Bağlayıcı Şirket Kuralları

Bağlayıcı şirket kuralları (BCR), KVKK’nın 9. maddesinde yurt dışına veri aktarımı için sayılan uygun güvencelerden biridir. Ortak ekonomik faaliyette bulunan bir teşebbüs grubu içindeki şirketlerin, grup içinde farklı ülkelere yaptıkları kişisel veri aktarımlarını tek bir kurallar bütünüyle düzenlemesine imkân verir.

Kimler İçin Uygundur?

Bağlayıcı şirket kuralları, çok sayıda ülkede faaliyet gösteren ve grup şirketleri arasında sürekli veri akışı olan çok uluslu şirketler için tasarlanmıştır. Her grup şirketi çifti için ayrı ayrı standart sözleşme imzalamak yerine, bütün grup için geçerli tek bir çerçeve oluşturulur. Gruba dâhil olmayan tedarikçilere veya müşterilere yapılan aktarımlar ise bu kuralların kapsamında değildir.

Kurul Onayı

Bağlayıcı şirket kuralları, KVKK kapsamında kullanılabilmesi için Kişisel Verileri Koruma Kurulu tarafından onaylanmalıdır. Başvuru, Kurul’un belirlediği usule göre ve Kurum’un yayımladığı yardımcı dokümanlardaki unsurları içerecek biçimde yapılır. Kurallar genel olarak şunları içerir:

• Grubun yapısı ve kurallara bağlı şirketlerin listesi,
• Aktarılan veri kategorileri, aktarım amaçları ve alıcı ülkeler,
• KVKK’daki genel ilkelerin ve ilgili kişi haklarının grup içinde nasıl uygulanacağı,
• Kuralların bütün grup şirketleri ve çalışanları için bağlayıcı olduğunun güvencesi,
• Şikâyet mekanizması, eğitim ve iç denetim programı,
• Türkiye’deki ilgili kişilerin kurallara aykırılık hâlinde başvurabileceği hukuki yollar.

Değerlendirme

Bağlayıcı şirket kurallarının hazırlanması ve onay süreci, standart sözleşmeye göre çok daha uzun ve maliyetlidir. Buna karşılık bir kez onaylandığında, grup içindeki yeni aktarımlar için her seferinde ayrı sözleşme ve bildirim gerekmez. Bu nedenle karar, grubun büyüklüğü, ülke sayısı ve veri akışlarının yoğunluğu birlikte değerlendirilerek verilmelidir.