Kişisel Verilerin Yurt Dışına Aktarılması: Bulut, Sunucu ve Grup Şirketi Sorunu

Yurt dışında sunucusu bulunan bir bulut hizmeti kullanmak, yurt dışındaki ana şirkete personel verisi göndermek, yurt dışı merkezli bir e-posta ya da müşteri ilişkileri yazılımını tercih etmek. Bunların hepsi kişisel verilerin yurt dışına aktarılması sayılır ve 1 Haziran 2024 tarihinde yürürlüğe giren yeni bir rejime tabidir. Aşağıda bu rejim, uygulama esaslarını gösteren yönetmelikle birlikte adım adım ele alınmaktadır.

Yurt dışına aktarım ne zaman gündeme gelir

Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanmıştır. Yönetmelik, yurt dışına aktarımı, verilerin yurt dışındaki bir veri sorumlusuna veya veri işleyene iletilmesi ya da başka bir suretle erişilebilir hâle getirilmesi olarak tanımlar.

Tanımın ikinci yarısı belirleyicidir: erişilebilir kılmak da aktarımdır. Bu geniş anlayış uygulamada beklenmedik sonuçlar doğurur. Sık rastlanan hâller şunlardır:

• Verilerin yurt dışında bulunan sunucularda saklanması
• Yurt dışı merkezli yazılım sağlayıcısının destek amacıyla sisteme uzaktan erişmesi
• Grup şirketleri arasında insan kaynakları verilerinin paylaşılması
• Yurt dışındaki bir çağrı merkezinin müşteri kayıtlarına erişmesi
• Yurt dışı merkezli reklam ve analiz araçlarının internet sitesinde kullanılması
• Yedeklerin yurt dışındaki bir hizmet sağlayıcıda tutulması

Önemli bir noktanın altı çizilmelidir. Yurt dışına aktarım, veri işlemenin bir türüdür. Bu nedenle aktarımdan önce, işlemenin kendisinin 6698 sayılı Kanun'un 5. veya 6. maddesindeki şartlardan birine dayanması ve 4. maddedeki genel ilkelere uygun olması gerekir. Aktarım rejimi, bu ön şart sağlandıktan sonra devreye girer. Aktarım için geçerli bir mekanizma kurulmuş olması, dayanaksız bir veri işlemeyi hukuka uygun hâle getirmez. Aktarılacak veri özel nitelikliyse, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınmış olması aranır.

1 Haziran 2024 tarihinde değişen ne

7499 sayılı Kanun'la Kanun'un 9. maddesi baştan yazılmıştır. Önceki düzenlemede aktarım, ilgili kişinin açık rızasına ya da yeterli korumanın bulunduğu ülkeler listesine, bu da yoksa taraflarca yazılı taahhütname verilmesi ve Kurul izni alınmasına dayanıyordu. Herhangi bir ülke için yeterli koruma kararı verilmemiş olması ve taahhütname izinlerinin uzun sürmesi nedeniyle, uygulamada aktarımların büyük bölümü açık rızaya dayandırılıyordu. Bu durum, açık rızanın istisnai bir yol olması gerektiği yönündeki ilkeyle bağdaşmıyordu.

Yeni düzenleme üç basamaklı bir yapı kurmuştur: yeterlilik kararı, uygun güvenceler ve arızi hâller. Basamaklar arasında öncelik sırası vardır; bir üst basamak uygulanabiliyorsa alt basamağa geçilmez. Arızi hâllere ancak yeterlilik kararının bulunmaması ve uygun güvencelerden hiçbirinin sağlanamaması durumunda başvurulabilir.

Birinci basamak: yeterlilik kararı

Aktarımın en basit yolu, aktarımın yapılacağı ülke, ülke içindeki sektörler veya uluslararası kuruluşlar hakkında Kurul tarafından yeterlilik kararı verilmiş olmasıdır. Böyle bir karar varsa, işleme şartlarının bulunması kaydıyla aktarım ayrıca bir güvence aranmaksızın yapılabilir.

Yeterlilik kararı verilirken öncelikle şu hususlar dikkate alınır: karşılıklılık durumu; aktarımın yapılacağı ülkenin mevzuatı ve uygulaması ya da uluslararası kuruluşun tabi olduğu kurallar; bağımsız ve etkin bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının bulunması; kişisel verilerin korunmasına ilişkin uluslararası sözleşmelere taraf olma durumu; Türkiye'nin üye olduğu küresel veya bölgesel kuruluşlara üyelik; Türkiye'nin taraf olduğu uluslararası sözleşmeler. Kurul bu listeye ek hususlar belirlemeye de yetkilidir.

Yeterlilik kararı en geç 4 yılda bir yeniden değerlendirilir ve kararın kendisinde yeniden değerlendirme dönemleri açıkça gösterilir. Kurul, bu dönemle bağlı olmaksızın gerekli gördüğünde de kararı gözden geçirebilir; ileriye etkili olmak üzere değiştirebilir, askıya alabilir veya kaldırabilir. Kararlar Resmî Gazete'de ve Kurum'un internet sitesinde yayımlanır.

Uygulama bakımından sonuç şudur: hakkında yeterlilik kararı verilmiş ülke bulunup bulunmadığı, aktarım planlanmadan önce Kurum'un internet sitesinden kontrol edilmelidir. Liste zaman içinde değişebileceği gibi, mevcut bir karar askıya alınabilir ya da kaldırılabilir. Bu ihtimale karşı sözleşmelere, yeterlilik kararının ortadan kalkması hâlinde hangi güvenceye geçileceğini gösteren bir hüküm konulması yerinde olur.

İkinci basamak: uygun güvenceler

Yeterlilik kararı yoksa, tarafların uygun güvenceleri sağlaması hâlinde aktarım mümkündür. Uygun güvencenin varlığı yanında bir şart daha aranır: ilgili kişinin, aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması gerekir.

Kanun'un 9. maddesi dört güvence yöntemi saymaktadır:

• Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye'deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan, uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul'un aktarıma izin vermesi
• Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü olduğu, Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı
• Kurul tarafından ilan edilen standart sözleşmenin varlığı
• Yeterli korumayı sağlayacak hükümler içeren yazılı bir taahhütnamenin varlığı ve Kurul'un aktarıma izin vermesi

Özel sektör bakımından pratikte kullanılan yollar standart sözleşme ve bağlayıcı şirket kurallarıdır. Anlaşma yolu kamu kurum ve kuruluşlarına özgüdür.

Standart sözleşme ve 5 iş günlük bildirim

Standart sözleşme, yeni rejimin en çok kullanılan aracıdır. Kurul tarafından belirlenip ilan edilen metinler, tarafların sıfatına göre dört tür olarak yayımlanmıştır: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna aktarım. Doğru türün seçilmesi önemlidir; taraflardan hangisinin veri sorumlusu, hangisinin veri işleyen olduğu somut ilişkiye göre belirlenir.

Standart sözleşmenin en önemli özelliği, ayrıca Kurul izni gerektirmemesidir. Buna karşılık bir bildirim yükümlülüğü öngörülmüştür: standart sözleşme, imzaların tamamlanmasından itibaren 5 iş günü içinde fiziki olarak ya da kayıtlı elektronik posta adresi veya Kurul tarafından belirlenen diğer yöntemlerle Kurum'a bildirilir.

Bildirimi kimin yapacağı da düzenlenmiştir. Taraflar bunu standart sözleşmede kararlaştırabilir; bir belirleme yapılmamışsa bildirimi veri aktaran taraf yapar. Veri işleyen bildirimle yükümlü olduğu hâlde, bu yükümlülüğü veri sorumlusunun ayrıca talimatına gerek duymaksızın yerine getirir.

Bildirime, sözleşmeyi imzalayanların yetkili olduğunu gösteren belgeler eklenir. Yabancı dildeki her belgenin noter onaylı çevirisinin de sunulması gerekir. Sözleşme yabancı dilde de akdedilmişse Türkçe metin esas alınır.

Bildirim yükümlülüğü tek seferle sınırlı değildir. Sözleşmenin taraflarında değişiklik olması, sözleşme içeriğinde tarafların yer verdiği bilgi ve açıklamaların değişmesi ya da sözleşmenin sona ermesi hâllerinde de aynı usulle bildirim yapılır.

Metne müdahale edilmemesi ayrıca vurgulanmalıdır. Kurul tarafından ilan edilen metnin üzerinde herhangi bir değişiklik yapılmaksızın kullanılması zorunludur. Metinde değişiklik yapıldığının ya da taraflardan birinin veya her ikisinin geçerli imzasının bulunmadığının tespiti hâlinde, Kanun'un 15. maddesi uyarınca Kurul tarafından inceleme yapılır.

Bağlayıcı şirket kuralları

Çok uluslu teşebbüs grupları bakımından her ilişki için ayrı standart sözleşme imzalamak zahmetli olabilir. Bu durumda, ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin tamamının uymakla yükümlü olduğu bağlayıcı şirket kuralları hazırlanması yolu tercih edilebilir.

Bağlayıcı şirket kuralları, standart sözleşmeden farklı olarak Kurul onayına tabidir ve aktarıma ancak onaydan sonra başlanabilir. Başvuruda kurallar metni ile değerlendirme için gerekli diğer bilgi ve belgeler sunulur; yabancı dildeki her belgenin noter onaylı çevirisi eklenir ve metin yabancı dilde de düzenlenmişse Türkçe metin esas alınır.

Kurul onay değerlendirmesinde özellikle üç noktaya bakar: kuralların, çalışanlar da dâhil olmak üzere grubun ilgili her üyesi bakımından hukuken bağlayıcı ve uygulanabilir olması; ilgili kişi haklarının kullanılabileceğine dair taahhüdün bulunması; yönetmelikte sayılan asgari hususların karşılanması.

Bu asgari hususlar arasında grubun her üyesinin organizasyon yapısı ve irtibat bilgileri, aktarıma konu veri kategorileri ve aktarımın yapılacağı ülkeler, genel ilkelere uyum ve veri güvenliği tedbirleri, sonraki aktarımlara ilişkin kısıtlamalar, ilgili kişilerin haklarını kullanmasına ve Kurul'a şikâyette bulunmasına yönelik taahhüt, uyumun grup içinde denetlenmesine ilişkin mekanizmalar, kurallardaki değişikliklerin Kurul'a bildirilmesi, aktarımın yapılacağı ülkede güvencelere aykırı bir ulusal düzenleme bulunmadığına dair taahhüt ve verilere düzenli erişimi olan personele veri koruma eğitimi verileceği taahhüdü yer alır.

Onay süreci için mevzuatta bir azami süre öngörülmediğinden, bağlayıcı şirket kuralları kısa vadeli bir çözüm değildir. Onay alınıncaya kadar aktarımın başka bir mekanizmaya dayandırılması gerekir.

Taahhütname ve anlaşma yolu

Taahhütname, aktarım tarafları arasında akdedilen ve yeterli korumayı sağlayacak hükümleri içeren yazılı bir metindir. İçeriğinde bulunması gereken hususlar yönetmelikte ayrıntılı biçimde sayılmıştır: aktarımın amacı ve hukuki sebebi, genel ilkelere uyum taahhüdü, ilgili kişilerin aydınlatılması ve haklarını kullanması, teknik ve idari tedbirler, özel nitelikli veriler için yeterli önlemler, sonraki aktarım kısıtlamaları, veri alıcısının Kurul'un karar ve görüşlerine uyacağı taahhüdü, taahhütnameye uygunluk sağlanamaması hâlinde veri aktaranın aktarımı askıya alma ve sözleşmeyi feshetme hakkı, fesih hâlinde verilerin yedekleriyle birlikte iadesi veya yok edilmesi ve metnin Türk hukukuna tabi olacağı ile Türk mahkemelerinin yetkili olacağı yönündeki düzenleme.

Taahhütnameye dayanılarak aktarım yapılabilmesi için veri aktaran tarafından Kurul'a izin başvurusunda bulunulur ve aktarıma ancak izin verilmesinden sonra başlanır. Kamu kurum ve kuruluşları arasındaki anlaşma yolunda ise anlaşmanın müzakere sürecinde Kurul'un görüşüne başvurulması ve nihai metinle birlikte izin başvurusu yapılması gerekir.

Üçüncü basamak: arızi hâller

Yeterlilik kararının bulunmadığı ve uygun güvencelerden hiçbirinin sağlanamadığı durumlarda, aktarımın arızi olması kaydıyla sınırlı bir istisna listesine dayanılabilir. Bu hâller şunlardır:

• İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla aktarıma açık rıza vermesi
• Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması
• Aktarımın, ilgili kişi yararına veri sorumlusu ile diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması
• Aktarımın üstün bir kamu yararı için zorunlu olması
• Bir hakkın tesisi, kullanılması veya korunması için aktarımın zorunlu olması
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması
• Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, mevzuattaki şartlar sağlanarak ve meşru menfaati olan kişinin talebi üzerine aktarım yapılması

Arızi olma şartı belirleyicidir. Yönetmelik bu kavramı açıkça tanımlar:

Düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içinde bulunmayan aktarımlar arızi niteliktedir.

Buna göre yurt dışındaki bir sunucuda sürekli veri saklanması ya da grup şirketine düzenli olarak bordro verisi gönderilmesi arızi sayılamaz; bu tür aktarımlar için uygun güvence mekanizması kurulmalıdır. Sicilden aktarım bakımından iki sınır daha vardır: aktarım, sicildeki kişisel verilerin veya veri kategorilerinin tamamını içerecek biçimde yapılamaz; meşru menfaat sahiplerinin erişimine açık sicillerden aktarım ise yalnızca bu kişilere veya onların talebi üzerine gerçekleştirilebilir. Ayrıca açık rıza, sözleşmenin ifası ve üçüncü kişi yararına sözleşme bentleri, kamu kurum ve kuruluşlarının kamu hukukuna tabi faaliyetlerine uygulanmaz.

Sonraki aktarımlar ve veri işleyenin konumu

Yurt dışına aktarılan verilerin oradan başka bir alıcıya aktarılması, yani sonraki aktarım da aynı rejime tabidir. Uluslararası kuruluşlara aktarımlar bakımından da Kanun'daki güvencelerin sağlanması gerekir. Bu nedenle sözleşmelerde alt işleyen kullanımının veri sorumlusunun onayına bağlanması ve alt işleyene de aynı yükümlülüklerin yansıtılması yerinde olur.

Veri işleyen tarafından yapılan aktarımlarda, veri işleyen veri sorumlusunun belirlediği amaç ve kapsam çerçevesinde ve onun talimatlarına uygun olarak hareket eder. Bu, veri sorumlusunun sorumluluğunu ortadan kaldırmaz; veri sorumlusu, gerekli teknik ve idari tedbirlerin veri işleyen tarafından alınmasını sağlamakla yükümlüdür.

Bunların yanında, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye'nin veya ilgili kişinin menfaatinin ciddi biçimde zarar göreceği durumlarda aktarım ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurul'un izniyle yapılabilir.

Aktarım öncesi izlenecek sıra

1. Aktarımın gerçekten var olup olmadığını tespit edin; yurt dışından erişim imkânı bulunup bulunmadığına bakın.
2. Aktarılacak verinin işlenmesinin Kanun'un 5. veya 6. maddesindeki hangi şarta dayandığını belirleyin.
3. Aktarımın yapılacağı ülke hakkında yeterlilik kararı bulunup bulunmadığını Kurum'un sitesinden kontrol edin.
4. Yeterlilik kararı yoksa hangi uygun güvencenin kullanılacağına karar verin ve taraf sıfatlarına göre doğru standart sözleşme türünü belirleyin.
5. Sözleşmeyi yetkili kişilere imzalatın, yetki belgelerini ve gerekli çevirileri hazırlayın.
6. İmzaların tamamlanmasından itibaren 5 iş günü içinde bildirimi yapın ve bildirim kaydını saklayın.
7. Aydınlatma metnini ve Sicil kaydını yurt dışına aktarım bilgisini içerecek biçimde güncelleyin.

Bildirim yapılmazsa ne olur

Kanun'un 18. maddesinin birinci fıkrasına 7499 sayılı Kanun'la eklenen (d) bendi uyarınca, standart sözleşmeye ilişkin bildirim yükümlülüğünün yerine getirilmemesi ayrı bir idari para cezası sebebidir. Bu bendin bir özelliği vardır: diğer bentlerdeki cezalar yalnızca veri sorumlusuna uygulanırken, bu bentteki ceza veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır. Yani bildirim yükümlülüğü kendisine ait olan veri işleyen de doğrudan muhatap olabilir. Güncel ceza tutarları ve cezaya karşı başvurulacak yargı yolu, veri sorumlusuna başvuru ve Kurul'a şikâyet konulu yazıda ele alınmıştır.

Uygun bir mekanizmaya dayanmaksızın yapılan aktarım ise daha ağır sonuçlar doğurur. Bu durum hukuka aykırı veri işleme sayılır ve veri güvenliğine ilişkin yükümlülüklerin ihlali kapsamında değerlendirilebilir. Ayrıca Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık bulunması hâlinde veri işlenmesinin ya da verinin yurt dışına aktarılmasının durdurulmasına karar verebilir. Bu, yurt dışı sistemlere bağımlı çalışan bir işletme bakımından faaliyeti fiilen durdurabilecek bir sonuçtur.

Sık yapılan hatalar

• Aktarımın yalnızca verinin fiziken gönderilmesi sanılması; yurt dışındaki bir ekibe uzaktan erişim verilmesinin aktarım sayılmadığının düşünülmesi.
• İşleme şartı hiç değerlendirilmeden doğrudan standart sözleşme imzalanması. Aktarım mekanizması, dayanaksız işlemeyi hukuka uygun hâle getirmez.
• Yanlış standart sözleşme türünün seçilmesi; hizmet sağlayıcının veri işleyen olduğu bir ilişkide veri sorumlusundan veri sorumlusuna metninin kullanılması.
• Metin üzerinde değişiklik yapılması ya da yetkisiz kişiye imzalatılması.
• Bildirimin süresinde yapılmaması veya bildirimin yalnızca ilk imzada yapılıp sonraki değişiklik ve sona erme hâllerinde tekrarlanmaması.
• Bildirim yükümlülüğünün kime ait olduğunun sözleşmede belirlenmemesi ve tarafların birbirini beklemesi.
• Süreklilik gösteren bir aktarımın arızi sayılarak açık rızaya dayandırılması.
• Alt işleyen kullanımının sözleşmede düzenlenmemesi ve sonraki aktarımların gözden kaçması.
• Aydınlatma metninin ve Sicil kaydının yurt dışına aktarım bilgisiyle güncellenmemesi.