Kişisel Verilerin Yurt Dışına Aktarılması ve Dikkat Edilmesi Gereken Hususlar

A. Giriş

Teknolojik gelişmeler, bulut tabanlı hizmetlerin yaygınlaşması, şirketlerin uluslararası grup yapıları içerisinde faaliyet göstermesi ve iş süreçlerinde yurt dışında yerleşik hizmet sağlayıcılardan yararlanılması, kişisel verilerin yurt dışına aktarılmasını şirketlerin günlük faaliyetlerinin önemli bir parçası hâline getirmiştir.

Bu kapsamda 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) “Kişisel verilerin yurt dışına aktarılması” başlıklı 9 uncu maddesi, 12.03.2024 tarihli Resmî Gazete’de yayımlanan 7499 sayılı Kanun ile önemli ölçüde değiştirilmiş ve yeni düzenleme 01.06.2024 tarihinde yürürlüğe girmiştir. Ardından Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (“Yönetmelik”) 10.07.2024 tarihinde yayımlanarak yürürlüğe girmiştir.

Yeni düzenleme ile yurt dışına veri aktarımı bakımından yeterlilik kararı, uygun güvenceler ve istisnai aktarım halleri olmak üzere üç kademeli bir sistem oluşturulmuştur. Böylelikle önceki düzenlemede uygulamada büyük ölçüde açık rızaya dayanan sistem yerine, özellikle standart sözleşmeler ve bağlayıcı şirket kuralları gibi alternatif aktarım mekanizmaları getirilmiştir.

Bu nedenle şirketlerin yurt dışına veri aktarımı bakımından yalnızca ilgili kişilerden açık rıza alınıp alınmadığını değil; aktarımın niteliğini, sürekliliğini, tarafların hukuki sıfatlarını ve hangi aktarım mekanizmasının uygulanacağını ayrıca değerlendirmesi gerekmektedir.

B. Kişisel Verilerin Yurt Dışına Aktarılması

a. Yurt Dışına Veri Aktarımı Kavramı

Yönetmelik uyarınca kişisel verilerin yurt dışına aktarılması; kişisel verilerin Kanun kapsamındaki bir veri sorumlusu veya veri işleyen tarafından yurt dışındaki bir veri sorumlusu veya veri işleyene iletilmesi veya başka bir suretle erişilebilir hâle getirilmesi olarak tanımlanmaktadır.

Bu nedenle aktarımın gerçekleşmesi için kişisel verilerin fiziksel olarak Türkiye’den başka bir ülkeye gönderilmesi zorunlu değildir. Yurt dışında bulunan kişilere uzaktan erişim yetkisi verilmesi veya kişisel verilerin yurt dışındaki bir bulut altyapısında saklanması da şartların oluşması hâlinde yurt dışına veri aktarımı olarak değerlendirilmektedir. Kurum Rehberi’nde, yurt dışından uzaktan erişimin yalnızca kişisel verilerin ekranda görüntülenmesi şeklinde gerçekleşmesi hâlinde dahi aktarım teşkil edebileceği belirtilmektedir.

Dolayısıyla şirketlerin kullandıkları e-posta sistemleri, bulut depolama hizmetleri, insan kaynakları uygulamaları, müşteri yönetim sistemleri ve grup şirketlerinin ortak veri tabanları yurt dışına veri aktarımı bakımından ayrıca incelenmelidir.

b. Yurt Dışına Veri Aktarımında Uygulanacak Sistem

Kanun’un 9 uncu maddesinde yurt dışına veri aktarımı bakımından üç aşamalı bir sistem benimsenmiştir.

İlk olarak, aktarımın yapılacağı ülke, ülke içerisindeki belirli bir sektör veya uluslararası kuruluş hakkında Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından verilmiş bir yeterlilik kararının bulunup bulunmadığı değerlendirilmelidir. Yeterlilik kararının bulunması hâlinde, Kanun’un 5 veya 6 ncı maddesinde yer alan kişisel veri işleme şartlarından birinin de mevcut olması kaydıyla yurt dışına veri aktarımı yapılabilir.

Yeterlilik kararının bulunmaması hâlinde ise yine Kanun’un 5 veya 6 ncı maddesindeki işleme şartlarından birinin bulunması ve ilgili kişilerin aktarımın yapılacağı ülkede haklarını kullanabilme ve etkili kanun yollarına başvurabilme imkânının mevcut olması şartıyla uygun güvencelerden birine dayanılabilir.

Bu kapsamda uygun güvenceler;

• kamu kurum ve kuruluşları veya uluslararası kuruluşlar arasında uluslararası sözleşme niteliğinde olmayan bir anlaşma yapılması ve Kurulun izin vermesi,
• Kurul tarafından onaylanan bağlayıcı şirket kurallarının bulunması,
• Kurul tarafından yayımlanan standart sözleşmelerden uygun olanının imzalanması veya
• yeterli korumayı sağlayacak hükümler içeren yazılı bir taahhütnamenin hazırlanması ve Kurulun aktarıma izin vermesi

olarak düzenlenmiştir.

c. Standart Sözleşmeye Dayalı Aktarımlar

Uygulamada şirketler bakımından en önemli uygun güvence yöntemlerinden biri standart sözleşmelerdir. Standart sözleşmeler, kişisel verileri aktaran veri sorumlusu veya veri işleyen ile yurt dışındaki veri alıcısı arasında imzalanan ve içeriği Kurul tarafından belirlenen model sözleşmelerdir.

Söz konusu sözleşmelerde veri kategorileri, aktarımın amacı, veri alıcıları, teknik ve idari tedbirler, özel nitelikli kişisel verilere ilişkin ek önlemler ve sonraki aktarımlar gibi hususlara yer verilmektedir.

Kurul tarafından aktarım taraflarının hukuki sıfatlarına göre dört farklı standart sözleşme tipi öngörülmüştür. Bu nedenle sözleşme imzalanmadan önce veri aktaran ve veri alıcısının veri sorumlusu mu yoksa veri işleyen mi olduğunun doğru şekilde belirlenmesi önem arz etmektedir.

Standart sözleşmeye dayanılarak yapılacak aktarım için Kuruldan önceden ayrıca izin alınması gerekmemektedir. Bununla birlikte, tarafların imzalarının tamamlanmasından itibaren beş iş günü içerisinde standart sözleşmenin Kuruma bildirilmesi gerekmektedir. Bildirim yükümlülüğünün yerine getirilmemesi Kanun kapsamında idari para cezasına bağlanmıştır.

Bu nedenle şirketlerin yalnızca standart sözleşmeyi imzalaması yeterli olmayıp, bildirim süresinin takibi, imza yetkilerinin kontrolü ve sözleşmenin eklerinin somut aktarım faaliyetiyle uyumlu şekilde doldurulması gerekmektedir.

Ayrıca standart sözleşmede belirtilen kişisel veri kategorileri, ilgili kişi grupları, aktarım amaçları, saklama süreleri ve teknik ve idari tedbirlerin gerçek veri akışını yansıtması önemlidir. Veri aktaranın VERBİS’e kayıt yükümlülüğü bulunması hâlinde standart sözleşmede yer alan bilgilerin VERBİS kayıtlarıyla da uyumlu olması gerekmektedir.

d. Bağlayıcı Şirket Kuralları ve Taahhütnameler

Bağlayıcı şirket kuralları (“BŞK”), özellikle aynı teşebbüs grubu içerisinde yer alan şirketler arasındaki düzenli yurt dışı veri aktarımları için öngörülen uygun güvence yöntemlerinden biridir.

BŞK, ortak ekonomik faaliyette bulunan teşebbüs grubunda yer alan Türkiye’deki veri sorumlusu veya veri işleyen tarafından, aynı grubun yurt dışındaki veri sorumlusu veya veri işleyenine yapılan aktarımlar bakımından grup üyelerinin uyması gereken kişisel veri koruma kurallarını ifade etmektedir.

BŞK’ya dayanılabilmesi için öncelikle Kurula başvurulması ve kuralların Kurul tarafından onaylanması gerekmektedir. Bu yöntem özellikle çok uluslu şirket gruplarında çalışan, müşteri ve tedarikçi verilerinin grup şirketleri arasında sistematik olarak paylaşılması bakımından önem taşımaktadır.

Diğer bir uygun güvence yöntemi ise yeterli korumayı sağlayan hükümler içeren yazılı bir taahhütname hazırlanmasıdır. Bu yöntemde de standart sözleşmeden farklı olarak yurt dışına aktarım gerçekleştirilmeden önce Kurulun izninin alınması gerekmektedir.

e. İstisnai Aktarımlar

Yeterlilik kararının bulunmadığı ve uygun güvencelerden birinin sağlanamadığı durumlarda Kanun’da belirtilen bazı hâllerde kişisel verilerin yurt dışına aktarılması mümkündür. Ancak bu yöntemin uygulanabilmesi için aktarımın arızi nitelikte olması gerekmektedir.

Arızi aktarım; düzenli olmayan, tek veya birkaç kez gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içerisinde bulunmayan aktarımları ifade etmektedir.

Örneğin sürekli kullanılan bir bulut hizmetine veya düzenli şekilde yabancı grup şirketine yapılan aktarımlar arızi aktarım olarak kabul edilemez. Kurum Rehberi’nde de olağan faaliyet akışı içerisindeki aktarımların istisnai aktarım hükümlerine dayandırılamayacağı açıkça belirtilmiştir.

İstisnai aktarım halleri arasında ilgili kişinin muhtemel riskler hakkında bilgilendirilmesi kaydıyla açık rıza vermesi, sözleşmenin kurulması veya ifası için aktarımın zorunlu olması, üstün kamu yararı, bir hakkın tesisi, kullanılması veya korunması ve hayat veya beden bütünlüğünün korunması gibi durumlar bulunmaktadır.

Bu nedenle açık rıza da yeni sistemde sürekli yurt dışı aktarımları bakımından genel bir aktarım yöntemi olarak değerlendirilmemelidir. İstisnai aktarım hükümlerine ancak arızi aktarımlarda ve diğer aktarım yöntemlerinin uygulanamadığı durumlarda başvurulmalıdır. Kurum Rehberi’nde de istisnai aktarımların dar yorumlanması ve son çare olarak kullanılması gerektiği ifade edilmektedir.

C. Sonuç

7499 sayılı Kanun ile yapılan değişiklik sonucunda kişisel verilerin yurt dışına aktarılmasına ilişkin sistem önemli ölçüde değiştirilmiş ve yeterlilik kararı, uygun güvenceler ve istisnai aktarım hallerinden oluşan kademeli bir yapı benimsenmiştir.

Şirketlerin öncelikle mevcut veri akışlarını tespit ederek hangi kişisel verilerin, hangi amaçlarla ve hangi kişi veya kuruluşlara aktarıldığını belirlemeleri gerekmektedir. Bu kapsamda yalnızca doğrudan yurt dışındaki şirketlere gönderilen veriler değil, yurt dışında tutulan bulut sistemleri ve yurt dışından sağlanan uzaktan erişimler de dikkate alınmalıdır.

Yeterlilik kararının bulunmadığı durumlarda standart sözleşmeler, bağlayıcı şirket kuralları ve taahhütnameler uygun güvence mekanizmaları olarak kullanılabilmektedir. Özellikle standart sözleşmeler bakımından doğru sözleşme tipinin seçilmesi, sözleşmenin eklerinin gerçek veri akışıyla uyumlu olması ve sözleşmenin imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilmesi önem taşımaktadır.

Diğer yandan açık rıza dâhil istisnai aktarım halleri, sürekli yurt dışı veri aktarımlarının hukuki dayanağı olarak kullanılmamalıdır. Bu yöntemlere yalnızca aktarımın arızi olması ve Kanun’da öngörülen şartların bulunması hâlinde başvurulabilir.

Sonuç olarak kişisel verilerin yurt dışına aktarılması bakımından uyum süreci yalnızca bir sözleşmenin imzalanmasından ibaret değildir. Şirketlerin veri akışlarını düzenli olarak gözden geçirmesi, aktarım taraflarının hukuki sıfatlarını doğru belirlemesi, uygun aktarım mekanizmasını seçmesi ve gerekli teknik, idari ve sözleşmesel tedbirleri birlikte uygulaması gerekmektedir.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.