6698 Sayılı KVKK Madde 9 Kapsamında Yurt Dışına Veri Aktarımı ve Standart Sözleşme Bildirim Yükümlülüğü
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun yeniden düzenlenen 9. maddesi ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile yurt dışına veri aktarımında üç aşamalı kademeli rejim yürürlüğe girmiştir: yeterlilik kararı, uygun güvenceler (özellikle Kurul tarafından ilan edilen Standart Sözleşmeler) ve arızi hallere münhasır istisnalar. Standart Sözleşme imzalanması halinde imzaların tamamlanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirim yapılması kanuni zorunluluktur.
Üç Aşamalı Yeni Aktarım Mimarisi
7499 sayılı Kanun ile 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 9. maddesinde yapılan değişiklik sonucunda, kişisel verilerin yurt dışına aktarılmasını neredeyse yalnızca açık rızaya hapseden eski yapı terk edilerek Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile uyumlu kademeli aktarım rejimi ihdas edilmiştir.
KVKK m. 9/1 uyarınca yurt dışına aktarım yapılabilmesi için öncelikle KVKK m. 5 ve m. 6'daki veri işleme şartlarından birinin varlığı aranır. Bu temel şart mevcutsa sırasıyla yeterlilik kararı, yeterlilik kararı bulunmaması halinde uygun güvenceler ve bunların da yokluğunda yalnızca arızi durumlar için öngörülen istisnai haller değerlendirilir.
Uygun Güvenceler ve Standart Sözleşme Mekanizması (KVKK m. 9/4-c)
Uygulamada veri sorumluları ve veri işleyenler açısından en işlevsel yöntem, Kişisel Verileri Koruma Kurulu tarafından ilan edilen dört farklı aktarım senaryosuna (Veri Sorumlusundan Veri Sorumlusuna, Veri Sorumlusundan Veri İşleyene, Veri İşleyenden Veri İşleyene, Veri İşleyenden Veri Sorumlusuna) uygun Standart Sözleşme metinlerinin değiştirilmeksizin akdedilmesidir.
KVKK m. 9/5 uyarınca standart sözleşmenin, imzaların tamamlanmasından itibaren beş iş günü içinde fiziki olarak, kayıtlı elektronik posta (KEP) yoluyla veya Kurulca belirlenen Standart Sözleşme Bildirim Modülü üzerinden Kişisel Verileri Koruma Kurumu'na bildirilmesi zorunludur. Bildirim yükümlülüğünün yerine getirilmemesi KVKK m. 18/1-d kapsamında hem veri sorumlusu hem de veri işleyen bakımından idari para cezası yaptırımına bağlanmıştır.
Açık Rızanın Sürekli Aktarımlarda Kullanılamaması (KVKK m. 9/6)
Yeni rejimdeki en kritik dönüşümlerden biri, açık rızaya dayalı yurt dışı aktarımın yalnızca arızi (tek veya birkaç seferlik, süreklilik arz etmeyen ve olağan faaliyet akışı dışında kalan) aktarımlarla sınırlandırılmış olmasıdır. Yurt dışı merkezli bulut altyapısı, e-posta sunucusu veya CRM yazılımlarının sürekli kullanımı arızi nitelikte olmadığından uygun güvence mekanizmalarının tesisi gerekmektedir.
Mevzuat Uygulamasına İlişkin Sorular
Standart Sözleşme metni üzerinde taraflarca değişiklik yapılabilir mi?+
Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m. 14 uyarınca Kurul tarafından ilan edilen Standart Sözleşme metinlerinin değiştirilmeksizin kullanılması zorunludur; yalnızca eklerde yer alan veri kategorisi ve teknik-idari tedbir alanları somut aktarıma göre doldurulur.
Beş iş günlük bildirim süresi hangi tarihten itibaren başlar?+
Beş iş günlük süre, aktaran ve aktarılan her iki tarafın yetkili temsilcilerinin imzalarının tamamlandığı tarihi izleyen ilk iş gününden itibaren işlemeye başlar.
Bu internet sitesinde yer alan tüm içerik, 1136 sayılı Avukatlık Kanunu ve Türkiye Barolar Birliği Reklam Yasağı Yönetmeliği hükümlerine uygun olarak yalnızca genel bilgilendirme amacıyla hazırlanmıştır. Sitedeki bilgiler hukuki tavsiye niteliği taşımaz ve avukat-müvekkil ilişkisi kurulmasına yönelik bir icap oluşturmaz.