Yurt Dışına Kişisel Veri Aktarımı Nasıl Yapılır?

Yurt dışına kişisel veri aktarımı için önce gerçek veri akışı, işleme şartı ve uygulanacak aktarım yolu belirlenir. Yeterlilik bulunan yolda veya uygun güvence sağlanarak yapılacak aktarımda, Kanunun 5. veya 6. maddesindeki şartlardan biri de bulunmalıdır. Yeterlilik ve uygun güvence sağlanamayan durumlarda ise istisnai aktarım yolu yalnız arızi aktarımlar bakımından değerlendirilir (6698 sayılı Kişisel Verilerin Korunması Kanunu m.9/1, m.9/4, m.9/6).

Aktarım kurallarının genel veri işleme şartları içindeki yeri, KVKK ana rehberinde açıklanmıştır.

İşletmenin bulut, müşteri yönetimi veya bordro hizmeti kullanması, incelemeye başlamak için somut bir noktadır. Ancak yalnız ürünün adından sonuca gidilmez: hangi kişisel veri, hangi tarafça, kime ve hangi erişim düzeniyle açılıyor? Aktarım, verinin yurt dışındaki veri sorumlusu veya veri işleyene iletilmesi yanında başka suretle erişilebilir kılınmasını da kapsar (Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m.4/1-e).

1. Yurt Dışına Kişisel Veri Aktarımı Ne Zaman Oluşur?

Yurt dışına kişisel veri aktarımı, Kanun kapsamındaki veri sorumlusu veya veri işleyenin veriyi yurt dışındaki bir veri sorumlusu ya da veri işleyene iletmesi veya erişilebilir hâle getirmesiyle oluşur. İnceleme yalnız sunucunun bulunduğu yerle sınırlanmaz; veriyi alan taraf ve erişim biçimi de belirlenir (Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m.4/1-e, m.4/1-ğ, m.4/1-h).

Örneğin varsayımsal bir işletmede kayıtlar Türkiye’de tutulsa bile yurt dışındaki hizmet sağlayıcının bu kayıtlara erişebildiği anlaşılabilir. Erişim söz konusuysa aktarım tanımının koşulları ayrıca incelenir. Buna karşılık bir programın yabancı isim taşıması tek başına hangi verinin kime açıldığını göstermez (Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m.4/1-e).

Kurumun Kişisel Verilerin Yurt Dışına Aktarılması Rehberi de uzaktan erişim ve bulutta depolama örneklerini, aktaran ve alıcıya ilişkin koşullarla birlikte açıklar. Rehber uygulama açıklamasıdır; kanun ve yönetmeliğin yerine geçen bağlayıcı bir norm değildir. Kurumun rehber sayfasından incelenebilir.

2. Yurt Dışına Kişisel Veri Aktarımında Hangi Hukuki Yollar Kullanılır?

Yurt dışına kişisel veri aktarımında yeterlilik, uygun güvence ve arızi istisnai aktarım yolları aynı koşullara bağlı değildir. İlk inceleme, ilgili kişisel verinin hangi işleme şartına dayandığıdır. Olağan ve özel nitelikli veriler kendi işleme şartlarıyla değerlendirilir; ardından aktarımın hangi yoldan yapılabileceği belirlenir (KVKK m.5, m.6, m.9).

Aktarım yolu	Hangi durumda değer­len­di­ri­lir?	Korunacak temel koşul
Yeterlilik bulunan yol	Ülke, ülke içindeki sektör veya ulus­la­ra­rası kuruluş hakkında yeterlilik bulunması	KVKK m.5 veya m.6 kapsamında işleme şartı ve yeter­li­li­ğin ilgili aktarımı kapsaması
Uygun güvence yolu	Yeterlilik bulunmaması	İşleme şartı; kişinin haklarını kullanma ve etkili kanun yollarına başvurma imkânı; uygun güven­ce­ler­den birinin sağlanması
İstisnai aktarım	Yeterlilik bulunmaması ve uygun güvencenin sağ­la­na­ma­ması	Arızi nitelik ve Kanunda belirtilen istisnai hâllerden birinin ger­çek­leş­mesi

Tablo, Kanunun aktarım yollarını karşılaştırır. Kanundaki yeterlilik kararı, ilgili ülke, ülke içindeki sektör veya uluslararası kuruluş bakımından değerlendirilir. Yeterlilik yalnız bir ülkenin adına bakılarak varsayılmamalıdır; ülke içindeki sektör veya uluslararası kuruluş bakımından kapsam da önem taşır. Uygun güvence yolunda ise yalnız sözleşmenin bulunmasıyla yetinilmeyip diğer koşullar da incelenir (KVKK m.9/1, m.9/4, m.9/6).

Uluslararası sözleşmeler saklı kalmak üzere, Türkiye’nin veya ilgili kişinin menfaatinin ciddi biçimde zarar göreceği durumlar için ayrıca ilgili kamu kurum veya kuruluşunun görüşü ve Kurulun izni aranır. Diğer kanunların yurt dışına aktarıma ilişkin hükümleri de saklıdır (KVKK m.9/9, m.9/10).

3. Yurt Dışına Kişisel Veri Aktarımında Uygun Güvence Nasıl Sağlanır?

Yurt dışına kişisel veri aktarımında uygun güvence, Kanunda sayılan yöntemlerden biriyle sağlanır. Bunlar kamu kurumları arasındaki belirli anlaşmalar, bağlayıcı şirket kuralları, standart sözleşme ve yazılı taahhütnamedir. Yöntemlerin kapsamı ve gerekli izin veya onay işlemleri birbirinden ayrılır (KVKK m.9/4).

Kamu kurumları veya uluslararası kuruluşlarla ilgili anlaşma yolu, Kanunda belirtilen taraflar ve aktarım izni koşuluyla düzenlenmiştir. Bu yol, herhangi iki özel şirketin yaptığı hizmet sözleşmesine verilen genel bir ad değildir (KVKK m.9/4-a).

Bağlayıcı şirket kuralları, ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketler bakımından değerlendirilir ve Kurul onayı koşuluna bağlıdır. Yazılı taahhütname yolunda da yeterli korumayı sağlayan hükümler ile Kurulun aktarıma izin vermesi gerekir. Grup şirketi olma veya bir gizlilik taahhüdü imzalama tek başına bu şartların yerine geçmez (KVKK m.9/4-b, m.9/4-ç).

Standart sözleşme yolunda ise Kurumun ilan ettiği metin kullanılır. Aktarımın amaçları, veri kategorileri, alıcılar ve tedbirler gibi hususlar bu güvence kapsamında açıklanır. Standart sözleşmeyi seçmek, işleme şartını veya ilgili kişinin haklarını kullanabilmesine ilişkin incelemeyi kaldırmaz (KVKK m.9/4, m.9/4-c).

4. Yurt Dışına Kişisel Veri Aktarımında Standart Sözleşme Tipi Nasıl Seçilir?

Yurt dışına kişisel veri aktarımında standart sözleşme tipi, aktaran ve alıcı tarafın rolüne göre seçilir. Veri sorumlusu ile veri işleyen ayrımı bu nedenle sözleşme hazırlığından önce yapılmalıdır. İşleme amaçlarını ve araçlarını belirleyen taraf ile verilen yetkiye dayanarak onun adına işlem yapan taraf aynı rolü taşımaz (KVKK m.3).

Kurumun yayımladığı metinler, aktaran ve alıcının rolleri bakımından aşağıdaki ilişkileri karşılar. Bu adlandırmalar Kurumun Kişisel Verilerin Yurt Dışına Aktarılması Rehberi ve standart sözleşme yayımındaki tip ayrımına dayanır; bir hizmetin rolü yalnız ticari adı üzerinden seçilmemelidir.

Veri aktaranın rolü	Yurt dışındaki veri alıcısı	İlgili standart sözleşme tipi
Veri sorumlusu	Veri sorumlusu	Veri sorum­lu­sun­dan veri sorumlusuna
Veri sorumlusu	Veri işleyen	Veri sorum­lu­sun­dan veri işleyene
Veri işleyen	Veri işleyen	Veri işleyenden veri işleyene
Veri işleyen	Veri sorumlusu	Veri işleyenden veri sorumlusuna

Örneğin varsayımsal bir işletmenin, kendi belirlediği amaçla tuttuğu müşteri kayıtlarını yalnız kendi talimatlarıyla işleyen yurt dışındaki bir hizmet sağlayıcısına aktardığı düşünülebilir. Bu varsayım gerçekten karşılanıyorsa veri sorumlusundan veri işleyene ilişki incelenir. Sağlayıcının veriyi kendi amaçlarıyla da kullanması gibi başka bilgiler varsa rol değerlendirmesi yeniden yapılmalıdır (KVKK m.3/1-ğ, m.3/1-ı).

Metinlere Kurumun standart sözleşmeler yayımından ulaşılabilir. İlan edilen standart sözleşme metni değişiklik yapılmadan kullanılır; metin ayrıca yabancı dilde de düzenlenmişse Türkçe metin esas alınır. Tarafları ve aktarımı açıklayan eklerin doldurulması, standart hükümleri yeniden yazmakla karıştırılmamalıdır (Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m.14/2, m.14/3).

5. Yurt Dışına Kişisel Veri Aktarımında Sözleşme Ekleri Nasıl Hazırlanır?

Yurt dışına kişisel veri aktarımında standart sözleşmenin ekleri, gerçek aktarımı açıklamalıdır. Aktarılan veri kategorileri, aktarım amacı, alıcılar, güvenlik tedbirleri ve özel nitelikli veriler için ek önlemler gibi hususlar belirlenir. Yalnız şirket adlarını değiştirerek başka bir işletmenin açıklamalarını kullanmak, ilgili aktarımı doğru anlatmaz (KVKK m.9/4-c; Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m.14/1).

Hazırlıkta şu sıra izlenebilir:

1. Veri akışını çıkarın. Hangi faaliyette hangi kişisel verinin yurt dışındaki hangi alıcıya iletildiğini veya açıldığını belirleyin.
2. Tarafların rollerini doğrulayın. Aktaranın ve alıcının rolüyle seçilen sözleşme tipini karşılaştırın.
3. İşleme ve aktarım koşullarını ayırın. Verinin işleme şartı ile uygun güvence yolunun koşullarını birlikte inceleyin.
4. Tedbirleri somutlaştırın. Alıcının uyguladığı korumayı ve varsa özel nitelikli verilere ilişkin önlemleri gerçek durumuyla açıklayın.
5. İmza ve bildirim işini belirleyin. Yetkili imzaları, imzaların tamamlanma tarihini ve bildirim yükümlüsünü takip edin.

Bu sıra bir hazırlık önerisidir; Kanundaki işleme, aktarım ve güvenlik yükümlülüklerine dayanır. Kurum rehberi de eklerin eksiksiz ve anlaşılır doldurulmasına, sözleşmenin ayrılmaz parçası olduklarına dikkat çeker. Teknik tedbir, henüz uygulanmıyorsa uygulanıyormuş gibi gösterilmemelidir (KVKK m.9/4-c, m.12; Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m.14).

Bu çalışma için kişisel veri envanterindeki faaliyet, amaç ve alıcı bilgileriyle gerçek erişim düzeni karşılaştırılabilir. Örneğin bir bordro hizmetinde çalışan verisi kullanılıyorsa, çalışan aydınlatma metnindeki aktarım açıklaması da aynı faaliyetle tutarlı hazırlanmalıdır (KVKK m.9, m.10).

6. Yurt Dışına Kişisel Veri Aktarımında Standart Sözleşme Nereye, Kaç Günde Bildirilir?

Yurt dışına kişisel veri aktarımında kullanılan standart sözleşme Kuruma bildirilir. Kanun, imzalanmasından itibaren beş iş günü içinde bildirimi düzenler; Yönetmelik bu süreyi imzaların tamamlanmasından itibaren beş iş günü olarak açıklar. İmza tarihiyle bildirim tarihinin ayrı izlenmesi bu nedenle önemlidir (KVKK m.9/5; Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m.14/5).

Taraflar bildirim yükümlüsünü sözleşmede belirleyebilir; belirleme yapılmamışsa veri aktaran bildirir. Bildirim fiziki olarak, kayıtlı elektronik posta adresiyle veya belirlenen diğer yöntemlerle yapılır. Bildirime imzalayanların yetkisini gösteren belgeler ile yabancı dildeki belgelerin noter onaylı çevirileri eklenir (Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m.14/5, m.14/6).

Standart sözleşmenin taraflarında, tarafların sözleşmeye yazdığı bilgi ve açıklamalarda değişiklik olması veya sözleşmenin sona ermesi hâlinde de Yönetmelikteki usule uygun bildirim yapılır. Bu nedenle ilk bildirimin tamamlanması, daha sonraki değişikliklerin izlenmesi ihtiyacını kaldırmaz (Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m.14/8).

Bildirim işini, aktarım için genel bir izin başvurusuyla aynı işlem saymamak gerekir. Standart sözleşme dışındaki taahhütname ve bağlayıcı şirket kuralları yolları kendi izin veya onay şartlarına tabidir. Seçilen yolun gereği ayrıca yerine getirilmelidir (KVKK m.9/4-b, m.9/4-ç, m.9/5).

7. Yurt Dışına Kişisel Veri Aktarımında Açık Rıza ve Arızi Aktarım Nasıl Ayrılır?

Yurt dışına kişisel veri aktarımında açık rıza, istisnai aktarım yolunda özel koşullarla yer alır. Yeterlilik bulunmaması ve uygun güvencelerden birinin sağlanamaması yanında aktarımın arızi olması gerekir. Bu yolda açık rıza alınacaksa ilgili kişi muhtemel riskler hakkında bilgilendirilmelidir (KVKK m.9/6-a).

Arızi aktarım; düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik taşımayan ve olağan faaliyet akışında bulunmayan aktarım olarak açıklanmıştır. Sürekli kullanılan bir hizmetin düzenli aktarımını yalnız genel bir açık rıza kutusuyla bu gruba yerleştirmek doğru olmaz (Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m.16/1).

Arızi istisnalar yalnız açık rızadan ibaret değildir; sözleşmenin ifası için zorunluluk veya bir hakkın tesisi, kullanılması ya da korunması gibi diğer hâller de kendi şartlarıyla düzenlenmiştir. Bir istisnanın adını yazmak yeterli olmaz; somut aktarımın o şartı ve arızi niteliği karşılaması incelenir. Kamu kurumlarının kamu hukukuna tabi faaliyetlerinde de Kanundaki özel sınır gözetilir (KVKK m.9/6, m.9/7).

8. Yurt Dışına Kişisel Veri Aktarımında Sorumluluk ve Güncelleme Nasıl Takip Edilir?

Yurt dışına kişisel veri aktarımında veri işleyenin kullanılması, veri sorumlusunun aktarım kurallarına uyum ve güvencelerin sağlanması sorumluluğunu kaldırmaz. Veri işleyen, belirlenen amaç ve kapsam içinde veri sorumlusu adına ve talimatlarına uygun hareket eder; gerekli güvenlik tedbirleri de uygulanır (Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m.5/1, m.7/1, m.7/2).

Takip, ilk alıcıyla sınırlanmamalıdır. Yurt dışına aktarılmış verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımlar bakımından da Kanunun güvenceleri uygulanır. Yeni alıcı, farklı erişim, değişen amaç veya alt hizmet ilişkisi gerçek veri akışında yeniden incelenmelidir (KVKK m.9/8).

İlgili kişiye aktarım hakkında doğru bilgi verilmesi ve verilerin korunması da bu çalışmanın parçasıdır. Aydınlatma yükümlülüğü ile güvenlik tedbirleri, standart sözleşmenin varlığına indirgenmez. İşletmenin metinleri ve gerçek uygulaması birlikte kontrol edilmelidir (KVKK m.10, m.12).

Görev dağılımı KVKK uyum süreci rehberindeki iş planına bağlanabilir. Bildirim yükümlülüğüne aykırılığın yaptırımı ise KVKK ihlal cezaları yazısında ayrı ele alınmıştır; aktarım şartı, bildirim işi ve yaptırım incelemesi birbirinin yerine geçirilmemelidir (KVKK m.9).