1. Giriş
Küreselleşen iş dünyasında kişisel verilerin yurt dışına aktarımı kaçınılmaz hale gelmiştir. Bulut hizmetleri, çok uluslu şirket yapıları ve uluslararası ticaret, sınır ötesi veri akışını zorunlu kılmaktadır. KVKK, bu aktarımları belirli şartlara bağlayarak ilgili kişilerin haklarının korunmasını amaçlamaktadır.
ABD: Federal düzeyde kapsamlı düzenleme yoktur. AB-ABD Veri Gizliliği Çerçevesi (DPF) 2023'te yürürlüğe girmiştir.
Almanya: GDPR kuralları doğrudan geçerlidir. Schrems II kararı sonrası ek güvencelere önem verilmektedir.
Türkiye: KVKK m.9 üç mekanizma öngörür: açık rıza, yeterli koruma bulunan ülkeler ve taahhütname ile Kurul izni.
2. Yasal Çerçeve
KVKK'nın 9. maddesi, kişisel verilerin yurt dışına aktarımını düzenlemektedir. Kanun, verilerin yurt dışına çıkışını tamamen yasaklamamakta, ancak belirli güvencelerin sağlanmasını zorunlu kılmaktadır.
(2) Kişisel veriler, 5 inci maddenin ikinci fıkrası ile 6 ncı maddenin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede;
a) Yeterli korumanın bulunması,
b) Yeterli korumanın bulunmaması durumunda Türkiye'deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması,
kaydıyla ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabilir.
3. Yurt Dışı Aktarım Mekanizmaları
KVKK kapsamında kişisel verilerin yurt dışına aktarılabilmesi için üç temel mekanizma bulunmaktadır:
| Mekanizma | Koşul | Kurul İzni |
|---|---|---|
| Açık rıza | İlgili kişinin bilgilendirilmiş açık rızası | Gerekmez |
| Yeterli koruma bulunan ülke | Kurul tarafından ilan edilen güvenli ülkeler listesi + m.5/2 veya m.6/3 şartları | Gerekmez |
| Taahhütname | Yazılı taahhütname + Kurul izni + m.5/2 veya m.6/3 şartları | Gerekli |
4. Açık Rıza ile Aktarım
İlgili kişinin açık rızası alındığında, herhangi bir ülkeye veri aktarımı yapılabilir. Ancak açık rıza mekanizması, belirli koşullara tabidir ve her durumda uygun değildir.
| Açık Rıza Şartı | Yurt Dışı Aktarımda Uygulanması |
|---|---|
| Belirli bir konuya ilişkin olma | Hangi verilerin, hangi ülkeye aktarılacağı belirtilmeli |
| Bilgilendirilmeye dayanma | Hedef ülkedeki koruma düzeyi hakkında bilgi verilmeli |
| Özgür irade ile verilme | Hizmet/sözleşme şartı olarak zorlama yapılmamalı |
5. Yeterli Koruma Bulunan Ülkeler
Kurul, kişisel verilerin korunması açısından yeterli korumaya sahip olduğuna karar verdiği ülkeleri ilan eder. Bu ülkelere, KVKK'nın 5/2 veya 6/3 maddelerindeki işleme şartlarından birinin varlığı halinde açık rıza olmaksızın veri aktarılabilir.
Yeterlilik Değerlendirme Kriterleri
| Kriter | Değerlendirme Unsurları |
|---|---|
| Yasal çerçeve | Veri koruma mevzuatının varlığı ve kapsamı |
| Bağımsız denetim otoritesi | Etkin bir veri koruma otoritesinin varlığı |
| Uluslararası taahhütler | Uluslararası veri koruma sözleşmelerine taraf olma |
| Karşılıklılık | İkili ilişkiler ve karşılıklı güvenceler |
| Hukuki başvuru yolları | İlgili kişilerin haklarını kullanabilmesi |
6. Taahhütname ile Aktarım
Yeterli korumanın bulunmadığı ülkelere veri aktarımı için, Türkiye'deki veri sorumlusu ile yurt dışındaki alıcı arasında yazılı taahhütname imzalanması ve Kurul'dan izin alınması gerekmektedir.
Taahhütname Türleri
| Taahhütname Türü | Kullanım Alanı |
|---|---|
| Veri Sorumlusundan Veri Sorumlusuna | Bağımsız veri sorumluları arasında aktarım |
| Veri Sorumlusundan Veri İşleyene | Yurt dışındaki hizmet sağlayıcılara aktarım |
| Bağlayıcı Şirket Kuralları (BCR) | Çok uluslu şirket grupları içinde aktarım |
Taahhütname İçeriği
Kurul tarafından belirlenen taahhütname formatında bulunması gereken temel unsurlar:
| Unsur | Açıklama |
|---|---|
| Taraf bilgileri | Aktaran ve alıcı tarafların kimlik ve iletişim bilgileri |
| Aktarım detayları | Aktarılacak veri kategorileri, ilgili kişi grupları, aktarım amaçları |
| KVKK uyumu | Alıcının KVKK'ya denk koruma sağlama taahhüdü |
| Güvenlik tedbirleri | Teknik ve idari güvenlik önlemleri |
| Alt aktarım | Üçüncü taraflara aktarım koşulları |
| İlgili kişi hakları | Hakların kullanımına ilişkin düzenlemeler |
| Denetim | Aktaranın denetim yetkisi |
| İhlal bildirimi | Veri ihlali halinde bildirim yükümlülüğü |
| Sözleşme sonu | Verilerin iadesi veya imhası |
Kurul İzin Süreci
| Aşama | Açıklama |
|---|---|
| 1. Başvuru | Taahhütname ve ek belgelerle Kurul'a başvuru |
| 2. İnceleme | Kurul'un taahhütnameyi değerlendirmesi |
| 3. Ek bilgi talebi | Gerekirse eksikliklerin tamamlanması |
| 4. Karar | İzin verilmesi veya başvurunun reddi |
| 5. Aktarım | İzin sonrası aktarımın başlaması |
7. Bağlayıcı Şirket Kuralları (BCR)
Çok uluslu şirket grupları için KVKK, bağlayıcı şirket kuralları (Binding Corporate Rules) mekanizmasını tanımaktadır. BCR, grup şirketleri arasındaki veri aktarımlarını düzenleyen kapsamlı politikalardır.
| BCR Avantajı | Açıklama |
|---|---|
| Tek seferlik onay | Her aktarım için ayrı taahhütname gerekmez |
| Esneklik | Grup içi aktarımlar için geniş kapsam |
| Standartlaşma | Tüm grup şirketlerinde ortak veri koruma standartları |
8. Yaygın Yurt Dışı Aktarım Senaryoları
| Senaryo | Örnek | Önerilen Mekanizma |
|---|---|---|
| Bulut hizmetleri | AWS, Google Cloud, Microsoft Azure | Taahhütname veya açık rıza |
| Grup şirketleri | Ana şirket - Türkiye şubesi | BCR veya taahhütname |
| Dış kaynak hizmetleri | Çağrı merkezi, IT destek | Taahhütname |
| E-ticaret | Uluslararası ödeme sistemleri | Açık rıza veya taahhütname |
| İK yönetimi | Global HR sistemleri | Taahhütname (çalışan verisi için rıza zor) |
9. KVKK ve GDPR Karşılaştırması
| Özellik | KVKK | GDPR |
|---|---|---|
| Yeterlilik kararı | Henüz ilan edilmedi | 13+ ülke (Japonya, Kanada, İsviçre vb.) |
| Standart sözleşme hükümleri | Taahhütname (Kurul formatı) | AB Komisyonu SCCs |
| BCR | Var (Kurul onayı gerekli) | Var (lead DPA onayı) |
| İzin süreci | Her taahhütname için Kurul izni | SCCs için otorite izni gerekmez |
| Açık rıza | Geçerli mekanizma | Sınırlı/son çare (m.49) |
10. Dikkat Edilmesi Gerekenler
- Veri haritası: Yurt dışına hangi verilerin, nereye aktarıldığını bilin
- Hukuki dayanak: Her aktarım için uygun mekanizmayı belirleyin
- Aydınlatma: İlgili kişileri yurt dışı aktarım hakkında bilgilendirin
- Tedarikçi yönetimi: Alt yüklenici zincirinizi kontrol edin
- Güvenlik: Aktarım sırasında verilerin güvenliğini sağlayın
- Dokümantasyon: Tüm aktarımları kayıt altına alın
11. Sonuç
Yurt dışına veri aktarımı, KVKK'nın en karmaşık konularından biridir. Kurul'un yeterli korumaya sahip ülkeler listesini henüz yayımlamamış olması, pratikte taahhütname sürecini ağırlaştırmaktadır. Bu durum, birçok şirketi açık rıza mekanizmasına yöneltmektedir.
Veri sorumluları, yurt dışı aktarım gerektiren iş süreçlerini dikkatli bir şekilde değerlendirmeli, uygun hukuki mekanizmaları kurmalı ve ilgili kişilerin haklarını koruyacak tedbirleri almalıdır. Global operasyonlar için erken planlama ve proaktif yaklaşım kritik önem taşımaktadır.