6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca kişisel verilerin korunmasında verinin ne kadar iyi korunduğundan ziyade, verinin coğrafi olarak hangi sınırlarda tutulduğu ve erişildiği esas alınmaktadır. Kişisel Verileri Koruma Kurulu tarafından ilan edilmiş küresel bir yeterlilik kararının bulunmadığı durumda, sunucuları yabancı ülkelerde yer alan bulut altyapıları bakımından yurt dışı aktarımı kuralları gündeme gelmektedir.
Yurt Dışı Veri Aktarımında Coğrafi Konum ve Yeterlilik Kararı
6698 sayılı Kanun'un 9. maddesinin birinci fıkrası uyarınca kişisel veriler, Kanun'un 5. ve 6. maddelerinde belirtilen işleme şartlarından birinin varlığı ve aktarım yapılacak ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı bulunması halinde veri sorumluları ve veri işleyenlerce yurt dışına aktarılabilir. Yeterlilik kararı Kurul tarafından verilir, Resmî Gazete'de yayımlanır, en geç dört yılda bir değerlendirilir ve Kurulca ileriye etkili olmak üzere değiştirilebilir, askıya alınabilir veya kaldırılabilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Verilerin Avrupa Birliği sınırları içinde tutulması, Türk hukuku açısından yurt dışı aktarımı niteliğini kendiliğinden ortadan kaldırmaz. Kurul tarafından verilmiş bir yeterlilik kararı bulunmadığı sürece, verilerin yabancı bir ülkede tutulması kanundaki aktarım kurallarına tabi olmaya devam eder.
Bulut Servislerinde Açık Rıza ve Arızi İşlem Sınırı
6698 sayılı Kanun'un 9. maddesinin altıncı fıkrasına göre; yeterlilik kararının bulunmaması ve uygun güvencelerin sağlanamaması halinde, arızi olmak kaydıyla ilgili kişinin muhtemel riskler hakkında bilgilendirilerek açık rıza vermesi veya aktarımın ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası ya da ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması gibi kanunda sınırlı sayılan hallerde yurt dışına veri aktarılabilir.
Kurumsal operasyonlarda e-posta gönderimi, ortak doküman çalışmaları veya sunucularda veri tabanı barındırılması gibi sürekli ve düzenli veri işleme süreçleri tek seferlik ve geçici nitelik taşımayabilir. Bu tür sürekli bulut faaliyetlerinde arızi aktarım şartlarının karşılanamaması halinde, yalnızca açık rızaya dayanılarak veri aktarımı gerçekleştirilmesi hukuki koruma sağlamayabilir.
Standart Sözleşmeler ve Şekil Şartları
Yeterlilik kararının bulunmadığı hallerde, Kanun'un 5. ve 6. maddelerindeki şartlardan birinin varlığı ve ilgili kişinin aktarım yapılacak ülkede de haklarını kullanma ile etkili kanun yollarına başvurma imkânının bulunması kaydıyla uygun güvencelerden birinin sağlanması gerekir. Bu güvenceler arasında uluslararası sözleşme niteliğinde olmayan anlaşma ve Kurul izni, Kurul onaylı bağlayıcı şirket kuralları, Kurulca ilan edilen standart sözleşme veya Kurul izinli yazılı taahhütname yer alır.
Standart sözleşmelerin Kurul tarafından yayımlanan matbu metinlerin değiştirilmeden kullanılması, tarafların yasal temsilcileri tarafından ıslak imza veya 5070 sayılı Kanun'a uygun güvenli elektronik imza ile imzalanması şart koşulmaktadır. Yönetim panellerinden çevrim içi olarak onaylanan veri işleme eklerinin ise bu şekil şartlarını karşılamadığı kabul edilmektedir.
Kuruma Bildirim Yükümlülüğü ve Denetim Esasları
6698 sayılı Kanun'un 9. maddesinin beşinci fıkrası gereğince, standart sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna bildirilmesi zorunludur. Bildirimin fiziksel olarak veya elektronik sistem üzerinden Kuruma iletilmesi aranmaktadır.
6698 sayılı Kanun'un 9. maddesinin sekizinci fıkrası uyarınca, yurt dışına aktarılan kişisel verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımları bakımından da Kanun'da yer alan güvencelerin sağlanması ve 9. madde hükümlerinin uygulanması zorunludur. Standart sözleşme bildirimlerinde ayrıca sözleşme metninin Kurul şablonundan sapmaması, tarafların imza yetkisinin kanıtlanması ve Veri Sorumluları Sicil Bilgi Sistemi ile veri envanteri beyanlarının sözleşme içeriğiyle uyumlu olması incelenmektedir.
Bildirim Yükümlülüğünün İhlali ve Yaptırımlar
6698 sayılı Kanun'un 18. maddesinin birinci fıkrasının (d) bendi ve ikinci fıkrası uyarınca, 9. maddenin beşinci fıkrasında öngörülen standart sözleşme bildirim yükümlülüğünü yerine getirmeyen veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında idari para cezası verilir. Kanun kapsamında bildirim usulünün ihlali tek başına yaptırıma bağlanmış olup Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilmektedir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 18Kaynağı aç
Teknik Tedbirler ve Yurt İçi Barındırma Alternatifi
6698 sayılı Kanun'un 12. maddesi gereğince veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ile muhafazasını sağlamak amacıyla gerekli her türlü teknik ve idari tedbiri almak zorundadır; verilerin başkası tarafından işlenmesi durumunda da bu tedbirlerden müştereken sorumludur. Yurt dışındaki sunucularda tutulan verilerin şifrelenmiş olması teknik güvenlik tedbiri niteliğinde olsa da tek başına yurt dışı aktarımı vasfını ortadan kaldırmaz; şifre çözme anahtarına bulut sağlayıcısının erişebildiği durumlarda aktarım hükümleri uygulanmaya devam eder.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
Verilerin ve sistem altyapılarının Türkiye sınırları içerisindeki veri merkezlerinde tutulması durumunda işlem yurt içi veri işleme sayılır. Yurt içi veri işlemede 6698 sayılı Kanun'un 9. maddesinde düzenlenen standart sözleşme akdetme ve Kuruma bildirme yükümlülüğü uygulanmaz.
Bulut sağlayıcılarının panel üzerinden onaylattığı sözleşmeler KVKK açısından geçerli midir?
Hayır, yönetim panelleri üzerinden onaylanan çevrim içi veri işleme ekleri, Kurul tarafından aranan matbu metnin değiştirilmemesi, ıslak imza veya 5070 sayılı Kanun'a uygun güvenli elektronik imza gibi şekil şartlarını karşılamamaktadır.
Verilerin bulut sunucularında şifrelenmesi yurt dışı aktarımı sayılmasını engeller mi?
Hayır, şifre çözme anahtarına bulut sağlayıcısı tarafından erişilebildiği sürece şifreleme tek başına aktarım niteliğini ortadan kaldırmaz.
Verilerin Türkiye'deki sunucularda tutulması halinde standart sözleşme gerekir mi?
Hayır, verilerin Türkiye sınırları içindeki veri merkezlerinde barındırılması halinde süreç yurt içi veri işlemeye dönüşeceğinden standart sözleşme ve bildirim şartı aranmaz.
Standart sözleşmelerin Kişisel Verileri Koruma Kurumuna bildirilme süresi nedir?
Standart sözleşmelerin, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna bildirilmesi kanunen zorunludur.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy