KVKK Yurt Dışı Veri Aktarım Rehberi

1. GİRİŞ

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 9 uncu maddesi kapsamında kişisel verilerin yurtdışına aktarımlarının uygulanması ile Kişisel Verileri Koruma Kurulu’nun (“Kurul”) beklediği uygun güvenceler hakkında kamuoyunun aydınlatılması amacıyla Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından 2 Ocak 2025 tarihinde Kişisel Verilerin Yurt Dışına Aktarılması Rehberi (“Rehber”) yayımlanmıştır.¹

Bu Rehber ile yurtdışı veri aktarım usullerinde yapılan değişikliklerin kamuoyu nezdinde anlaşılmasının ve uygulamaların KVKK’ya ve Kurul beklentilerine uygun hale gelmesinin önü açılmıştır.

2. KİŞİSEL VERİLERİN YURT DIŞINA AKTARILMASINA İLİŞKİN USUL VE ESASLARDA YAPILAN DEĞİŞİKLİKLERİN AMACI, GEREKÇESİ VE KAPSAMI

Kanun değişikliği öncesinde kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamamakta, istisnai olarak ise KVKK veri işleme şartlarının varlığı ve kişisel verinin aktarılacağı yabancı ülkede (i) yeterli korumanın bulunması ya da (ii) yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve (iii) Kurul’un izninin bulunması kaydıyla kişisel verilerin açık rıza aranmaksızın yurt dışına aktarılabileceği düzenlenmişti.

Ancak, yeterli korumanın bulunduğu ülkeler Kurul tarafından belirlenmemiş, Türkiye’deki veri sorumlusu ve ilgili yabancı ülkedeki veri sorumlusu ve/veya veri işleyenin yeterli bir korumayı yazılı olarak taahhüt etmelerinde kullanılabilecek “Taahhütnameler” Kurul tarafından kabul edilerek ilan edilmiştir. Bu kapsamda yapılan başvuruların Kurul tarafından değerlendirilmesi neticesinde yurt dışına kişisel veri aktarımına izin verilmiş ya da verilmemiştir.

Tüm bu düzenlemelerin yürürlüğe girdiği tarih olan 7 Nisan 2016 tarihinden 1 Haziran 2024 tarihine kadar Kurul’a yalnızca 86 adet taahhütname başvurusu ulaşmış bunlardan sadece 10 tanesi Kurul tarafından kabul edilmiştir. Bununla birlikte 3 adet Bağlayıcı Şirket Kuralı (BŞK) başvurusunda bulunulmuş olmakla birlikte söz konusu başvurular usul ve esasa ilişkin eksiklikler nedeniyle kabul edilmemiştir.

Dolayısıyla değişiklik öncesi dönemde yabancı ülkelere kişisel veri aktarılmasının, (i) ilgili kişilerin teker teker açık rızalarının alınması veya (ii) Türkiye’deki ve ilgili ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve (iii) Kurulun izin vermesiyle mümkün olması yurtdışına veri aktarılmasını uygulamada yalnızca ilgili kişilerin açık rızasına bağlı bir hale getirmişti. Sonuç olarak ticari hayatta birçok şirket tarafından sıklıkla kullanılan ve sunucuları yurt dışında bulunan ve çoğu bulut tabanlı yazılım ve uygulamaların hukuka uygun olarak kullanılabilmesini oldukça zorlaşmıştı.

Avrupa Birliği tarafından 2018 yılında yürürlüğe konulan Avrupa Birliği Genel Veri Koruma Tüzüğü (“GDPR”) her geçen gün gelişen teknoloji ve dijitalleşme ile ticari hayatın dinamikliğinin doğurduğu ihtiyaçları nazara alarak ilgili kişilerin haklarını da koruyacak şekilde AB dışına veri aktarılması bakımından yöntemler öngörmüş 1 Haziran 2024 düzenlemesi ile de KVKK’daki değişiklerin bu yöntemlere yaklaştırılması amaçlanmıştır.

3. KİŞİSEL VERİLERİN YURT DIŞINA AKTARILMASI

Kişisel verilerin yurt dışına aktarılması 9. maddenin uygulanmasına ilişkin usul ve esasları belirleyen Yönetmeliğin (“Yönetmelik”) 4. maddesinde “kişisel verilerin 6698 sayılı Kanun kapsamındaki bir veri sorumlusu veya veri işleyen tarafından yurt dışındaki bir veri sorumlusu veya veri işleyene iletilmesi ya da başka bir suretle erişilebilir hâle getirilmesi” olarak tanımlanmıştır. Bu kapsamda kişisel verilerin yurt dışına aktarılması 3 öğeye ayrılmaktadır:

• Veri Sorumlusu ya da Veri İşleyen (Veri Aktaran) Söz Konusu Kişisel Veri İşleme Faaliyeti İçin Kanuna Tabi Olma Yükümlülüğü

Kanuna tabi olma noktasında Kanunun yer bakımından uygulama alanı konusu gündeme gelmektedir. Bu çerçevede, Kanunun “Kapsam” başlıklı 2 nci maddesinde Kanunun uygulama alanının maddi kapsamı, “Bu Kanun hükümleri, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır.” şeklinde belirlenmiştir. Diğer taraftan, benzer şekilde hem 95/46/EC sayılı Direktif hem de GVKT hükümlerinin tamamen veya kısmen otomatik vasıtalarla ya da bir veri kayıt sisteminin parçasını oluşturan veya oluşturması planlanan otomatik olmayan vasıtalarla gerçekleştirilen kişisel veri işleme faaliyetleri bakımından uygulama alanı bulacağı öngörülmüştür.

• Veri Aktaran Tarafından İşlenen Kişisel Verilerin, İletilmesi veya Başka Bir Suretle Erişilebilir Hale Getirilmesi Gerekmektedir.

Veri aktaranın söz konusu kişisel verileri (i) iletmesi ya da (ii) erişilebilir hale getirmesi gerekir. Örneğin bir hesap oluşturulması, mevcut bir hesaba erişim hakkı verilmesi, uzaktan erişim için etkili bir talebin onaylanması, bir sabit sürücünün yerleştirilmesi veya bir dosyaya şifre gönderilmesi gibi. Üçüncü bir ülkeden uzaktan erişimin (yalnızca kişisel verilerin bir ekranda görüntülenmesi yoluyla gerçekleşse bile, örneğin destek durumlarında, sorun giderme veya yönetim amacıyla) ve/veya bir hizmet sağlayıcı tarafından sunulan yurt dışında bulunan bir bulutta depolama da bu üç öğenin bulunması koşuluyla aktarım olarak kabul edilecektir. Öte yandan, kişisel verilerin doğrudan ilgili kişi tarafından iletilmesi gibi, kişisel verileri başka bir veri sorumlusu veya veri işleyene ileten ya da erişilebilir hale getiren bir veri aktaran olmadığı durumlarda bu öğe sağlanmamış olacaktır.

• Veri Aktarılan Veri Sorumlusu ya da Veri İşleyen, Kanuna Tabi Olup Olmadığına Bakılmaksızın Üçüncü Bir Ülkede Olmalıdır.

Buna göre, veri aktarılan veri sorumlusu ya da veri işleyenin coğrafi olarak üçüncü bir ülkede olması gerekmektedir.

Sonuç olarak KVKK, GSPR’ın ilgili hükümleri esas alınarak değiştirilmiştir ve yurtdışı veri aktarımının sistematiği baştan düzenlenmiş, KVKK 9. maddesi ile üç katmanlı bir yapı oluşturulmuştur.

4. Yeterlilik Kararına Dayalı Veri Aktarımı

KVKK 5 inci ve 6 ncı maddelerinde belirtilen şartlardan birinin varlığı halinde ilk aşamada aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararının bulunup bulunmadığına bakılmalıdır. Kanunun 9 uncu maddesinin önceki halinde de aktarım faaliyetinin gerçekleşmesinde yeterlilik kararının bulunması esas idi ancak yapılan değişiklikle birlikte ülke haricinde ülke içindeki sektör ya da uluslararası kuruluşlar hakkında da yeterlilik kararı verilmesi düzenlenmiştir.

Kurul, henüz sitesinde bir yeterlilik kararı yayımlamamıştır.

5. Uygun Güvencelere Dayalı Aktarımlar

Yeterlilik kararının bulunmadığı durumlarda; Kanun’un kişisel verilerin ve özel nitelikli kişisel verilerin işlenme şartlarını düzenleyen 5. ve 6. maddelerinde belirtilen şartlardan biri mevcutsa ve ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ile etkin kanun yollarına başvurma hakkı bulunuyorsa uygun güvencelere dayalı aktarım yapılması mümkündür.

Ön koşulların varlığı halinde (i) uluslararası sözleşme niteliğinde olmayan anlaşma, (ii) bağlayıcı şirket kuralları, (iii) standart sözleşmeler ve (iv) yazılı taahhütname uygun güvenceler olarak sayılmaktadır

6. İstisnai Aktarım Hallerinden Birinin Bulunması

Yeterlilik kararının bulunmaması ve uygun güvencelerden birinin sağlanmaması halinde, arızi olmak kaydıyla, tek veya birkaç sefer ve süreklilik taşımayacak şekilde, yurt dışına veri aktarılabilecektir. Örneğin Türkiye’deki bir şirketin yurt dışında bulunan bir şirketle arızi olarak gerçekleştirmeyi düşündüğü ticari faaliyet bakımından muhatap şirketle irtibat halinde olacak çalışanlarına ilişkin bilgileri paylaşması KVKK’ya uygundur.

İstisnai haller ise, “açık rıza”, “ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması”, “ilgili kişi yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması”, “üstün bir kamu yararı için zorunlu olması”, “bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması”, “fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması” ve “kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılması” olarak sayılmaktadır.

Bu kapsamda, yurt dışına aktarıma ilişkin uluslararası sözleşme veya diğer kanunlarda bir hüküm bulunmakta ise kişisel verilerin söz konusu hükümler uyarınca yurt dışına aktarılabileceğini; esasında yeterlilik kararının bulunması, uygun güvencelerin olması ya da istisnai aktarım hallerinin bulunmasından önce yurt dışına aktarım faaliyetinin ilk basamağında uluslararası sözleşme veya diğer kanunlarda bir hüküm bulunup bulunmadığına bakılması gerektiğini önemle vurgulamak gerekmektedir.

7. SONUÇ

2 Ocak 2025 tarihli Rehber ile yurt dışı veri aktarım usul ve esaslarının uygulamadaki yansımaları ile ilgili detaylı açıklamalar sunulmuştur.

Kurum’un özet niteliğindeki Yurt Dışı Veri Aktarım Tablosu’na Bültenimizin ekinden ulaşabilirsiniz.

Bu doğrultuda takip eden bültenlerimizde (i) Yeterlilik Kararına Dayalı Aktarım, (ii) Uygun Güvencelere Dayalı Aktarım, (iii) Arızi Aktarım usul ve esasları ayrı ayrı değerlendirilecek ve Kurum talimatları detaylı şekilde aktarılacaktır.

Footnote

^{1 Rehber’e buradan ulaşabilirsiniz: https://www.kvkk.gov.tr/Icerik/8143/Kisisel-Verilerin-Yurt-Disina-Aktarilmasi-Rehberi}

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.