Yurt dışına veri aktarımı, Türkiye ve Birleşik Krallık'ta birlikte faaliyet gösteren şirket grupları için günlük iş akışının bir parçasıdır: personel kayıtları, müşteri verileri ve grup raporlamaları iki ülke arasında sürekli olarak dolaşmaktadır. 7499 sayılı Kanun ile değiştirilen KVKK madde 9 ve UK GDPR farklı aktarım araçları öngörmekte olup bu yazıda her iki yöndeki aktarım için uygulanabilecek yöntemler ele alınmaktadır.
Yurt Dışına Veri Aktarımı Nedir ve 2024'te Ne Değişti?
Yurt dışına veri aktarımı, kişisel verilerin Türkiye'de bulunan bir veri sorumlusu veya veri işleyen tarafından yurt dışındaki bir alıcıya iletilmesi ya da erişime açılmasıdır. Londra'daki bağlı şirketin Türkiye'deki personel kayıtlarına erişmesi, yurt dışında barındırılan bir bulut hizmetinin kullanılması veya grup raporlamasının merkeze gönderilmesi bu kapsamda değerlendirilmektedir. Kanunun genel çerçevesi KVKK Nedir? başlıklı yazımızda ele alınmıştır.
7499 s. Kanun12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun ile 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 9. maddesi yeniden düzenlenmiş ve değişiklik 1 Haziran 2024 tarihinde yürürlüğe girmiştir. Önceki düzende yeterli korumanın bulunmadığı ülkelere aktarım, uygulamada büyük ölçüde açık rızaya dayanmaktaydı. Yeni düzende ise Avrupa Birliği modeline yakın, kademeli bir yapı benimsenmiştir: önce yeterlilik kararı, yoksa uygun güvenceler, o da yoksa yalnızca arızi aktarım halleri.
Geçiş döneminde eski hükmün açık rızaya ilişkin birinci fıkrası, yeni sistemle birlikte 1 Eylül 2024 tarihine kadar uygulanmaya devam etmiştir. Bu tarihten sonra düzenli ve tekrarlayan aktarımların açık rızaya dayandırılması mümkün değildir. Usul ve esaslar ise 10 Temmuz 2024 tarihli Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile belirlenmiştir.
KVKK Madde 9'a Göre Hangi Aktarım Yolları Mevcuttur?
KVKK m.9Kişisel veriler, KVKK m.5 ve m.6'daki işleme şartlarından birinin varlığı halinde ve aşağıdaki yollardan biri kullanılarak yurt dışına aktarılabilmektedir:
- Yeterlilik kararı: Kişisel Verileri Koruma Kurulu (Kurul), bir ülke, ülke içindeki sektörler veya uluslararası kuruluş hakkında yeterlilik kararı verebilmektedir. Karar Resmî Gazete'de yayımlanmakta ve en geç dört yılda bir değerlendirilmektedir.
- Uygun güvenceler: Yeterlilik kararı bulunmaması halinde, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla dört güvenceden biri sağlanmalıdır: kamu kurumları arasındaki anlaşma (Kurul izni), bağlayıcı şirket kuralları (Kurul onayı), Kurul'un ilan ettiği standart sözleşme veya yeterli korumayı sağlayan yazılı taahhütname (Kurul izni).
- Arızi aktarım: İlk iki yolun bulunmaması halinde, düzenli olmayan aktarımlar için sınırlı sayıda istisna öngörülmüştür.
Bu yazının hazırlandığı tarih itibarıyla Kurul tarafından Birleşik Krallık hakkında verilmiş bir yeterlilik kararı bulunmamaktadır. Bu sebeple Türkiye'den Londra'ya yapılan düzenli aktarımlar bakımından uygulamadaki ana araç standart sözleşmedir; çok şirketli gruplar için bağlayıcı şirket kuralları da değerlendirilebilmektedir.
KVKK Standart Sözleşme Nasıl Kullanılır?
KVKK standart sözleşme, Kurul tarafından ilan edilen ve aktarımın taraflarına göre dört modülden oluşan metindir: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. Yönetmelik uyarınca standart sözleşme metninde değişiklik yapılamamaktadır; taraflar yalnızca ekleri ve boş bırakılan alanları doldurmaktadır.
KVKK m.9/5Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumu'na (Kurum) bildirilmektedir. Bildirim yükümlülüğünün yerine getirilmemesi KVKK m.18 kapsamında idari para cezası yaptırımına bağlanmıştır. Kurul'un ceza uygulamasına ilişkin genel bir değerlendirme KVKK Kapsamında 2024 Yılı İdari Para Cezaları yazımızda yer almaktadır.
Önemle belirtmek gerekir ki KVKK standart sözleşmesi ile Birleşik Krallık'ın IDTA metni birbirinin yerine kullanılamamaktadır. Türkiye'den yapılan aktarım için Kurul'un metni, Birleşik Krallık'tan yapılan aktarım için ise UK GDPR'a uygun metin gerekmektedir. Aynı grup içinde iki yönlü veri akışı varsa her iki rejim için ayrı belge hazırlanmalıdır.
Arızi Aktarım Halleri Nelerdir?
KVKK m.9/6Yeterlilik kararı ve uygun güvence bulunmaması halinde, yalnızca arızi olmak kaydıyla şu hallerde aktarım yapılabilmektedir: ilgili kişinin olası riskler hakkında bilgilendirilerek açık rıza vermesi; ilgili kişi ile yapılan sözleşmenin ifası veya ilgili kişinin talebiyle alınan sözleşme öncesi tedbirler için zorunluluk; ilgili kişi yararına başkasıyla yapılacak sözleşme için zorunluluk; üstün kamu yararı; bir hakkın tesisi, kullanılması veya korunması; rıza veremeyecek durumdaki kişinin hayatı veya beden bütünlüğü ve kamuya açık sicilden aktarım.
Yönetmelik arızi aktarımı düzenli olmayan, yalnızca bir veya birkaç kez gerçekleşen, süreklilik arz etmeyen ve olağan iş akışı içinde yer almayan aktarım olarak tanımlamaktadır. Bordro sistemine aylık veri akışı veya ortak CRM kullanımı gibi süreklilik arz eden aktarımlar bu istisnaya dayandırılamamaktadır.
UK GDPR Kapsamında Türkiye'ye Veri Aktarımı
UK GDPR Art. 44-49UK GDPR veri aktarımı bakımından da benzer bir kademe söz konusudur. Birleşik Krallık'ın Türkiye hakkında bir yeterlilik (adequacy) düzenlemesi bulunmadığından Londra'daki şirketin Türkiye'ye yaptığı aktarımlar Art. 46 kapsamındaki uygun güvencelere dayanmalıdır. Uygulamada kullanılan araçlar şunlardır:
- IDTA (International Data Transfer Agreement): Information Commissioner's Office (ICO) tarafından hazırlanan, Birleşik Krallık'a özgü aktarım sözleşmesidir.
- UK Addendum: AB Standart Sözleşme Hükümlerine (EU SCC) eklenen ve bu hükümleri UK GDPR'a uyarlayan ektir. Grubun AB'de de faaliyeti varsa tek bir belge seti ile iki rejimin karşılanmasını kolaylaştırmaktadır.
- Bağlayıcı şirket kuralları: ICO onayına tabidir.
IDTA veya UK Addendum kullanılmadan önce transfer risk assessment (aktarım risk değerlendirmesi) yapılması beklenmektedir. Bu değerlendirmede alıcı ülkede kamu makamlarının verilere erişim imkânları ve ilgili kişinin hukuki başvuru yolları incelenmektedir. KVKK'da ayrı bir belge adı öngörülmemiş olmakla birlikte, m.9'daki etkili kanun yolu şartı benzer bir incelemeyi gerekli kılmaktadır. Ayrıca Data (Use and Access) Act 2025 ile UK GDPR'ın aktarım hükümlerinde değişiklikler yapılmış olup mevcut IDTA ve UK Addendum metinleri kullanılmaya devam etmektedir.
KVKK ve UK GDPR Aktarım Araçlarının Karşılaştırılması
| Araç | KVKK (Türkiye'den aktarım) | UK GDPR (Birleşik Krallık'tan aktarım) |
|---|---|---|
| Yeterlilik | Kurul kararı, Resmî Gazete'de yayım; Birleşik Krallık için karar yok | Adequacy düzenlemesi; Türkiye için düzenleme yok |
| Standart sözleşme | Kurul'un dört modüllü metni, değişiklik yapılamaz | IDTA veya EU SCC ile UK Addendum |
| Bildirim | İmzadan itibaren 5 iş günü içinde Kurum'a | ICO'ya bildirim öngörülmemiştir |
| Bağlayıcı şirket kuralları | Kurul onayı | ICO onayı |
| Özel sözleşme veya taahhütname | Yazılı taahhütname ve Kurul izni | ICO izni ile özel sözleşme hükümleri |
| Risk değerlendirmesi | Hak kullanımı ve etkili kanun yolu şartı | Transfer risk assessment |
| İstisnalar | Arızi aktarım halleri (m.9/6) | Art. 49 istisnaları |
Tablo, iki rejimin aktarım araçlarını genel hatlarıyla göstermektedir. Somut aktarımda verinin türü, alıcının sıfatı ve aktarımın sıklığı ayrıca değerlendirilmelidir.
Türkiye ile Londra Arasında Grup İçi Veri Akışı Nasıl Kurulur?
Türkiye'deki ana şirket ile Londra'daki bağlı şirket arasındaki veri akışı iki yönlü olarak kurgulanmalıdır:
- Türkiye'den Londra'ya: Türk şirketi veri ihracatçısıdır. Alıcının sıfatına göre uygun KVKK standart sözleşme modülü seçilmekte, sözleşme imzalanmakta ve beş iş günü içinde Kurum'a bildirilmektedir. Aydınlatma metinlerinde yurt dışına aktarım ve alıcı grupları belirtilmelidir. Çalışan verileri bakımından çalışanların veri gizliliği yazımızdaki hususlar da dikkate alınmalıdır.
- Londra'dan Türkiye'ye: Londra şirketi veri ihracatçısıdır. Transfer risk assessment yapılmakta, IDTA veya EU SCC ile UK Addendum imzalanmakta ve kayıt altına alınmaktadır.
İki rejimin belgeleri tek bir grup içi veri aktarım sözleşmesi (intra-group data transfer agreement) altında toplanabilmekte, ancak her bir ek kendi rejiminin metnine sadık kalmalıdır. Grup yapısındaki değişiklikler de belgelere yansıtılmalıdır; bu konuda şirketler ve ticaret hukuku çalışmalarımız ile bağlantı kurulmaktadır. Şirketlerin genel KVKK yükümlülükleri için ilgili yazımıza bakılabilir.
Uygulamada Dikkat Edilmesi Gereken Hususlar
- Veri akışları haritalanmalıdır. Hangi verinin, hangi sistemle, hangi ülkeye ve hangi sıklıkla aktarıldığı belirlenmelidir.
- Taraf sıfatları tespit edilmelidir. Alıcının veri sorumlusu mu veri işleyen mi olduğu doğru modül ve belge seçimini belirlemektedir.
- Açık rızaya dayalı eski aktarımlar gözden geçirilmelidir. 1 Eylül 2024 sonrasında düzenli aktarımlar standart sözleşme veya diğer güvencelere taşınmış olmalıdır.
- Bildirim süresi takip edilmelidir. Her yeni standart sözleşme imzadan itibaren beş iş günü içinde Kurum'a bildirilmelidir.
- UK tarafı belgelenmelidir. IDTA veya UK Addendum ile transfer risk assessment dosyada saklanmalıdır.
- Alt aktarımlar kontrol edilmelidir. Alıcının veriyi üçüncü ülkelere aktarması halinde aynı güvencelerin sürdürülmesi sağlanmalıdır.
Türkiye ve Birleşik Krallık arasındaki veri aktarımı yapınızın değerlendirilmesi için KVKK çalışma alanımız kapsamında hukuk büromuzla iletişime geçebilirsiniz.
Sıkça Sorulan Sorular
01Açık rıza ile yurt dışına veri aktarımı hâlâ yapılabilir mi?
Açık rıza, yeni KVKK m.9 düzeninde yalnızca arızi aktarım hallerinden biri olarak yer almaktadır. Eski açık rıza düzeni 1 Eylül 2024 tarihine kadar uygulanmış olup bu tarihten sonra düzenli ve süreklilik arz eden aktarımların yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi araçlara dayandırılması gerekmektedir.
02KVKK standart sözleşmesi Kurum'a bildirilmezse ne olur?
Standart sözleşmenin imzadan itibaren beş iş günü içinde Kurum'a bildirilmemesi, KVKK m.18 kapsamında idari para cezası yaptırımına bağlanmıştır. Bu sebeple sözleşmelerin imza tarihleri ile bildirim tarihlerinin şirket içinde ayrı bir takvimle izlenmesi ve bildirim belgelerinin saklanması önerilmektedir.
03IDTA, KVKK standart sözleşmesinin yerine kullanılabilir mi?
Hayır. IDTA, Birleşik Krallık'tan yapılan aktarımlar için UK GDPR kapsamında hazırlanmış bir metindir. Türkiye'den yapılan aktarımlarda Kurul tarafından ilan edilen standart sözleşme kullanılmalıdır. İki yönlü veri akışı bulunan gruplarda her iki metin aynı grup içi sözleşmenin ekleri olarak birlikte düzenlenebilmektedir.
04Yurt dışında barındırılan bulut hizmeti kullanımı veri aktarımı sayılır mı?
Kişisel verilerin yurt dışındaki sunucularda saklanması veya yurt dışındaki hizmet sağlayıcının verilere erişebilmesi, kural olarak yurt dışına veri aktarımı olarak değerlendirilmektedir. Bu durumda hizmet sağlayıcı genellikle veri işleyen sıfatını taşıdığından veri sorumlusundan veri işleyene modülünün kullanılması gündeme gelmektedir.
