Kişisel verilerin yurt dışına aktarılmasına ilişkin 7499 sayılı Kanunla değişen KVKK m.9 rejiminin kapsamlı incelemesi. Yeterlilik kararı, uygun güvenceler ve arızi hallerden oluşan üç basamaklı yapı, standart sözleşmelerin dört modülü, beş iş günlük bildirim yükümlülüğü, bağlayıcı şirket kuralları, taahhütname, GDPR ile karşılaştırma ve idari para cezaları ele alınmaktadır.
Kişisel verilerin yurt dışına aktarılması, dijitalleşen ve küreselleşen ticari hayatın en sık karşılaşılan uyum sorunlarından biridir. Yurt dışında bulunan bir bulut sunucusunun kullanılması, çok uluslu bir grup şirketi içinde insan kaynakları verilerinin paylaşılması veya yurt dışındaki bir yazılım sağlayıcısının hizmetinden yararlanılması, hukuken birer yurt dışına veri aktarımıdır. Bu alanda Türk hukuku, 7499 sayılı Kanun ile köklü bir değişim geçirmiştir. Kişisel Verilerin Korunması Kanunu'nun 9. maddesinde yapılan ve 1 Haziran 2024 tarihinde yürürlüğe giren değişiklik, önceki açık rıza merkezli katı yapıyı terk ederek, Avrupa Birliği Genel Veri Koruma Tüzüğü ile uyumlu, kademeli ve daha esnek bir sistem getirmiştir. Bu makale, yurt dışına veri aktarımının yeni rejimini, üç basamaklı yapısını, standart sözleşmeleri, bildirim yükümlülüklerini ve pratik uyum adımlarını kapsamlı biçimde incelemektedir.
1. Yurt Dışına Aktarımın Önemi ve Reform Öncesi Durum
Reform öncesinde, Kanun'un 9. maddesi kişisel verilerin yurt dışına aktarılmasını oldukça katı şartlara bağlamıştı. Kural olarak veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamıyordu. Açık rıza bulunmayan hallerde aktarım, ancak yeterli korumaya sahip ülkelere yapılabiliyor ya da veri sorumlularının yazılı taahhütte bulunması ve Kurul izni alınmasıyla mümkün olabiliyordu. Ancak Kurul'un yeterli korumaya sahip ülkeler listesini hiç ilan etmemiş olması, sistemin fiilen açık rıza etrafında kilitlenmesine yol açmıştı. Bu durum, süreklilik arz eden ticari veri aktarımlarını açık rızaya bağlı kılıyor, açık rızanın her zaman geri alınabilir olması ise şirketler için ciddi bir hukuki belirsizlik yaratıyordu. Uygulamadaki bu tıkanıklık, sistemin Avrupa Birliği modeline yaklaştırılarak yeniden yapılandırılması ihtiyacını doğurmuştur.
2. 7499 Sayılı Kanun ile Gelen Reform ve Üç Basamaklı Sistem
12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun'un 34. maddesiyle KVKK'nın 9. maddesi baştan düzenlenmiş ve değişiklik 1 Haziran 2024 tarihinde yürürlüğe girmiştir. Bunu takiben Kişisel Verileri Koruma Kurulu'nun 4 Haziran 2024 tarihli ve 2024/959 sayılı kararı ile standart sözleşme metinleri ve bağlayıcı şirket kurallarına ilişkin dokümanlar kabul edilmiş, 10 Temmuz 2024 tarihli Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile uygulamanın ayrıntıları belirlenmiştir. Yeni sistem, Avrupa Birliği Genel Veri Koruma Tüzüğü'nün ilgili hükümleri esas alınarak kurulmuş ve üç basamaklı bir yapı öngörmüştür. Buna göre bir aktarımın hukuka uygun olabilmesi için, öncelikle Kanun'un 5. ve 6. maddelerindeki genel işleme şartlarından birinin bulunması, ardından sırasıyla şu üç seçenekten birinin sağlanması gerekir. Birinci basamakta yeterlilik kararının bulunup bulunmadığına bakılır. Yeterlilik kararı yoksa ikinci basamakta uygun güvencelerden birinin sağlanıp sağlanamayacağı değerlendirilir. Uygun güvence de sağlanamıyorsa üçüncü basamakta arızi hallerin varlığı aranır. Bu kademeli yapı, aktarımın hangi hukuki temele dayandığının her somut olayda titizlikle belirlenmesini gerektirir.
3. Birinci Basamak: Yeterlilik Kararının Bulunması
Yeni sistemin ilk ve en güçlü aktarım temeli yeterlilik kararıdır. Yeterlilik kararı, Kurul tarafından bir ülke, o ülke içindeki sektörler veya uluslararası kuruluşlar hakkında verilen ve söz konusu ülke veya kuruluşun yeterli düzeyde koruma sağladığını tespit eden karardır. Reformun getirdiği önemli bir yenilik, yeterlilik kararının artık yalnızca bir ülkenin tamamına yönelik olmak zorunda olmamasıdır. Kanun'un gerekçesinde de belirtildiği üzere, yeterlilik kararı bir ülkenin tümü yerine o ülkedeki belirli bir sektöre, örneğin belirli bir ülkenin otomotiv veya finans sektörüne yönelik de verilebilir. Ayrıca uluslararası kuruluşlar bakımından da yeterlilik kararı alınması mümkündür. Yeterlilik kararının bulunması halinde, aktarım herhangi bir ek güvence veya izne gerek olmaksızın gerçekleştirilebilir. Yeterlilik kararları Kurul tarafından en geç iki yılda bir değerlendirilir ve gerektiğinde değiştirilebilir veya kaldırılabilir. Uygulamada aktarımdan önce yapılması gereken ilk kontrol, aktarımın yapılacağı ülke veya kuruluş hakkında güncel bir yeterlilik kararı bulunup bulunmadığının araştırılmasıdır.
4. İkinci Basamak: Uygun Güvenceler
Aktarımın yapılacağı ülke, sektör veya kuruluş hakkında bir yeterlilik kararı bulunmuyorsa, ikinci basamağa geçilir ve uygun güvencelerden birinin sağlanıp sağlanamayacağı değerlendirilir. Bu basamakta önemli bir ortak şart, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunmasıdır. Kanun, uygun güvence sağlamanın dört yolunu öngörmüştür. Bunlar; yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye'deki kamu kurumları arasında yapılan ve uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ile Kurul izni, bağlayıcı şirket kuralları, Kurul tarafından ilan edilmiş standart sözleşmeler ve yazılı taahhütname ile Kurul iznidir. Bu dört yol arasından en pratik ve en sık başvurulan yöntem, standart sözleşmelerdir; zira diğer yöntemlerin bir kısmı Kurul iznine tabi olduğundan daha uzun bir süreç gerektirir. Uygun güvence yönteminin seçimi, aktarımın taraflarına ve niteliğine göre yapılmalıdır.
5. Standart Sözleşmeler ve Dört Modül
Standart sözleşmeler, Kurul tarafından ilan edilen ve içeriği önceden belirlenmiş şablon sözleşmelerdir. Bu sözleşmelerin en önemli avantajı, kullanılmaları halinde ayrıca Kurul izni alınmasına gerek olmamasıdır. Standart sözleşmeler, aktarımın taraflarının hukuki sıfatına göre dört farklı modül halinde düzenlenmiştir. Birinci modül, veri sorumlusundan veri sorumlusuna yapılan aktarımlara ilişkindir; örneğin Türkiye'deki bir şirketin yurt dışındaki ve bağımsız karar alabilen bir iş ortağına müşteri verisi göndermesi bu kapsamdadır. İkinci modül, veri sorumlusundan veri işleyene yapılan aktarımları düzenler ve uygulamada en yaygın senaryodur; Türkiye'deki bir şirketin verilerini yurt dışındaki bir bulut sunucusunda saklaması buna örnektir. Üçüncü modül, veri işleyenden veri işleyene yapılan aktarımlara, dördüncü modül ise veri işleyenden veri sorumlusuna yapılan aktarımlara ilişkindir. Doğru modülün seçilmesi kritik önemdedir; zira yanlış modül seçimi sözleşmeyi geçersiz kılabilir. Bu nedenle aktarıma konu faaliyet bakımından tarafların veri sorumlusu mu yoksa veri işleyen mi olduğunun doğru tespiti, sürecin en önemli adımıdır. Standart sözleşmelerde yalnızca seçimlik hak tanıyan maddeler üzerinde değişiklik yapılabilir; metnin gövdesinde revizyon yapılması mümkün değildir. Aktarıma ilişkin ayrıntılar ise sözleşmenin ayrılmaz parçası olan eklerinde düzenlenir.
6. Standart Sözleşmenin Bildirim Yükümlülüğü ve Beş İş Günü Kuralı
Reformun getirdiği en dikkat çekici usuli yeniliklerden biri, standart sözleşmeye ilişkin bildirim yükümlülüğüdür. Standart sözleşme kullanılarak yapılan aktarımlarda, imzalanan sözleşmenin imza tarihinden itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilmesi zorunludur. Bu bildirim, aktarımın önceden izne tabi olduğu anlamına gelmez; standart sözleşme kendiliğinden uygun güvence sağlar ve aktarım bildirimden bağımsız olarak gerçekleştirilebilir. Ancak bildirim yükümlülüğünün süresinde yerine getirilmemesi başlı başına bir kabahat oluşturur ve idari para cezası yaptırımına tabidir. Bu nedenle standart sözleşme imzalayan şirketlerin, beş iş günlük süreyi titizlikle takip etmesi ve bildirim sürecini iç uyum prosedürlerine dâhil etmesi gerekir. Bildirimin usulüne ilişkin ayrıntılar Yönetmelik ile düzenlenmiş olup, Kurumun sağladığı kanallar üzerinden yapılması beklenmektedir.
7. Bağlayıcı Şirket Kuralları
Bağlayıcı şirket kuralları, çok uluslu şirket toplulukları için özel olarak tasarlanmış bir uygun güvence yöntemidir. Aynı grup içinde yer alan ve ortak bir ekonomik faaliyette bulunan şirketlerin, grup içindeki yurt dışı veri aktarımları için hazırladıkları ve Kurul tarafından onaylanan bağlayıcı kurallar bütünüdür. Bu yöntem, özellikle çok sayıda ülkede iştiraki bulunan ve grup içinde sürekli veri akışı olan holdingler ile çok uluslu şirketler için elverişlidir. Bağlayıcı şirket kurallarının yürürlüğe girebilmesi için Kurul onayı gereklidir; bu nedenle standart sözleşmelere kıyasla daha uzun ve kapsamlı bir hazırlık süreci gerektirir. Kurul, bağlayıcı şirket kurallarında bulunması gereken temel hususlara ilişkin başvuru formları ve yardımcı kılavuzlar yayımlamıştır. Grup içi veri aktarımlarını sistematik ve sürekli biçimde yürüten yapılar için, başlangıçtaki hazırlık yükü ağır olsa da, bağlayıcı şirket kuralları uzun vadede en istikrarlı çözümü sunar.
8. Taahhütname ve Kurul İzni
Uygun güvence sağlamanın bir diğer yolu, veri aktaran ile yurt dışındaki alıcının yeterli korumayı yazılı olarak taahhüt etmesi ve bu taahhütnameye Kurul tarafından izin verilmesidir. Taahhütname yöntemi, reform öncesi sistemden bilinen bir mekanizma olmakla birlikte, yeni sistemde uygun güvenceler arasında bir seçenek olarak yerini korumuştur. Bu yöntemin en belirgin özelliği, her somut aktarım için ayrı ayrı Kurul iznine tabi olmasıdır. Bu durum, taahhütname yöntemini standart sözleşmelere kıyasla daha yavaş ve idari süreç bakımından daha ağır kılar. Bu nedenle taahhütname, standart sözleşme modüllerinin uygun düşmediği veya somut aktarımın kendine özgü koşullar taşıdığı hallerde tercih edilen bir yöntem olarak öne çıkar. Taahhütnamenin içeriği, aktarılan verilere yurt dışında da Kanun'a eşdeğer bir koruma sağlanacağını hukuken güvence altına alacak biçimde düzenlenmelidir.
9. Uluslararası Sözleşme Niteliğinde Olmayan Anlaşma
Uygun güvence yöntemlerinden bir diğeri, yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye'deki kamu kurum ve kuruluşları ya da kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan ve uluslararası sözleşme niteliğinde olmayan bir anlaşmanın varlığı ile Kurul tarafından aktarıma izin verilmesidir. Bu yöntem, niteliği gereği kamu kurumları ve kamu kurumu niteliğindeki meslek kuruluşları bakımından uygulama alanı bulur. Özel sektör aktörlerinin doğrudan başvurabileceği bir yol olmamakla birlikte, kamu ile ilişkili veri aktarımlarında önem taşır. Bu tür anlaşmalara dayanılarak yapılacak aktarımlarda da Kurul izni şartı aranır. Dolayısıyla bu yöntem, kamu kaynaklı ve kamu muhataplı veri aktarımlarına özgü, sınırlı bir uygulama alanına sahiptir.
10. Üçüncü Basamak: Arızi Haller
Yeterlilik kararının bulunmadığı ve uygun güvencelerden hiçbirinin sağlanamadığı hallerde, son çare olarak arızi hallere başvurulabilir. Ancak arızi kelimesinin altını özenle çizmek gerekir. Arızi haller yalnızca süreklilik arz etmeyen, tek seferlik veya seyrek gerçekleşen aktarımlar için geçerlidir. Süreklilik arz eden, tekrarlayan veya iş akışının olağan bir parçası hâline gelmiş aktarımlar arızi sayılmaz ve bu istisnalara dayandırılamaz. Kanun'da sınırlı biçimde sayılan arızi haller arasında şunlar bulunur. İlgili kişinin aktarıma açık rıza vermesi, sözleşmenin ifası veya sözleşme öncesi tedbirlerin uygulanması için aktarımın zorunlu olması, üstün bir kamu yararı bulunması, bir hakkın tesisi kullanılması veya korunması için aktarımın zorunlu olması, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumdaki kişinin hayatı veya beden bütünlüğünün korunması ve kamuya açık sicillerden aktarım yapılması bu kapsamdadır. Örneğin yurt dışında kaza geçiren bir çalışanın sağlık verilerinin oradaki hastaneyle paylaşılması veya yurt dışında açılan bir davada delil sunmak için veri paylaşımı arızi hallere örnek gösterilebilir. Bu istisnaların dar yorumlanması esastır.
11. GDPR ile Karşılaştırma ve Uyumlaştırma
Yeni sistem, Avrupa Birliği Genel Veri Koruma Tüzüğü'nün yurt dışına aktarım mimarisini büyük ölçüde örnek almıştır. Tüzük'teki yeterlilik kararı, standart sözleşme hükümleri ve bağlayıcı şirket kuralları mekanizmaları, KVKK'nın yeni 9. maddesine benzer biçimde yansımıştır. Bu uyumlaştırma, Türkiye ile Avrupa Birliği arasında veri akışı yürüten şirketler için önemli bir kolaylık sağlar; zira her iki tarafta da benzer araçların kullanılması, uyum süreçlerini basitleştirir. Bununla birlikte iki sistem arasında farklar da bulunmaktadır. Türk sisteminde standart sözleşmenin beş iş günü içinde Kuruma bildirilmesi yükümlülüğü, Tüzük'te bulunmayan bir usuli gerekliliktir. Ayrıca yeterlilik kararlarının kapsamı, arızi hallerin sayımı ve idari yaptırımların yapısı bakımından da farklılıklar mevcuttur. Avrupa Birliği'nden Türkiye'ye yapılan aktarımlarda ise Tüzük'ün standart sözleşme hükümleri devreye girer. Bu nedenle çift yönlü veri akışı yürüten şirketlerin her iki rejimi birlikte değerlendirmesi gerekir.
12. Özel Nitelikli Kişisel Verilerin Aktarımı
Özel nitelikli kişisel veriler, sağlık, cinsel hayat, ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, dernek ve sendika üyeliği, biyometrik ve genetik veriler ile ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin veriler gibi hassas verilerdir. Bu verilerin yurt dışına aktarılmasında da yeni üç basamaklı yapı geçerlidir; ancak özel nitelikli veriler için ek tedbirlerin alınması gerekir. Standart sözleşmelerde özel nitelikli kişisel veriler bakımından alınacak ek teknik ve idari önlemlere ilişkin özel hükümler öngörülmüştür. Bu verilerin işlenmesi ve aktarılması bakımından Kanun, genel kişisel verilere kıyasla daha sıkı bir koruma rejimi uygular. 7499 sayılı Kanun aynı zamanda özel nitelikli kişisel verilerin işlenme şartlarını da yeniden düzenlemiş ve bu tür verilerin işlenebileceği halleri genişletilmiş biçimde saymıştır. Yurt dışına özel nitelikli veri aktaran şirketlerin, ek tedbirleri sözleşme ekleri ve teknik altyapı düzeyinde titizlikle uygulaması gerekir.
13. İdari Para Cezaları ve Yaptırımlar
Yurt dışına veri aktarımı kurallarına aykırılık, ciddi idari yaptırımlara tabidir. 7499 sayılı Kanun, standart sözleşmeyi imzasından itibaren beş iş günü içinde Kurula bildirmeyen veri sorumluları ve veri işleyenler hakkında özel bir kabahat öngörmüştür; bu kabahat için elli bin Türk lirasından bir milyon Türk lirasına kadar idari para cezası uygulanır. Bunun yanında, hukuka aykırı biçimde yani hiçbir aktarım temeli bulunmaksızın yurt dışına veri aktarılması, Kanun'un kişisel verilerin hukuka aykırı işlenmesine ilişkin genel yaptırım hükümleri kapsamında değerlendirilir ve daha ağır sonuçlar doğurabilir. Reformun getirdiği önemli bir usuli değişiklik, Kurul tarafından verilen idari para cezalarına karşı artık idare mahkemelerinin görevli kılınmasıdır. Önceki sistemde bu cezalara karşı sulh ceza hakimlikleri görevliyken, yeni düzenleme ile idari yargı yolu benimsenmiştir. Bu değişiklik, idari para cezalarının denetiminde idari yargının uzmanlığından yararlanılmasını amaçlamaktadır.
14. Pratik Uyum Adımları
Yurt dışına veri aktaran şirketlerin, yeni rejime uyum için sistematik bir yol izlemesi gerekir. İlk adım, şirketin gerçekleştirdiği tüm yurt dışı veri aktarımlarının envanterinin çıkarılmasıdır; hangi verinin, hangi amaçla, hangi ülkedeki hangi alıcıya aktarıldığı tespit edilmelidir. İkinci adımda, her aktarım için üç basamaklı yapı sırasıyla uygulanır ve önce yeterlilik kararı, yoksa uygun güvence, o da yoksa arızi hal değerlendirilir. Üçüncü adımda, uygun güvence olarak standart sözleşme kullanılacaksa doğru modülün seçilmesi ve tarafların veri sorumlusu mu veri işleyen mi olduğunun doğru tespit edilmesi gerekir. Dördüncü adımda, standart sözleşmenin ekleri titizlikle hazırlanır ve imza sonrası beş iş günlük bildirim süresi takvime işlenir. Beşinci adımda, grup içi sürekli aktarımlar bakımından bağlayıcı şirket kurallarının hazırlanmasının uygun olup olmayacağı değerlendirilir. Son olarak, aydınlatma metinleri, veri işleme envanteri ve saklama politikaları yeni rejime göre güncellenir. Bu adımların yazılı bir uyum prosedürüne bağlanması, hem hukuki riski azaltır hem de denetim halinde şirketin uyum çabasını belgelemesini sağlar.
15. Sonuç ve Tavsiyeler
7499 sayılı Kanun ile getirilen yeni yurt dışına aktarım rejimi, önceki açık rıza merkezli ve fiilen tıkanmış sistemin yerini, Avrupa Birliği modeline yakın, kademeli ve uygulanabilir bir yapıya bırakmıştır. Bu alanda dikkat edilmesi gereken pratik hususlar şunlardır. Her aktarımdan önce üç basamaklı yapı sırasıyla uygulanmalı ve aktarımın hukuki temeli açıkça belirlenmelidir. Standart sözleşme kullanılıyorsa doğru modül seçilmeli, tarafların sıfatı doğru tespit edilmeli ve ekler eksiksiz düzenlenmelidir. Standart sözleşmenin beş iş günlük bildirim süresi asla ihmal edilmemelidir; zira bu yükümlülüğün ihlali başlı başına idari para cezası doğurur. Grup içi sürekli aktarımlarda bağlayıcı şirket kuralları değerlendirilmeli, süreklilik arz eden aktarımların arızi hallere dayandırılamayacağı unutulmamalıdır. Özel nitelikli veriler bakımından ek tedbirler alınmalı ve aydınlatma metinleri ile veri envanteri yeni rejime göre güncellenmelidir. Doğru kurgulanmış bir yurt dışı aktarım uyumu, şirketin hem hukuki riskini azaltır hem de küresel ticari ilişkilerini kesintisiz biçimde sürdürmesini sağlar.
Kişisel verilerin yurt dışına aktarılması, standart sözleşmelerin hazırlanması ve Kuruma bildirimi, bağlayıcı şirket kurallarının oluşturulması, KVKK ve GDPR uyum süreçleri ile veri koruma danışmanlığı konularında destek almak için info@guzeloglu.legal adresinden bize ulaşabilirsiniz.