6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 9. maddesi uyarınca kişisel verilerin yurt dışına aktarımı, 7499 sayılı Kanun ile yapılan değişiklikler neticesinde kademeli bir sisteme bağlanmıştır. 1 Haziran 2024 tarihinde yürürlüğe giren ve eski kuralın birinci fıkrası bakımından 1 Eylül 2024 tarihine kadar geçiş dönemi uygulanan bu sistemde, verilerin yurt dışına aktarılabilmesi için öncelikle Kanun'un 5. veya 6. maddesinde düzenlenen veri işleme şartlarından birinin bulunması zorunludur. Genel nitelikli kişisel veriler kural olarak ilgili kişinin açık rızası olmaksızın işlenemezken; kanunlarda açıkça öngörülme, fiili imkânsızlık, sözleşmenin ifası, hukuki yükümlülük, alenileştirme, hakkın tesisi veya meşru menfaat hallerinde açık rıza aranmaksızın işleme şartı sağlanabilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 5Kaynağı aç
Kademeli Aktarım Sistemi ve Yeterlilik Kararı
Kişisel verilerin yurt dışına aktarımı çok aşamalı bir sıraya bağlanmıştır. İlk aşamada verilerin aktarılacağı ülke, ilgili ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında Kişisel Verileri Koruma Kurulu tarafından verilmiş bir yeterlilik kararının bulunup bulunmadığı incelenir. Yeterlilik kararının bulunmaması halinde kanunda öngörülen uygun güvencelerden birinin sağlanması gerekir. Hem yeterlilik kararının hem de uygun güvencelerin temin edilemediği durumlarda ise ancak arızi olmak kaydıyla kanunda sınırlı sayıda sayılan istisnai hallere dayanılarak veri aktarılabilir. Kurul tarafından yeterli korumanın bulunduğu ülkeler konusunda henüz bir belirleme yapılmamıştır.
Yeterlilik kararı Kişisel Verileri Koruma Kurulu tarafından verilir ve Resmî Gazete'de yayımlanır. Kurul, ihtiyaç duyması halinde ilgili kurum ve kuruluşların görüşünü alır. Verilen yeterlilik kararları en geç dört yılda bir değerlendirilir. Yapılan değerlendirme sonucunda veya gerekli görülen diğer hallerde Kurul, yeterlilik kararını ileriye etkili olmak üzere değiştirebilir, askıya alabilir veya kaldırabilir. Yeterlilik kararı verilirken Türkiye ile aktarımın yapılacağı merci arasındaki karşılıklılık durumu, ülkenin ilgili mevzuatı ve uygulaması, uluslararası kuruluşun kuralları, bağımsız bir veri koruma otoritesinin varlığı ile hak arama yolları ve taraf olunan uluslararası anlaşmalar öncelikle gözetilir.
Yeterlilik Kararı Bulunmayan Hallerde Uygun Güvenceler
Yeterlilik kararının bulunmaması durumunda; Kanun'un 5. veya 6. maddesinde yer alan işleme şartlarından birinin varlığı ve ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması şartıyla, taraflarca kanunda öngörülen uygun güvencelerden biri sağlanarak veri aktarımı gerçekleştirilebilir. Kanun'un 9. maddesinin dördüncü fıkrasında bu güvenceler dört kategori halinde düzenlenmiştir: Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye'deki kamu kurumları ya da kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul izni; ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesinde Kurul tarafından onaylanan bağlayıcı şirket kuralları; Kurul tarafından ilan edilen standart sözleşmelerin akdedilmesi; yeterli korumayı sağlayacak hükümleri içeren yazılı bir taahhütname ve Kurul iznidir.
Standart Sözleşmeler ve Bildirim Usulü
Uygun güvence vasıtası olarak standart sözleşmelerin seçilmesi durumunda Kurul izni aranmaksızın bildirim mekanizması uygulanır; buna karşılık yazılı taahhütnamede Kurul izninin temini şarttır. Söz konusu sözleşmeler tarafların sıfatlarına göre veri sorumlusu ile veri işleyen arasındaki farklı aktarım kombinasyonlarını içeren dört ayrı tip şeklinde hazırlanmıştır. İmzalanan standart sözleşmenin beş iş günü zarfında veri sorumlusu yahut veri işleyen tarafından Kuruma iletilmesi yasal zorunluluktur. Bu süreç dijital ortamda oluşturulan bildirim modülü aracılığıyla da yürütülebilmektedir.
Bağlayıcı Şirket Kuralları ile Grup İçi Aktarım
Aynı teşebbüs grubu bünyesindeki şirketler bakımından Kurul tarafından onaylanmış bağlayıcı şirket kurallarının varlığı halinde; Kanun'un 5. veya 6. maddesindeki işleme şartlarından birinin bulunması ve ilgili kişinin aktarım yapılacak ülkede haklarını kullanma ile etkili kanun yollarına başvurma imkânına sahip olması kaydıyla Kurul'dan ayrıca ek izin alınmaksızın grup içi veri aktarımı gerçekleştirilebilir.
Arızi İstisnalar ve Açık Rızanın Yeri
Yeterlilik kararının bulunmaması ve Kanun'da düzenlenen uygun güvencelerden herhangi birinin temin edilememesi durumunda, veri sorumluları ile veri işleyenler ancak arızi olmak kaydıyla ve Kanun'da sayılan istisnai hallere dayanarak veri aktarımı gerçekleştirebilir. Bu çerçeve, düzenli ve sürekli nitelik taşımayan, nadiren ortaya çıkan aktarım faaliyetlerini kapsamaktadır.
Kanunda düzenlenen arızi aktarım halleri şunlardır: İlgili kişinin muhtemel riskler hakkında bilgilendirilmesi kaydıyla aktarıma açık rıza vermesi; aktarımın ilgili kişi ile veri sorumlusu arasındaki sözleşmenin ifası veya sözleşme öncesi tedbirlerin uygulanması için zorunlu olması; ilgili kişi yararına veri sorumlusu ile bir diğer kişi arasında kurulacak veya ifa edilecek sözleşme için aktarımın zorunlu olması; üstün bir kamu yararı için aktarımın zorunlu olması; bir hakkın tesisi, kullanılması veya korunması için aktarımın zorunlu olması; fiili imkânsızlık sebebiyle rızasını açıklayamayacak durumda bulunan veya rızasına geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için aktarımın zorunlu olması; kamuya veya meşru menfaati bulunan kişilere açık olan sicillerden kanundaki şartlarla aktarım yapılmasıdır.
Yeni yasal çerçevede açık rıza genel bir aktarım mekanizması olmaktan çıkarılmış, yalnızca arızi hallere özgü istisnai bir yol olarak düzenlenmiştir. Bu doğrultuda sürekli veri aktarımı gerektiren kurumsal süreçlerin yalnızca açık rızaya dayandırılması risk teşkil edebilir. Ayrıca arızi aktarım istisnalarından olan açık rıza, sözleşmenin ifası ve ilgili kişi yararına sözleşme kurulması veya ifası halleri, kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetleri bakımından uygulanamaz.
Sonraki Aktarımlar, Kamu Menfaati ve Teknik Erişim Boyutu
Yurt dışına aktarılan kişisel verilerin sonraki aktarımlarında ve uluslararası kuruluşlara transferinde Kanun'daki güvencelerin temin edilmesi ile 9. madde hükümlerinin uygulanması zorunludur. Uluslararası sözleşme hükümleri saklı kalmak kaydıyla; Türkiye'nin veya ilgili kişinin menfaatinin ciddi biçimde zarar göreceği hallerde veri aktarımı ancak ilgili kamu kurumunun görüşü alınarak Kurulun izniyle yapılabilir.
Veri aktarımı kavramı yalnızca fiziki veya manuel dosya transferi ile sınırlı kalmamaktadır. Somut olayın niteliğine ve teknik kurgusuna göre; yurt dışı sunucularına uzaktan erişim imkânı tanınması, yurt dışı merkezli bulut altyapılarının kullanılması, API entegrasyonları, çerez teknolojileri ve yabancı servis sağlayıcıların bilişim sistemlerine erişim sağlaması da yurt dışına veri aktarımı sayılabilir.
Açık rıza yurt dışına sürekli veri aktarımı için tek başına yeterli midir?
Hayır; yeni düzenlemede açık rıza genel bir aktarım yolu olmayıp yalnızca yeterlilik kararı ve uygun güvencelerin bulunmadığı durumlarda arızi ve süreklilik göstermeyen aktarımlar için başvurulabilen istisnai bir hukuki sebeptir.
Standart sözleşmelerin Kişisel Verileri Koruma Kurumu'na bildirim süresi ne kadardır?
6698 sayılı Kanun'un 9. maddesinin beşinci fıkrası uyarınca standart sözleşmelerin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi zorunludur.
Yurt dışı bulut veya çerez hizmetlerinin kullanımı veri aktarımı oluşturur mu?
Uzaktan erişim, bulut sistemleri, API bağlantıları ve çerez teknolojileri üzerinden yurt dışındaki servis sağlayıcıların verilere erişimi, somut olayın niteliğine göre yurt dışına veri aktarımı sayılabilir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy