Kişisel Verilerin Yurt Dışına Aktarımı: Standart Sözleşmeler ve Uygulama Esasları

Kişisel verilerin yurt dışına aktarımı, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında veri işleme şartlarından ayrı olarak değerlendirilmesi gereken bir yükümlülük alanıdır. KVKK’nın 2024 yılında değiştirilen 9. maddesi, yeterlilik kararları, uygun güvenceler ve arızi aktarımlara dayanan aşamalı bir sistem öngörmektedir. Standart sözleşmeler ile Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından onaylanan bağlayıcı şirket kuralları, bu sistemde başvurulabilecek uygun güvence yöntemleri arasındadır.

Çalışan verilerinin yabancı grup şirketleriyle paylaşılması, yurt dışındaki bulut hizmetlerinin kullanılması ve uluslararası ihbar sistemleri, bu kuralların uygulama alanları arasındadır. Şirketler açısından temel mesele, yalnızca standart sözleşme imzalamak değil; tarafların rollerini, aktarım şartlarını, bildirim süresini ve aydınlatma yükümlülüğünü birlikte değerlendirmektir. Bu makale, söz konusu yükümlülükleri uygulamaya yönelik örneklerle ele almaktadır.

KVKK’nın genel kapsamı ve şirketlerin temel yükümlülükleri hakkında Türkiye’de Kişisel Verilerin Korunması Hukuku (KVKK) başlıklı rehberimiz de incelenebilir.

İçindekiler

• Yurt dışına veri aktarımı nedir, hangi işlemleri kapsar?
• KVKK kapsamında yurt dışına veri aktarımının şartları nelerdir?
• Yurt dışına veri aktarımında açık rıza yeterli midir?
• Veri sorumlusu ve veri işleyen rolleri nasıl belirlenir?
• Yurt dışına veri aktarımı için hangi standart sözleşme kullanılmalıdır?
• Standart sözleşme bildirimi nasıl yapılır, süresi kaç gündür?
• Grup şirketlerine veri aktarımında Avrupa Birliği mevzuatına uyum yeterli midir?
• Aracılar ve alt veri işleyenlerle yapılan sonraki aktarımlar nasıl değerlendirilir?
• Yurt dışına veri aktarımında aydınlatma yükümlülüğü nasıl yerine getirilir?
• Maskeleme ve anonimleştirme arasındaki fark nedir?
• İhbar ve iç inceleme verileri yurt dışına nasıl aktarılabilir?
• Şirketler yurt dışına veri aktarımına uyumu nasıl sağlamalıdır?
• Sonuç

Yurt dışına veri aktarımı nedir, hangi işlemleri kapsar?

Yurt dışına veri aktarımı, KVKK’ya tabi bir veri sorumlusu veya veri işleyenin kişisel verileri yurt dışındaki başka bir veri sorumlusu veya veri işleyene iletmesi ya da onun erişimine açması şeklinde gerçekleşebilir. Aktarımın mutlaka e-posta veya dosya gönderimi yoluyla yapılması gerekmez.

Örneğin, Türkiye’deki şirketin çalışan kayıtlarına yabancı bir grup şirketinin erişmesi veya yabancı bir hizmet sağlayıcının teknik destek amacıyla bu kayıtları görüntülemesi, dosya indirilmemiş olsa bile aktarım kurallarını gündeme getirebilir. Kişisel verilerin yurt dışındaki bir hizmet sağlayıcının bulut sisteminde saklanması da bu çerçevede değerlendirilmelidir. Bu nedenle yalnızca sunucunun bulunduğu ülkeye değil, verilere erişebilen taraflara da bakılmalıdır.

KVKK kapsamında yurt dışına veri aktarımının şartları nelerdir?

KVKK, yurt dışına aktarım için aşamalı bir sistem öngörmektedir. Öncelikle aktarım yapılacak ülke, ülke içindeki sektör veya uluslararası kuruluş hakkında Kurulun yeterlilik kararı bulunup bulunmadığı değerlendirilir. Yeterlilik kararı bulunmadığında, standart sözleşmeler veya Kurul tarafından onaylanmış bağlayıcı şirket kuralları gibi uygun güvencelere başvurulabilir. Bunların da sağlanamadığı durumlarda, yalnızca KVKK’da belirtilen istisnai şartlarla ve arızi olmak kaydıyla aktarım yapılabilir.

Yeterlilik kararına veya uygun güvenceye dayanan aktarımlarda, ayrıca KVKK’nın 5. veya 6. maddesindeki işleme şartlarından birinin bulunması gerekir. Uygun güvenceye dayanan aktarımlarda, ilgili kişinin yabancı ülkede haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi de aranır. Dolayısıyla, Türkiye’de hukuka uygun olarak işlenen bir verinin yurt dışına aktarımı ayrıca değerlendirilmelidir.

Yurt dışına veri aktarımında açık rıza yeterli midir?

Yeterlilik kararı ve uygun güvencelerin bulunmadığı durumda, muhtemel riskler hakkında bilgilendirmeye dayalı açık rıza, ancak arızi aktarımlarda kullanılabilecek istisnai bir yoldur. Sürekli, düzenli veya şirketin olağan faaliyet akışının parçası olan aktarımlar bu kapsamda değerlendirilemez.

Örneğin, çalışan verilerinin her ay yurt dışındaki insan kaynakları sistemine yüklenmesi, yalnızca çalışanlardan açık rıza alınarak bu istisnaya dayandırılamaz. Belirleyici olan, her bir gönderimin ayrı yapılması değil, aktarım sürecinin bütün olarak düzenli ve süreklilik gösteren bir faaliyet olup olmadığıdır.

Veri sorumlusu ve veri işleyen rolleri nasıl belirlenir?

Veri sorumlusu, kişisel verilerin hangi amaçlarla ve hangi temel yöntemlerle işleneceğini belirleyen taraftır. Veri işleyen ise veri sorumlusu adına ve onun talimatları çerçevesinde hareket eder. Tarafların sıfatları belirlenirken sözleşmedeki adlandırmadan çok, somut veri işleme faaliyetindeki karar ve talimat ilişkisi esas alınmalıdır.

Örneğin, yalnızca şirketin belirlediği kurallar doğrultusunda bordro hesaplaması yapan bir hizmet sağlayıcı ile çalışan verilerini kendi belirlediği ayrı amaçlar için kullanan bir kuruluş aynı sıfatla değerlendirilmez. Benzer şekilde, bir yabancı şirketin grup merkezi olması, onu her işlem bakımından kendiliğinden veri sorumlusu veya veri işleyen yapmaz.

Bu nedenle rol analizi, kuruluşlara genel bir etiket verilerek değil, her veri işleme faaliyeti bakımından ayrı yapılmalıdır. Sözleşmelerdeki görev dağılımı da bu fiilî ilişkiyi yansıtmalıdır.

Yurt dışına veri aktarımı için hangi standart sözleşme kullanılmalıdır?

Kullanılacak standart sözleşme türü, veri aktaranın ve veri alıcısının veri sorumlusu veya veri işleyen olmasına göre belirlenir. Kurul tarafından yayımlanan dört farklı standart sözleşme bulunmaktadır:

• Veri sorumlusundan veri sorumlusuna aktarım için standart sözleşme: Hem veri aktaranın hem de veri alıcısının veri sorumlusu sıfatıyla hareket ettiği aktarımlarda kullanılır.
• Veri sorumlusundan veri işleyene aktarım için standart sözleşme: Veri sorumlusu sıfatıyla hareket eden veri aktaranın, kişisel verileri yurt dışındaki bir veri işleyene aktardığı durumlarda kullanılır.
• Veri işleyenden veri işleyene aktarım için standart sözleşme: Hem veri aktaranın hem de veri alıcısının veri işleyen sıfatıyla hareket ettiği aktarımlarda kullanılır.
• Veri işleyenden veri sorumlusuna aktarım için standart sözleşme: Veri işleyen sıfatıyla hareket eden veri aktaranın, kişisel verileri yurt dışındaki bir veri sorumlusuna aktardığı durumlarda kullanılır.

Doğru sözleşmenin seçilmesi için yalnızca yabancı alıcının değil, aktarımı yapan tarafın sıfatının da belirlenmesi gerekir. Aynı veri akışında birden fazla şirket veya hizmet sağlayıcı bulunması hâlinde, her ilişkinin ayrıca değerlendirilmesi gerekebilir. Sözleşme seçiminin başlangıç noktası, tarafların üstlenmek istediği sorumluluk değil, ilgili aktarımda fiilen hangi rolü yerine getirdikleridir.

Standart sözleşmeye dayanan aktarım için ayrıca Kuruldan önceden izin alınması gerekmez. Bununla birlikte, uygun sözleşmenin geçerli şekilde imzalanması, eklerinin somut veri akışına göre doldurulması ve bildirim yükümlülüğünün yerine getirilmesi gerekir.

Standart sözleşme bildirimi nasıl yapılır, süresi kaç gündür?

Standart sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumuna (“Kurum”) bildirilmelidir. Bildirim; fiziki olarak, kayıtlı elektronik posta üzerinden veya Kurumun Standart Sözleşme Bildirim Modülü aracılığıyla yapılabilir.

Sözleşme, aktarımın taraflarınca veya onları temsile ve imzaya yetkili kişilerce imzalanmalı; imza yetkisini gösteren belgeler de bildirimde sunulmalıdır. Her iki tarafın imza tarihleri açıkça belirtilmeli; bildirimden sorumlu taraf ve belge hazırlığı imza öncesinde belirlenmelidir. Yabancı dilde de düzenlenen sözleşmenin Türkçe metni her iki tarafça imzalanmalıdır. Yabancı resmî belgeler için uygulanabilir apostil, tasdik ve noter onaylı Türkçe çeviri gereklilikleri ayrıca kontrol edilmelidir.

Standart sözleşme, olağan bir ticari sözleşme gibi serbestçe değiştirilemez. Kurumun açıklamaları uyarınca yalnızca seçimlik veya alternatif içerikli maddelerde gerekli seçim ve düzenlemeler yapılabilir. Ayrıca imzalar daha sonra tamamlanmışken sözleşmeye geçmişe dönük bir yürürlük tarihi yazılmamalıdır.

Grup şirketlerine veri aktarımında Avrupa Birliği mevzuatına uyum yeterli midir?

Şirketlerin aynı uluslararası grupta bulunması veya yabancı alıcının Avrupa Birliği Genel Veri Koruma Tüzüğü (“GDPR”) hükümlerine tabi olması, Türkiye’den yapılan aktarım için tek başına yeterli değildir. GDPR kapsamında hazırlanmış sözleşmeler ve grup politikaları, Türk hukukunun öngördüğü aktarım araçlarının yerine kendiliğinden geçmez.

Grup içi aktarımlar bakımından standart sözleşmelerin yanı sıra bağlayıcı şirket kuralları da değerlendirilebilir. Ancak bir grubun kendi içinde benimsediği veri koruma politikasının bulunması ile KVKK kapsamında Kurul tarafından onaylanmış bağlayıcı şirket kurallarının bulunması farklıdır. Türkiye bağlantılı aktarım düzeni, grubun küresel veri koruma programı içinde ayrıca ele alınmalıdır.

Aracılar ve alt veri işleyenlerle yapılan sonraki aktarımlar nasıl değerlendirilir?

Verilerin önce bir danışmana, hizmet sağlayıcıya veya grup şirketine gönderilmesi, bu tarafın verileri başka bir alıcıya iletmesini kendiliğinden hukuka uygun hâle getirmez. İlk aktarımın yanında, yabancı alıcının yapacağı sonraki paylaşımların da ilgili standart sözleşmenin şartlarına uygun olması gerekir.

Örneğin, Türkiye’den yabancı bir şirkete aktarılan verilerin, aynı ülkedeki başka bir şirkete iletilmesi de sonraki aktarım hükümlerini gündeme getirebilir. Dolayısıyla, verilerin ikinci kez ülke sınırını geçmemesi tek başına belirleyici değildir.

Bununla birlikte, her sonraki paylaşım için mutlaka ayrı bir standart sözleşme gerektiği de söylenemez. Örneğin, veri sorumlusundan veri işleyene aktarım için kullanılan standart sözleşme kapsamında bir alt veri işleyen kullanılması hâlinde, gerekli yetkilendirme süreci ile standart sözleşmedeki güvenceleri içeren yazılı alt veri işleme sözleşmesi önem taşır. Kullanılacak hukuki araç, sonraki alıcının rolüne ve mevcut sözleşmenin hükümlerine göre belirlenmelidir.

Yurt dışına veri aktarımında aydınlatma yükümlülüğü nasıl yerine getirilir?

Standart sözleşmenin imzalanması, aydınlatma yükümlülüğünü ortadan kaldırmaz. İlgili kişilere; veri sorumlusunun kimliği, işleme amaçları, aktarım amaçları ve alıcı grupları, veri toplama yöntemi, hukuki sebep ve hakları hakkında bilgi verilmelidir. Aydınlatmanın yerine getirilmesi, ilgili kişinin talebine bağlı değildir.

Genel aydınlatmada alıcı gruplarının belirtilmesi ile seçilen standart sözleşmeden doğan özel bilgilendirme yükümlülükleri birbirinden ayrılmalıdır. Örneğin, veri sorumlusundan veri sorumlusuna aktarım için kullanılan standart sözleşmenin 7.4. maddesi, yabancı veri alıcısının kimliği ve iletişim bilgileri hakkında ilgili kişilere doğrudan veya veri aktaran aracılığıyla bilgi verilmesini öngörür. Bu nedenle genel bir alıcı grubu ifadesinin kullanılması, sözleşmeden doğan bütün bilgilendirme yükümlülüklerinin yerine getirildiği anlamına gelmez.

Ayrıca ilgili kişiler, KVKK’nın 11. maddesi kapsamında verilerinin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri öğrenme hakkına sahiptir. Şirketler, genel aydınlatma metinlerini, sözleşmeye dayalı ek bilgilendirmeleri ve ilgili kişi başvurularına verilecek cevapları birbiriyle uyumlu biçimde hazırlamalıdır.

Maskeleme ve anonimleştirme arasındaki fark nedir?

Bir kayıttan kişinin adının çıkarılması, her zaman anonimleştirme anlamına gelmez. Görev unvanı, çalışılan bölüm, olayın tarihi veya başka kayıtlarla eşleştirme yoluyla kişinin kimliği belirlenebiliyorsa, kişisel veri niteliği devam eder.

Örneğin, adı silinmiş bir raporda belirli bir bölümün tek yöneticisinden söz edilmesi, kişinin kimliğinin anlaşılmasını engellemeyebilir. Benzer şekilde, isim yerine kullanılan kodun bir eşleştirme tablosuyla çözülebilmesi de gerçek anonimleştirmeden farklıdır. Maskeleme, riski azaltan bir tedbir olabilir; ancak tek başına yurt dışına aktarım yükümlülüklerini ortadan kaldırmaz. Anonimleştirme değerlendirmesinde, verilerin başka bilgilerle birleştirildiğinde de kişiyle ilişkilendirilememesi aranır.

İhbar ve iç inceleme verileri yurt dışına nasıl aktarılabilir?

İhbar ve iç inceleme süreçleri değerlendirilirken yalnızca bildirimde bulunan kişinin değil, hakkında bildirim yapılan kişilerin, tanıkların ve belgelerde adı geçen diğer kişilerin verileri de dikkate alınmalıdır. Bildirimin anonim yapılmış olması, içeriğindeki bütün bilgilerin anonim olduğu anlamına gelmez.

Bu süreçlerde sağlık veya sendika üyeliği gibi özel nitelikli kişisel veriler de yer alabilir. Böyle bir durumda, KVKK’nın 6. maddesindeki uygun işleme şartının ve Kurul tarafından belirlenen yeterli önlemlerin ayrıca değerlendirilmesi gerekir. Dosyanın bir incelemeyle bağlantılı olması, içindeki her verinin sınırsız biçimde işlenmesini haklı kılmaz.

Verilerin doğrudan ilgili kişiden alınmadığı durumlarda aydınlatmanın zamanlaması da önemlidir. Uygulanabilir kanuni istisnalar saklı kalmak üzere, veriler aktarılacaksa aydınlatmanın en geç ilk aktarımın yapılacağı esnada yerine getirilmesi gerekir. İncelemenin gizliliğini koruma ihtiyacı, tek başına genel bir aydınlatma istisnası olarak değerlendirilmemelidir.

Şirketler yurt dışına veri aktarımına uyumu nasıl sağlamalıdır?

Uyum çalışmasının başlangıç noktası, kullanılan sözleşmelerin listesi değil, fiilî veri akışı olmalıdır. Her süreç için veri kategorilerinin, amaçların, alıcıların, taraf rollerinin ve aktarım yönteminin birlikte gösterildiği bir değerlendirme tablosu hazırlanması yararlı olacaktır.

Sözleşmenin ekleri de bu çalışma temelinde doldurulmalıdır. Aktarım kapsamının genel ifadelerle geçiştirilmesi yerine, hangi verilerin hangi amaçlarla aktarılacağı ve hangi güvencelerin uygulanacağı somutlaştırılmalıdır. Kurulun standart sözleşme sistemi de aktarımın ayrıntıları ile teknik ve idari tedbirlerin belirlenmesini esas almaktadır.

Sözleşmelerin uygulanması; erişim yetkileri, güvenli iletişim yöntemleri, çalışanların görevleri ve denetim süreçleriyle desteklenmelidir. Veri işleme faaliyetinin dışarıdan hizmet alınarak yürütülmesi, veri sorumlusunun güvenliğe ilişkin sorumluluğunu ortadan kaldırmaz. Kişisel verilerin veri sorumlusu adına başka bir kişi tarafından işlenmesi hâlinde, gerekli güvenlik tedbirlerinin alınması bakımından veri sorumlusu ile veri işleyen birlikte sorumludur.

Son olarak, alıcıların ve alt veri işleyenlerin değişmesi, yeni bir sistem kullanılması veya aktarım kapsamının genişlemesi hâlinde belgeler yeniden gözden geçirilmelidir. Standart sözleşmelerde öngörülen ek güncelleme ve bildirim yükümlülükleri de değişiklik yönetiminin bir parçası olmalıdır.

Sonuç

Yurt dışına veri aktarımı, yalnızca sözleşme imzalanarak tamamlanan bir işlem değil; hukuki nitelendirme, bilgilendirme, veri güvenliği ve sürekli kontrol gerektiren bir uyum alanıdır. Şirketler için esas hedef, standart sözleşmede üstlenilen yükümlülüklerle günlük işleyiş arasında tutarlılık sağlamaktır.

GEMS Schindhelm İstanbul olarak müvekkillerimize, kişisel verilerin yurt dışına aktarım süreçlerinin değerlendirilmesi, veri sorumlusu ve veri işleyen rollerinin belirlenmesi, uygun aktarım araçlarının seçilmesi, standart sözleşmelerin ve tamamlayıcı belgelerin hazırlanması, aydınlatma süreçlerinin düzenlenmesi ve Kurum nezdindeki bildirimlerin yönetilmesi konularında danışmanlık hizmeti sunmaktayız. Konuya ilişkin sorularınız için bizimle iletişime geçin.