Standart Sözleşme

Diğer adları: Standard Contractual Clauses, SCC

Kısaca

Kişisel Verileri Koruma Kurulu'nun ilan ettiği, yurt dışına veri aktarımında değiştirilmeden imzalanan ve beş iş günü içinde Kurum'a bildirilen güvence sözleşmesi.

Standart sözleşme, KVKK’ya göre kişisel verilerin yurt dışına aktarılmasında kullanılabilecek uygun güvencelerden biridir. Kişisel Verileri Koruma Kurulu tarafından hazırlanıp ilan edilir ve yurt dışına veri aktarımında en sık kullanılan yöntemdir.

Dört Sözleşme Tipi

Kurul, aktarımın taraflarının rolüne göre dört farklı standart sözleşme belirlemiştir:

Veri sorumlusundan veri sorumlusuna aktarım,
Veri sorumlusundan veri işleyene aktarım,
Veri işleyenden veri işleyene aktarım,
Veri işleyenden veri sorumlusuna aktarım.

Tarafların önce kendi rollerini doğru belirlemesi gerekir; bunun için veri sorumlusu ve veri işleyen ayrımı esas alınır. Yanlış sözleşme tipinin seçilmesi, aktarımın dayanağını tartışmalı hâle getirir.

Değiştirilemez, Ekleri Doldurulmalıdır

Standart sözleşme, Kurul’un ilan ettiği metinle birebir aynı biçimde imzalanmalıdır; hükümlerinde değişiklik yapılamaz. Taraflara özgü bilgiler sözleşmenin eklerinde yer alır: aktarılan veri kategorileri, ilgili kişi grupları, aktarımın amacı ve sıklığı, saklama süresi, alınan teknik ve idari tedbirler. Eklerin genel ifadelerle geçiştirilmesi, sözleşmenin amacına ulaşmasını engeller.

Beş İş Günü İçinde Bildirim

Standart sözleşme, temsile yetkili kişilerce imzalandıktan sonra, imza tarihinden itibaren beş iş günü içinde, imza yetkisini gösteren belgelerle birlikte Kişisel Verileri Koruma Kurumu’na bildirilmelidir. Bildirimi yapmayan tarafa ayrı bir idari para cezası uygulanır.

Ne Zaman Gerekir?

Standart sözleşme, taraflardan biri yurt dışında olduğunda gerekir; Türkiye’de yerleşik iki şirket arasında imzalanmaz. Taraflar arasında ticari ilişki veya fatura bulunması şart değildir, fiili veri aktarımı yeterlidir. Örneğin:

Avrupa’ya gönderilen siparişlerin alıcı bilgilerini Almanya’daki bir lojistik şirketiyle paylaşan bir e-ticaret şirketi,
Hasta verilerini İrlanda’daki bir bulut sağlayıcısında yedekleyen bir hastane,
Çalışan verilerini Singapur’daki bir insan kaynakları yazılımına aktaran bir üretici.

Bu örnekler ve sözleşme süreci, Uluslararası Kişisel Veri Transferi ve Standart Sözleşmeler başlıklı yazımızda ayrıntılı olarak ele alınmıştır.

Sık Sorulan Sorular

Standart sözleşmede değişiklik yapabilir miyiz?

Hayır. Sözleşme, Kurul'un ilan ettiği metinle birebir aynı biçimde imzalanmalıdır. Taraflara özgü bilgiler yalnızca eklerde yer alır.

AB'nin standart sözleşmeleri KVKK için de kullanılabilir mi?

Hayır. KVKK kapsamındaki aktarımlar için Kurul'un ilan ettiği standart sözleşmeler kullanılmalıdır; AB'nin GDPR için kabul ettiği standart sözleşmeler bunların yerine geçmez.

← Tüm Kavramlar