Kişisel Verilerin Yurt Dışına Aktarımı Hangi Şartlarda Mümkündür?

KVKK m. 9, kişisel verilerin yurt dışına aktarımını düzenler. Maddeye göre kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamaz; ancak kanunda öngörülen belirli istisnai hâllerde ve yeterli korumanın sağlanması koşuluyla açık rıza aranmaksızın da aktarım yapılabilir.

Yurt dışına aktarım değerlendirmesi yapılırken öncelikle şu soru sorulmalıdır: Aktarılacak veri, KVKK m. 5'teki genel nitelikli kişisel veri mi, yoksa KVKK m. 6'daki özel nitelikli kişisel veri mi? Özel nitelikli verilerin yurt dışına aktarımında aranan koşullar, genel nitelikli verilere kıyasla daha sıkı yorumlanır.

En basit ve en sık başvurulan yol, ilgili kişiden yurt dışına aktarıma özgü, ayrıca ve açıkça alınan rızadır. Bu rızanın, veri işlemenin genel şartlarına ilişkin açık rızadan bağımsız olarak, hangi ülkeye, hangi amaçla ve hangi verilerin aktarılacağını anlaşılır biçimde ortaya koyması gerekir.

Rızanın geçerli olabilmesi için belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış olması gerekir. Kullanıcı sözleşmesinin veya gizlilik politikasının içine gömülü, ayrıca dikkat çekilmemiş bir "verileriniz yurt dışına aktarılabilir" ifadesi, tek başına geçerli bir açık rıza teşkil etmeyebilir.

KVKK m. 9, açık rıza aranmaksızın aktarım yapılabilecek durumları da düzenler. Bu kapsamda:

• KVKK m. 5/2 ve m. 6/3'te sayılan işleme şartlarından birinin (örneğin bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması, kanunlarda açıkça öngörülmesi, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması gibi) yurt dışı aktarım bakımından da gerçekleşmesi ve
• aktarım yapılacak ülkede yeterli korumanın bulunması ya da yeterli koruma bulunmayan ülkede, veri sorumlularının yeterli korumayı yazılı olarak taahhüt etmesi ve ilgili aktarımın Kurul iznine tabi olması

hâlinde açık rıza aranmaksızın da aktarım mümkün olabilir. Yeterli korumanın bulunduğu ülkeler listesi, Kurul tarafından ilan edilen ülkelerdir; bu listenin güncelliği her somut aktarım öncesinde ayrıca kontrol edilmelidir.

Uygulamada en sık karşılaşılan senaryo, verinin Kurul tarafından yeterli koruma sağladığı ilan edilmemiş bir ülkeye aktarılmasıdır (örneğin birçok bulut hizmet sağlayıcısının sunucularının bulunduğu ülkeler). Bu durumda kanun, veri sorumlusuna iki seçenek sunar:

1. Açık rıza almak: Aktarıma özgü, ayrı ve bilgilendirilmiş açık rıza.
2. Yazılı taahhüt ve Kurul izni: Türkiye'deki ve yurt dışındaki veri sorumlularının yeterli korumayı yazılı olarak taahhüt etmesi ve Kurul'dan bu aktarım için izin alınması.

İkinci yol, kurumsal ölçekte ve süreklilik arz eden veri aktarımları için (örneğin bir grup şirket içi veri paylaşımı) daha sürdürülebilir bir çözüm sunabilir; ancak Kurul'a başvuru, taahhütname hazırlığı ve onay süreci zaman ve uyum çalışması gerektirir.

Çok uluslu şirket gruplarında sıkça karşılaşılan ihtiyaç, farklı ülkelerdeki grup şirketleri arasında insan kaynakları, müşteri veya operasyonel verilerin düzenli olarak paylaşılmasıdır. Bu tür yapısal aktarımlarda tekil açık rıza modelinin işlevsel olmaması nedeniyle, bağlayıcı şirket kuralları ve yazılı taahhütnameler önem kazanır. Bu araçların hazırlanması ve Kurul nezdindeki başvuru süreci, somut grup yapısına göre özel olarak tasarlanmalıdır.

İşletmelerin sıkça karşılaştığı pratik soru, kullandıkları bulut depolama, e-posta veya müşteri ilişkileri yönetimi yazılımının sunucularının yurt dışında olması hâlinde ne yapılması gerektiğidir. Bu durumda öncelikle şu tespitler yapılmalıdır:

• verinin fiilen hangi ülke veya ülkelerdeki sunucularda tutulduğu,
• hizmet sağlayıcının veri işleyen mi yoksa bağımsız veri sorumlusu mu olduğu,
• sözleşmede veri güvenliği ve gizlilik yükümlülüklerinin nasıl düzenlendiği,
• hizmet sağlayıcının kendi alt yüklenicilerle veri paylaşıp paylaşmadığı.

Bu değerlendirme sonucunda, aktarımın açık rızaya mı yoksa yazılı taahhüt ve Kurul izni yoluna mı dayandırılacağı belirlenmelidir. Uygulamada birçok işletme, kullandığı yazılımın yurt dışı sunucu kullandığının farkında olmadan aydınlatma metninde bu hususu hiç belirtmemektedir; bu da hem aydınlatma yükümlülüğü hem de yurt dışı aktarım yükümlülüğü bakımından ayrı bir ihlal riski doğurur.

KVKK m. 10 uyarınca ilgili kişiye, verilerinin kimlere ve hangi amaçla aktarılabileceği aydınlatma yükümlülüğü kapsamında bildirilmelidir. Yurt dışına aktarım öngörülüyorsa, bu husus aydınlatma metninde açıkça yer almalı; mümkünse aktarımın yapılacağı ülke veya ülke grubu da belirtilmelidir. Aydınlatma metninde bu bilginin bulunmaması, ayrıca alınan açık rızanın geçerliliğini de etkileyebilir.

Yurt dışına aktarımda KVKK m. 12'deki veri güvenliği yükümlülükleri geçerliliğini sürdürür. Aktarım sırasında ve sonrasında verinin yetkisiz erişime, kaybolmaya veya hukuka aykırı işlenmeye karşı korunması için teknik ve idari tedbirlerin alınması, hem veri sorumlusunun hem de varsa yurt dışındaki alıcının sorumluluğundadır.

Yurt dışına aktarım şartlarına aykırı davranılması, KVKK m. 18 kapsamında idari para cezasını gerektirebilir; ayrıca ilgili kişiler, hukuka aykırı aktarım nedeniyle Kurul'a şikâyette bulunabilir veya genel hükümlere göre tazminat talep edebilir. Bu nedenle özellikle yeni bir yazılım veya hizmet sağlayıcı ile çalışmaya başlamadan önce, verinin nereye aktarılacağının önceden değerlendirilmesi önerilir.

Yurt dışına aktarım genellikle uluslararası hizmet sağlayıcılarla çalışan işletmelerde gündeme geldiğinden, aydınlatma ve açık rıza metinlerinin yalnız Türkçe değil, ilgili kişi kitlesinin diline uygun biçimde de hazırlanması önerilir. Metnin yabancı dilde sunulduğu hâllerde dahi, KVKK'nın aradığı asgari bilgi unsurlarının eksiksiz yer alması ve ilgili kişinin metni gerçekten anlayabileceği bir dilde sunulması gerekir. Yalnız Türkçe hazırlanan ancak hedef kitlesi büyük ölçüde yabancı dil konuşan bir aydınlatma metni, fiilen bilgilendirme amacına hizmet etmeyebilir.

Yurt dışındaki alıcıyla yapılan sözleşmelerde, Türkiye'deki veri sorumlusunun alıcının veri güvenliği uygulamalarını denetleme hakkının ve mevzuata aykırılık tespit edilmesi hâlinde sözleşmeyi feshetme hakkının açıkça düzenlenmesi önerilir. Bu tür hükümler, yalnız sözleşmesel bir güvence olmanın ötesinde, Kurul denetimlerinde veri sorumlusunun aktarım sürecini gerçekten kontrol ettiğini gösteren somut kanıt işlevi de görür.

• Kullanılan bulut veya yazılım hizmetinin sunucu konumunu hiç sorgulamamak,
• yurt dışı aktarımı aydınlatma metninde belirtmemek,
• genel işleme rızasını yurt dışı aktarım rızası yerine geçerli saymak,
• yeterli korumanın bulunduğu ülkeler listesinin güncel olup olmadığını kontrol etmemek,
• grup şirketleri arası düzenli veri paylaşımını tekil açık rıza ile çözmeye çalışmak,
• yazılı taahhütname ve Kurul izni gerektiren durumlarda başvuru sürecini atlamak.

Kişisel verilerin yurt dışına aktarımı, teknik altyapı tercihlerinin hukuki sonuçlarının en somut biçimde ortaya çıktığı alanlardan biridir. İşletmelerin kullandığı yazılım ve hizmetlerin veri akışını haritalandırması, aydınlatma metinlerini buna göre güncellemesi ve gerektiğinde açık rıza veya taahhütname mekanizmalarını doğru kurgulaması, ileride doğabilecek idari ve hukuki risklerin önüne geçer.

Yurt dışına veri aktarımı süreçlerinizin KVKK'ya uygunluğunun değerlendirilmesi ve gerekli sözleşme ile taahhütnamelerin hazırlanması için Günser + Partners ile iletişime geçebilirsiniz.