Yurt Dışına Veri Aktarımı

Yurt dışına veri aktarımı, KVKK’ya tabi bir veri sorumlusunun veya veri işleyenin, kişisel verileri Türkiye dışındaki bir alıcıya iletmesi ya da onun erişimine açmasıdır. KVKK’nın 9. maddesi ve 2024’te yürürlüğe giren Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, bu aktarımları özel şartlara bağlar.

Hangi İşlemler Aktarım Sayılır?

Bir işlemin yurt dışına aktarım sayılması için üç unsur bir arada bulunmalıdır: aktaran taraf KVKK’ya tabi olmalı, verileri üçüncü bir kişiye iletmeli veya erişilebilir kılmalı ve alıcı Türkiye dışında bulunmalıdır. Yurt dışındaki bir bulut hizmetinde veri depolamak veya yurt dışındaki bir grup şirketine bir sisteme erişim yetkisi vermek de aktarımdır. Buna karşılık Türkiye’de yerleşik iki şirket arasındaki paylaşım, şirketlerden biri yabancı sermayeli olsa bile yurt dışına aktarım değildir.

Aktarım Yolları

2024 değişikliğinden sonra aktarım için sırasıyla şu yollar öngörülür:

1. Yeterlilik kararı: Kurul’un, verilerin aktarılacağı ülke, ülke içindeki sektör veya uluslararası kuruluş hakkında yeterli koruma bulunduğuna karar vermesi. Aktarımdan önce Kurul’un ilan ettiği yeterlilik kararları kontrol edilmelidir.
2. Uygun güvenceler: Yeterlilik kararı yoksa ve ilgili kişinin haklarını kullanma imkânı bulunuyorsa; standart sözleşme, Kurul onaylı bağlayıcı şirket kuralları, Kurul izinli taahhütname veya kamu kurumları arasındaki uluslararası anlaşmalar. Uygulamada aktarımların büyük çoğunluğu standart sözleşmeye dayanır.
3. Arızi aktarım: Yeterlilik kararı ve uygun güvence yoksa, yalnızca arızi nitelikteki, yani düzenli olmayan ve olağan iş akışı dışında kalan aktarımlar; açık rıza, sözleşmenin ifası veya bir hakkın korunması gibi Kanun’da sayılan sınırlı hâllerde yapılabilir.

Açık Rıza Artık Yeterli Değil

Değişiklikten önce en yaygın yöntem, ilgili kişilerden aktarıma özel açık rıza alınmasıydı. Bugün düzenli aktarımlar açık rızaya dayandırılamaz; açık rıza yalnızca arızi aktarımlarda bir seçenektir. Eski açık rıza metinlerine dayanarak aktarıma devam eden şirketlerin aktarım yöntemlerini ve aydınlatma metinlerini güncellemesi gerekir. Konunun ayrıntıları için Uluslararası Kişisel Veri Transferi ve Standart Sözleşmeler başlıklı yazımıza bakabilirsiniz.

Yaptırım

KVKK’ya aykırı yurt dışı aktarım, veri güvenliğine ilişkin yükümlülüklerin ihlali olarak her yıl artırılan tutarlarda idari para cezasına tabidir. Standart sözleşmenin süresinde Kurum’a bildirilmemesi de ayrı bir idari para cezası gerektirir.