Yurt Dışına Kişisel Veri Aktarımı
2024 Reformu Sonrası Yeni Rejim

Bulut Çağında "Açık Rıza" Artık Güvenli Liman Değil

Bir şirketin yurt dışı merkezli bir e-posta hizmeti, bulut sunucusu, muhasebe yazılımı veya müşteri ilişkileri (CRM) platformu kullanması, çoğu zaman farkında bile olmadan kişisel verileri Türkiye sınırları dışına aktarması anlamına gelir. Yıllarca bu aktarımların pratikteki dayanağı, ilgili kişiden alınan (çoğu kez tek bir onay kutusuna sıkıştırılmış) açık rıza olmuştur. Ancak 2024 yılında yürürlüğe giren köklü bir değişiklikle bu yaklaşım terk edilmiş; yurt dışına aktarım, Avrupa Birliği Genel Veri Koruma Tüzüğü'nün (GDPR) mimarisine yaklaşan, kademeli ve kurumsallaşmış bir güvence sistemine bağlanmıştır.

Bu yazıda, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 9. maddesinde 7499 sayılı Kanun'la yapılan değişikliği; yeterlilik kararı, uygun güvenceler ve arızi haller şeklindeki üç katmanlı yeni rejimi ve açık rızanın değişen rolünü, veri sorumluları için pratik bir kontrol listesiyle birlikte ele alıyoruz.

Reformun Kısa Kronolojisi

Değişiklik, tek bir tarihte değil, kademeli bir geçiş takvimiyle hayata geçmiştir:

• 12.03.2024: 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun, 32487 sayılı Resmî Gazete'de yayımlandı; KVKK m.9 bu Kanun'un 34. maddesiyle baştan sona yeniden yazıldı.
• 01.06.2024: Yeni m.9 yürürlüğe girdi.
• 10.07.2024: "Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik" 32598 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girdi.
• 01.09.2024: Geçici Madde 3 uyarınca, eski m.9/1'in (açık rızaya dayalı eski rejim) yeni hükümle birlikte uygulanmaya devam ettiği geçiş dönemi sona erdi. Bu tarihten itibaren yalnızca yeni rejim geçerlidir.

Yeni Rejimin Üç Katmanı

Yenilenen KVKK m.9, yurt dışına aktarımı bir öncelik sırasına oturtur. Her aktarım için önce en üst katmandaki güvencenin bulunup bulunmadığına bakılır; yoksa bir alttaki katmana inilir. Her hâlde aktarımın, m.5 ve m.6'daki genel işleme şartlarından birine de dayanması gerekir — yurt dışı güvence, yurt içi işleme şartının yerine geçmez, ona eklenir.

1. Katman — Yeterlilik Kararı (m.9/1-3)

İlk ve en pratik yol, aktarımın yapılacağı ülke, o ülkedeki sektörler veya uluslararası kuruluş hakkında Kurul'un bir yeterlilik kararı vermiş olmasıdır (m.9/1). Böyle bir karar varsa, aktarım ek bir güvence aranmaksızın yapılabilir. Kurul bu kararı verirken karşılıklılık, hedef ülkenin veri koruma mevzuatı ve uygulaması, bağımsız bir denetim otoritesinin varlığı ve uluslararası sözleşmelere taraflık gibi ölçütleri değerlendirir (m.9/3); karar Resmî Gazete'de yayımlanır ve en geç dört yılda bir gözden geçirilir (m.9/2).

2. Katman — Uygun Güvenceler (m.9/4)

Yeterlilik kararı yoksa, taraflardan birinin aşağıdaki "uygun güvenceler"den birini sağlaması ve ilgili kişinin hedef ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması hâlinde aktarım yapılabilir (m.9/4):

• Uluslararası anlaşma niteliğinde olmayan anlaşma (a bendi): Kamu kurumları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan ve Kurul'un izin verdiği anlaşma.
• Bağlayıcı şirket kuralları (b bendi): Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü olduğu ve Kurul'ca onaylanan kurallar (uluslararası uygulamadaki "BCR" — Binding Corporate Rules). Çok uluslu grup şirketleri için elverişli, ancak onay süreci başvuru ve inceleme gerektiren bir yoldur.
• Standart sözleşme (c bendi): Kurul'un ilan ettiği, veri kategorilerini, aktarım amaçlarını, alıcı gruplarını, teknik ve idari tedbirleri ve özel nitelikli veriler için ek önlemleri içeren tip sözleşme. Uygulamada en yaygın kullanılan yoldur.
• Taahhütname (ç bendi): Yeterli korumayı sağlayacak hükümler içeren yazılı taahhütname ve Kurul'un aktarıma izin vermesi.

3. Katman — Arızi Haller (m.9/6)

Ne yeterlilik kararı ne de uygun güvencelerden biri sağlanabiliyorsa, aktarım ancak arızi olmak kaydıyla — yani süreklilik arz etmeyen, tek seferlik/istisnai durumlarda — ve m.9/6'da sınırlı sayıda sayılan hâllerden birinin varlığında yapılabilir. İşte açık rıza da (ilgili kişinin muhtemel riskler hakkında bilgilendirilmesi kaydıyla) artık burada, bu istisnai katmanda yer almaktadır (m.9/6-a). Diğer arızi hâller arasında sözleşmenin ifası için zorunluluk, üstün kamu yararı, bir hakkın tesisi/kullanılması/korunması ve hayatî menfaatlerin korunması sayılır.

Standart Sözleşmede Beş İş Günü Bildirim Yükümlülüğü

Standart sözleşme yolu, Kurul'dan önceden izin alınmasını gerektirmez; bu yönüyle pratiktir. Ancak sözleşme, imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilmek zorundadır (m.9/5). Kurul, kullanılacak standart sözleşme metinlerini 04.06.2024 tarihli ve 2024/959 sayılı kararıyla kabul etmiş ve dört ayrı türde ilan etmiştir: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna aktarımlar için. Bildirimler, Kurum'un bu amaçla kurduğu Standart Sözleşme Bildirim Modülü üzerinden yapılmaktadır. Bildirim yükümlülüğünün ihlali, m.18 kapsamında idari para cezası riski doğurur.

Açık Rızanın Statüsündeki Değişim

Reformun uygulamadaki en önemli sonucu, açık rızanın konumundaki değişimdir. Eski düzende açık rıza, yurt dışı aktarımın başlıca ve genel dayanağıydı. Yeni düzende ise açık rıza, birinci ve ikinci katman güvencelerinin sağlanamadığı, süreklilik arz etmeyen istisnai durumlar için saklı tutulan bir son çare hâline gelmiştir. Bu nedenle, bir şirketin yurt dışı bir bulut hizmetini düzenli ve sürekli biçimde kullanması gibi tipik bir senaryoda, "arızi" niteliği bulunmadığından açık rızaya dayanmak hukuken güvenli değildir; bu tür sürekli aktarımlar için standart sözleşme veya bağlayıcı şirket kuralları gibi kurumsal bir güvence gerekir.

Veri Sorumluları İçin Kontrol Listesi

1. Aktarım envanteri çıkarın: Hangi kişisel verilerin, hangi yurt dışı hizmet/alıcıya (bulut, e-posta, CRM, ana şirket, alt yüklenici) aktarıldığını tespit edin; bunları VERBİS kayıtlarınızla karşılaştırın.
2. Her aktarım için katman belirleyin: Yeterlilik kararı yoksa (bugün için durum budur), aktarımın sürekli mi yoksa arızi mi olduğunu değerlendirin. Sürekli aktarımlar için standart sözleşme/BCR; gerçekten istisnai olanlar için m.9/6 hâllerini esas alın.
3. Doğru standart sözleşme türünü seçin: Taraf sıfatlarına (veri sorumlusu/veri işleyen) uygun dört türden birini kullanın.
4. Beş iş günü kuralını takip edin: İmzalanan standart sözleşmeyi süresinde Bildirim Modülü üzerinden Kurum'a bildirin ve bildirim kaydını saklayın.
5. Aydınlatma metinlerini güncelleyin: Yurt dışına aktarımın dayanağını (m.10 aydınlatma yükümlülüğü çerçevesinde) doğru ve güncel biçimde belirtin; açık rızaya arızi hâllerde dayanılıyorsa, muhtemel riskler hakkında bilgilendirme yapıldığını belgeleyin.
6. Sonraki aktarımları da güvenceye alın: Yurt dışına aktarılan verinin oradan başka bir ülkeye/kuruluşa aktarılması hâlinde de aynı güvencelerin sağlanması gerektiğini (m.9/8) sözleşmelerinize yansıtın.

Sonuç

2024 reformu, yurt dışına kişisel veri aktarımını tek bir onaya dayalı esnek bir pratikten, kademeli ve belgelenebilir bir güvence sistemine dönüştürmüştür. Yeterlilik kararlarının henüz bulunmadığı bu geçiş döneminde, düzenli yurt dışı aktarımı olan işletmeler için pratik yol büyük ölçüde standart sözleşme ve bağlayıcı şirket kurallarıdır. Beş iş günlük bildirim süresi ve aktarım envanterinin güncel tutulması, uyumun en çok gözden kaçan ama denetimde en görünür unsurlarıdır.

Kaynakça

• 6698 sayılı Kişisel Verilerin Korunması Kanunu, m.9 (Değişik: 2/3/2024-7499/34) ve Geçici Madde 3 — mevzuat.gov.tr.
• 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun, RG 12.03.2024, Sayı 32487.
• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, RG 10.07.2024, Sayı 32598 — resmigazete.gov.tr.
• Kişisel Verileri Koruma Kurulu, 04.06.2024 tarihli ve 2024/959 sayılı karar (standart sözleşme metinleri ve bağlayıcı şirket kuralları) — kvkk.gov.tr/Standart-Sozlesmeler.
• Kişisel Verileri Koruma Kurumu, "Yurt Dışına Aktarım" bilgi sayfası (yeterlilik kararı durumu) — kvkk.gov.tr/Yurtdisina-Aktarim.
• Kişisel Verileri Koruma Kurumu, Kişisel Verilerin Yurt Dışına Aktarılması Rehberi (KVKK Yayınları No: 48) — kvkk.gov.tr.
• Kişisel Verileri Koruma Kurumu, Standart Sözleşme Bildirim Modülü Hakkında Kamuoyu Duyurusu — kvkk.gov.tr.