Yurt Dışına Veri Aktarımı: KVKK’da Standart Sözleşme
KVKK 9. madde 2024 değişikliğiyle yurt dışına veri aktarımı: yeterlilik kararı, standart sözleşme ve 5 iş günü bildirimi, arızi aktarım hâlleri.
Bulut hizmeti kullanan, yurt dışındaki grup şirketiyle müşteri veya çalışan bilgisi paylaşan ya da yurt dışında sunucusu bulunan bir yazılım kullanan her işletme, kişisel verileri yurt dışına aktarıyor olabilir. 6698 sayılı Kişisel Verilerin Korunması Kanununun (KVKK) 9. maddesi, 7499 sayılı Kanunla baştan yazıldı ve 1 Haziran 2024’te yürürlüğe girdi. Eski düzende ağırlıklı olarak kullanılan açık rıza yolu, 1 Eylül 2024’e kadar yeni hükümlerle birlikte uygulanabildi (geçici md. 3); bu tarihten sonra yalnız yeni sistem geçerlidir.
Yeni Sistem: Üç Basamak
Yurt dışına aktarım için önce, verinin KVKK md. 5 veya 6’daki işleme şartlarından birine dayanması gerekir. Ardından aşağıdaki basamaklardan biri aranır:
| Basamak | Şart | Kurulla ilişki |
| 1. Yeterlilik kararı | Aktarılacak ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı bulunması | Kurul karar verir, Resmî Gazete’de yayımlanır |
| 2. Uygun güvenceler | Standart sözleşme, bağlayıcı şirket kuralları, yazılı taahhütname veya kamu kurumları arası anlaşma; ilgili kişinin o ülkede de hak arama imkânı | Standart sözleşme 5 iş günü içinde Kuruma bildirilir; taahhütname ve anlaşma için Kurul izni gerekir |
| 3. Arızi aktarım | Yeterlilik kararı ve uygun güvence yoksa, yalnız arızi olarak ve kanunda sayılan hâllerde | Ayrıca izin aranmaz |
Standart Sözleşme ve Beş İş Günü Bildirimi
Uygulamada en sık kullanılan güvence, Kurulun ilan ettiği standart sözleşmedir. Sözleşmede veri kategorileri, aktarımın amacı, alıcılar, alıcının alacağı teknik ve idari tedbirler ile özel nitelikli veriler için ek önlemler yer alır (md. 9/4-c). Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir (md. 9/5).
Bildirim yükümlülüğüne uymayanlar hakkında Kanunda 50.000 TL’den 1.000.000 TL’ye kadar öngörülen idari para cezası uygulanır; tutarlar her yıl yeniden değerleme oranında artırılır (md. 18/1-d). Bu ceza veri sorumluları yanında veri işleyen gerçek kişiler ve özel hukuk tüzel kişileri için de geçerlidir (md. 18/2). Kurulun idari para cezalarına karşı 1 Haziran 2024’ten itibaren idare mahkemesinde dava açılır (md. 18/3).
Arızi Aktarım Hâlleri
Yeterlilik kararı ve uygun güvencenin bulunmadığı durumlarda aktarım, yalnız arızi olmak, yani düzenli ve süreklilik arz etmemek kaydıyla şu hâllerde yapılabilir (md. 9/6):
- İlgili kişinin, muhtemel riskler hakkında bilgilendirilerek aktarıma açık rıza vermesi
- Aktarımın, ilgili kişiyle yapılan bir sözleşmenin ifası veya kişinin talebiyle alınan sözleşme öncesi tedbirler için zorunlu olması
- Aktarımın, ilgili kişi yararına yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması
- Üstün bir kamu yararı ya da bir hakkın tesisi, kullanılması veya korunması için zorunlu olması
- Rızasını açıklayamayacak durumdaki kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olması
- Kamuya veya meşru menfaati bulunanlara açık bir sicilden, mevzuattaki şartlarla aktarım yapılması
İlk üç hâl, kamu kurumlarının kamu hukukuna tabi faaliyetlerinde uygulanmaz (md. 9/7). Yurt dışına aktarılan verilerin sonraki aktarımlarında da aynı güvenceler sağlanmalıdır (md. 9/8).
Aydınlatma Metnine Yansıması
Veri sorumlusu, kişisel verilerin kimlere ve hangi amaçla aktarılabileceğini aydınlatma metninde belirtmekle yükümlüdür (md. 10/1-c). Yurt dışına aktarım yapılıyorsa bu bilginin metinde yer alması gerekir; metnin unsurları için KVKK Kapsamında Aydınlatma Metni Nasıl Hazırlanır? yazımıza, uyum sürecinin genel adımları için KVKK Uyum Sürecinde Dikkat Edilmesi Gerekenler yazımıza bakabilirsiniz.
Sık Sorulan Sorular
Açık rıza ile yurt dışına veri aktarılabilir mi?
Açık rıza artık yalnız arızi aktarım hâllerinden biridir ve kişinin muhtemel riskler hakkında bilgilendirilmesi gerekir. Düzenli aktarımlar için yeterlilik kararı veya uygun güvence aranır.
Standart sözleşme Kuruma ne zaman bildirilir?
Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.
Yeterlilik kararını kim verir?
Yeterlilik kararını Kişisel Verileri Koruma Kurulu verir; karar Resmî Gazete’de yayımlanır ve en geç dört yılda bir yeniden değerlendirilir.
Bildirim yapılmazsa yaptırım nedir?
KVKK md. 18/1-d uyarınca idari para cezası uygulanır; Kanundaki alt ve üst sınırlar her yıl yeniden değerleme oranında artırılır.
KVKK uyum çalışmalarının kapsamı için KVKK Uyum Süreci ve Sicil İşlemleri sayfasına bakabilirsiniz.
Dayanak: 6698 sayılı Kişisel Verilerin Korunması Kanunu md. 5, 6, 9, 10, 18 ve geçici md. 3 (7499 sayılı Kanunla değişik hâli).
Bu yazı genel bilgilendirme amaçlıdır; hukuki danışmanlık yerine geçmez.
