Uluslararası Kişisel Veri Transferi ve Standart Sözleşmeler

I. GENEL BAKIŞ

2024 yılında 6698 sayılı Kişisel Verilerin Korunması Kanununun (“Kanun, KVKK”) yurt dışına veri transferini düzenleyen 9. maddesinde önemli değişiklikler yapılmıştır. Bu değişiklikten bir süre sonra Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (“Yönetmelik”) yayımlanmıştır. Yeni düzenlemelerle birlikte Türkiye’de yerleşik şirketlerin taraf olduğu uluslararası kişisel veri transferleri ile ilgili çerçeve köklü biçimde değişmiştir.

II. ULUSLARARASI VERİ TRANSFERİ

Türkiye’de yürürlükte olan mevzuata göre, bir kişisel verinin iletilmesi veya erişilebilir hale getirilmesi veri transferi/aktarımı olarak değerlendirilir. Örneğin, mevcut bir hesaba erişim hakkı verilmesi veya yurt dışında bulunan bir bulutta depolama işlemi de transfer olarak kabul edilecektir.

Mevzuatta bir işlemin “kişisel verilerin yurt dışına aktarılması” olarak nitelendirilmesi için çeşitli şartlar öngörülmüştür. Öncelikle, veri aktaran taraf KVKK’ya tabi olmalıdır. İkincisi, veri aktaran taraf kişisel verileri, üçüncü bir tarafa iletmeli veya başka bir suretle erişilebilir hale getirmelidir. Son olarak veri aktarılan taraf, Türkiye dışındaki bir ülkede bulunmalıdır. Bu doğrultuda Türkiye’de yerleşik iki şirket arasındaki veri transferi, şirketlerin yabancı sermayeli olup olmamasına bakılmaksızın yurt dışına veri transferi sayılmaz.

Örneğin, bir işverenin, İK süreçlerine ilişkin yazılım hizmeti sunan yurt dışında yerleşik bir şirkete çalışan verilerini iletmesi, uluslararası veri transferidir. Türkiye’de yerleşik bir şirketin, yine Türkiye’de yerleşik bir IT firmasından hizmet alması durumunda; bu IT firmasının verileri yurt dışındaki başka bir bulut hizmetine aktarması, IT şirketleri arasındaki bir uluslararası veri transferidir. Hizmeti alan Türk şirketi bu transferin tarafı değildir.

III. VERİ TRANSFERİ ŞARTLARI

YETERLİLİK KARARI – Kişisel verilerin yurt dışına aktarımı için ilk yöntem, Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından “yeterlilik kararı” verilmesidir. Kurul tarafından kişisel verilerin aktarılacağı ülke, bu ülkenin içerisinde yer alan belirli bir sektör ya da uluslararası kuruluşlar hakkında bir yeterlilik kararı verilmesi halinde ek bir işleme gerek olmaksızın veri transferleri yapılabilecektir.

STANDART SÖZLEŞME – Veri aktaran/veri işleyen taraflar, taahhütname, bağlayıcı şirket kuralları veya standart sözleşme adı verilen uygun güvencelerden birini kullanarak veri transferi yapabilecektir. Bu güvencelerden en önemlisi ve en çok tercih edileni standart sözleşme yöntemidir. Yönetmelik’e göre standart sözleşme, tamamen Kurul tarafından hazırlanan ve ilan edilen formatta imzalanmak zorundadır. Bu sözleşmede herhangi bir şekilde değişiklik yapmak mümkün değildir. Kurul tarafından 4 farklı standart sözleşme tipi belirlenmiştir. Taraflar, veri transferindeki rollerine göre bu sözleşmelerden doğru olanı seçmek ve imzalamakla yükümlüdür. Ayrıca sözleşmenin eklerinin de usulüne uygun şekilde doldurulması ve düzenlenmesi gerekmektedir. Sözleşme eklerinde, veri transferinin tüm özellikleri ve alınan tedbirler ayrıntılı bir şekilde yazılmalıdır. Son olarak sözleşmenin temsile ve imzaya yetkili kişilerce imzalanması ve sözleşmeyi imzalayanların yetkili olduğuna dair tevsik edici belgelerle birlikte imza tarihinden itibaren 5 iş günü içerisinde Kurum’a sunulması gerekmektedir.

Türkiye’de yerleşik iki şirket arasında standart sözleşme imzalanması gerekli değildir. Bu sözleşmenin taraflarından birinin yurt dışında yerleşik olması şarttır. Bu sözleşmenin imzalanması için taraflar arasında ticari ilişkinin veya faturalandırmanın bulunması şart değildir; fiili veri transferi yeterlidir.

Örnek Standart Sözleşme Senaryoları

ÖRNEK-1: Türkiye’de faaliyet gösteren bir e-ticaret platformu, Avrupa’ya gönderilecek siparişlerin alıcı bilgilerini Almanya’daki bir lojistik şirketiyle paylaşmaktadır.

ÖRNEK-2: Ankara’daki bir özel hastane, hastaların kişisel verilerini yedeklemek için İrlanda’daki bir bulut servis sağlayıcısını kullanmaktadır.

ÖRNEK-3: İstanbul merkezli bir banka, müşteri destek hizmeti için Kuzey Makedonya’da yerleşik bir çağrı merkezi şirketine kişisel verileri aktarmaktadır.

ÖRNEK-4: Bursa’daki bir otomotiv üreticisi, çalışan verilerini Singapur merkezli bir İK yazılımı sağlayıcısına aktarmaktadır.

İSTİSNAİ TRANSFER – Belirli ve düzenli olmayan, olağan iş akışı dışında gerçekleşen tek seferlik veya az sayıda transferlerde Kurul onayı aranmaz. Bu hallerde açık rıza veya diğer hukuka uygunluk sebeplerinden biri bulunmalıdır. Örneğin; yurt dışında kaza yapan bir lojistik şirketi çalışanının sağlık bilgilerinin, tedaviyi gerçekleştiren yabancı sağlık kuruluşlarıyla paylaşılması bu kapsamdadır.

IV. AÇIK RIZANIN DURUMU

Kanun değişikliğinden önce uluslararası veri transferlerinde en sık kullanılan yöntem, ilgili kişilerden konuya özel olarak açık rıza alınmasıydı. Kanun değişikliği ile birlikte açık rıza bir seçenek olmaktan çıkmıştır. Bu doğrultuda daha önce alınan açık rızalara dayanarak veri transferlerini sürdürmek mümkün değildir. Yurtdışına veri transferi yapan şirketlerin, açık rıza uygulamasını kaldırması gerekmektedir. Ayrıca, Kanun kapsamında hazırlanan aydınlatma metinlerinin de yeni çerçeveye uygun şekilde güncellenmesi zorunludur. Aydınlatma metinlerinde, uluslararası veri transferinin yöntemi ve hukuki sebebine ilişkin değişikliklerin yapılması gerekir.

V. YAPTIRIMLAR

Uluslararası veri transferlerinin Kanun’a uygun şekilde yapılmaması halinde Kurul, Kanun’un 18/b maddesi uyarınca işlem taraflarına 204.285 TL’den 13.620.402 TL’ye kadar idari para cezası uygulayabilecektir. Örneğin kişisel verileri, ilgili kişilerin açık rızalarını alarak yurt dışına aktarmaya devam eden bir şirket, bu yöntem geçersiz hale geldiği için bahsedilen cezalarla karşılaşabilir. Bu şirketin yukarıda belirtilen yöntemlerden birini tercih ederek transfer işlemlerini yürütmesi gerekmektedir.

Ek olarak taraflar arasında imzalanan standart sözleşmelerin 5 iş günü içerisinde Kurum’a bildirilmemesi halinde de ayrı bir yaptırım uygulanacaktır. Buna göre standart sözleşme imzalanmasına rağmen bildirim yapılmaması halinde ilgili tarafa 71.965 TL’den 1.439.300 TL’ye kadar idari para cezası uygulanabilecektir.

VI. SONUÇ

• Yeni düzenlemeler ile uluslararası veri transferlerinde “açık rıza” uygulaması kaldırılmıştır.
• Veri transferinin tarafı olan şirketlerin yeterlilik kararı veya uygun güvence yöntemlerinden birini seçmeleri gereklidir.
• Düzenli ve planlı uluslararası transferler için standart sözleşme yöntemi tercih edilmelidir. Standart sözleşme tipi transfer tipine uygun şekilde belirlenmeli, sözleşmenin ekleri Kanuna uygun şekilde hazırlanmalıdır.
• Düzenli olmayan, acil veya tek seferlik aktarımlar için ise istisnai transfer hükümleri uygulanabilir.
• Aydınlatma ve açık rıza metinleri yeni yöntemler çerçevesinde güncellenmelidir.