Yeterlilik Kararı

Yeterlilik kararı, KVKK’nın 9. maddesine göre yurt dışına veri aktarımında başvurulacak ilk yoldur. Kişisel Verileri Koruma Kurulu, verilerin aktarılacağı ülkenin, o ülkedeki belirli bir sektörün veya bir uluslararası kuruluşun yeterli koruma sağladığına karar verirse, bu alıcılara aktarım ek bir güvenceye gerek olmaksızın yapılabilir.

Kurul Hangi Ölçütlere Bakar?

KVKK ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik’e göre Kurul; Türkiye ile o ülke arasında karşılıklılık durumunu, ilgili ülkenin kişisel veri mevzuatını ve uygulamasını, bağımsız ve etkili bir denetim otoritesinin varlığını, ülkenin taraf olduğu uluslararası sözleşmeleri ve üye olduğu kuruluşları ve ilgili kişilerin haklarını kullanabileceği hukuki yolları değerlendirir. Kararlar en geç dört yılda bir gözden geçirilir.

2024 değişikliğiyle yeterlilik kararının kapsamı genişletildi: artık bir ülkenin tamamı için değil, o ülkedeki belirli sektörler veya uluslararası kuruluşlar için de karar verilebilir. Yeterlilik kararları Resmî Gazete’de ve Kurum’un internet sitesinde yayımlanır.

Uygulamadaki Yeri

Yeterlilik kararı aktarımı en kolay hâle getiren yol olsa da, uygulamada şirketlerin büyük çoğunluğu yurt dışı aktarımlarını standart sözleşmeye dayandırır. Bir aktarım planlanırken önce Kurul’un ilan ettiği güncel yeterlilik kararları kontrol edilmeli; alıcının ülkesi veya sektörü hakkında bir karar yoksa uygun güvencelerden biri seçilmelidir.

AB’nin Yeterlilik Kararlarıyla Karıştırmamak

Avrupa Komisyonu’nun GDPR kapsamında verdiği yeterlilik kararları KVKK bakımından geçerli değildir. Örneğin Avrupa Komisyonu’nun bir ülke hakkında yeterlilik kararı vermiş olması, Türkiye’den o ülkeye yapılacak aktarımın KVKK’ya uygun olduğu anlamına gelmez. Ters yönde de Avrupa Komisyonu’nun Türkiye hakkında bir yeterlilik kararı bulunmadığından, AB’deki şirketler Türkiye’ye veri gönderirken AB’nin kendi güvencelerine başvurur; bkz. GDPR.