeni kurallar detaylandırılmıştır.
Kişisel Verileri Koruma Kurulunun 4/6/2024 tarihli ve 2024/959 sayılı kararı hakkında duyuru ve standart sözleşme metinleri, bağlayıcı şirket kuralları başvuru formları ve bağlayıcı şirket kurallarında bulunması gereken temel hususlara ilişkin yardımcı kılavuzlar için;
Kanun değişikliği ile kişisel verilerin yurtdışına aktarımında açık rıza öncelikli tercih edilmekteydi, değişiklik ile kişisel verilerin yurt dışına aktarımında hem veri sorumluları hem de veri işleyenler tarafından gerçekleştirilecek aktarımlar bakımından KVKK Madde 9’da belirtilen gerekliliklerin sağlanması gerekmektedir.
Buna göre aktarıma başlanmadan önce aktarım tarafları aşağıdaki koşulların varlığını sırayla değerlendirmelidir.
(1) Yeterlilik kararına dayalı aktarım
(2) Uygun güvencelere dayalı aktarım
(3) İstisnai aktarım koşullarının mevcut olup olmadığının değerlendirilmesi.
KVK Kurulu’na yazılı taahhütname sunma usulü muhafaza edilmiştir. Güvencelere dayalı yurt dışına kişisel veri aktarımı yapılabileceği dördüncü hal, yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve KVK Kurulu tarafından bu aktarıma izin verilmesi halidir.
Bu aktarım türü 9. maddenin ilk halinde de yer almakta olup, mevcut aktarım usulü muhafaza edilmiştir.
1- Yeterlilik Kararına Dayalı Aktarımlar
Kişisel Verileri Koruma Kurulu (“Kurul”) kişisel verilerin yurtdışına aktarımı ilgili olarak bir ülkenin, ülke içerisindeki bir veya daha fazla sektörün ya da bir uluslararası kuruluşun yeterli düzeyde koruma sağladığına dair karar verebilecektir. Kurul tarafından verilen yeterlilik kararları Resmî Gazete’de ve Kurum’un internet sitesinde yayımlanacaktır.
2- Uygun Güvenceye Dayalı Aktarımlar
Aktarım yapılacak ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar bakımından bir yeterlilik kararı bulunmaması halinde kişisel veriler, ancak aktarım taraflarının uygun güvenceleri sağlaması koşulu ile aktarılabilecektir:
Yeni dönemde, gerek onay/izin süreci içermemesi gerekse Avrupa Birliği’nde de en çok tercih edilen veri aktarımına yönelik uygun güvence olması sebebi ile standart sözleşme yöntemine sıklıkla başvurulacağı değerlendirilmektedir.
Standart Sözleşmenin varlığına dayalı aktarımlar bakımından dikkat edilmesi gereken hususlar:
• Standart sözleşme metinleri Kurul tarafından yayınlanan şekilde ve üzerinde herhangi bir değişiklik yapılmadan kullanılmalıdır.
• Standart sözleşme için her zaman Türkçe metin esas alınmalıdır. (Yabancı dildeki metinlerin noter onaylı tercümesi istenmektedir)
• Standart sözleşme, kişisel verilerin aktarımının tarafları arasında akdedilmelidir ve aktarımın taraflarının temsile ve imzaya yetkili kişilerince imzalanmalıdır.
• Standart sözleşme, imzaların tamamlanmasının akabinde beş iş günü içinde fiziki olarak veya kayıtlı elektronik posta (KEP) adresi ya da Kurul tarafından belirlenen diğer yöntemlerle Kurum’a bildirilmelidir.
• Standart sözleşmenin tarafları yukarıda belirtilen bildirim yükümlülüğünün kimin tarafından yerine getirileceğini kendileri belirleyebilir, ancak belirlenmemiş bildirim veri aktaran tarafından yapılmalıdır.
• Standart sözleşme taraflarında veya standart sözleşme içeriğinde taraflarca yer verilen bilgi ve açıklamalarda bir değişiklik olması veya standart sözleşmenin sona ermesi hâlinde beş iş günü içinde Kurum’a bildirim yapılması gerekmektedir.
3- İstisnai Aktarım Halleri:
İstisnai aktarım hallerinin söz konusu olabileceği arızi aktarımlar Yönetmelik ile tanımlanmıştır. Buna göre düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içinde bulunmayan aktarımlar arızi niteliktedir.
Yurtdışına veri aktarımının yapılabilmesi için Kurul’dan yeterlilik kararı alınamıyorsa ve uygun güvence sağlanamıyorsa arızi olmak kaydı ile Yönetmelik’te sınırlı sayıda belirtilen istisnai durumlar özelinde yurtdışına kişisel veri aktarımı yapılabilecektir.
İlgili kişinin açık rızası, aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması bu istisnalara örnektir.
Sonuç olarak;
Yurtdışında yer alan veri işleyen hizmet sağlayıcılar ile çalışıyorsanız ve kişisel veri aktarımı yapıyorsanız, standart sözleşme imzalamak hem yasal yükümlülüklerinizi yerine getirmenizi hem de veri güvenliğini sağlamanız açısından önemlidir.
KVKK değişiklikleri ile hayata geçirilen yeni yurtdışına aktarım kurallarının nasıl uygulanacağı Yönetmelikle belirlenmiş ve aktarım taraflarının uygun güvenceleri sağlamaları adına kullanacakları güvence metinleri Kurum tarafından yayınlanmıştır. Bu doğrultuda 1 Eylül 2024 tarihi itibari ile arızi olmayan aktarımlar bakımından tek başına açık rızanın geçerli kabul edilmeyeceği ve bu kısa sürede de yeterlilik kararının Kurul tarafından verilmesi yolundaki güçlükler göz önüne alındığında tarafların uygun güvenceleri sağlamak üzere yurtdışına veri aktarımlarını değerlendirmeleri gerekmektedir.
Yönetmelik için bkz. https://www.resmigazete.gov.tr/eskiler/2024/07/20240710.pdf
Dr. Filiz ERBOĞA
İK Danışmanı
