Yurt Dışına Kişisel Veri Aktarımı

Aktarımın hukuki sebebi ile güvence mekanizmasının ayrılması

6698 sayılı Kanun'un 9. maddesi, 7499 sayılı Kanun'la değişmiş; yeni rejim 1 Haziran 2024'te yürürlüğe girmiştir. Yeterlilik kararı, uygun güvenceler ve istisnai haller ayrı başlıklardır. Aktarım için işleme şartının da ayrıca bulunması gerekir. Bu nedenle yurt dışına kişisel veri aktarımı başlığında, talebin adı kadar dayandığı işlem ve tarafların hukuki sıfatı da önem taşır.

Dijital alanda hukuki değerlendirme yalnızca metne değil; verinin akışına, platformun işleyişine, zaman damgasına ve teknik kayda da dayanır. İlk değerlendirme, metindeki tek bir cümleye değil; olayın başlangıcından bugüne oluşan kayıtların birbirini doğrulayıp doğrulamadığına dayanmalıdır.

Aktarımın varlığı nasıl anlaşılır?

Bir verinin fiziksel olarak Türkiye dışındaki sunucularda tutulması, yurt dışındaki bir hizmet sağlayıcının erişimine açılması veya grup şirketleriyle paylaşılması yurt dışına aktarım değerlendirmesi gerektirebilir. E-posta, bulut depolama, insan kaynakları yazılımı, ödeme altyapısı ve pazarlama araçları bu açıdan incelenmelidir. İşletmeler çoğu zaman farkında olmadan yurt dışı aktarım yapmaktadır.

Kanuni mekanizmalar

KVKK’da yurt dışına aktarım için yeterlilik kararı, uygun güvenceler ve istisnai aktarım halleri gibi mekanizmalar öngörülür. Standart sözleşmeler, bağlayıcı şirket kuralları veya Kurul tarafından kabul edilen diğer güvenceler somut veri akışına göre gündeme gelebilir. Aktarımın hukuki sebebi ile aktarım mekanizması birbirinden ayrı değerlendirilmelidir.

Sözleşme ve tedarikçi kontrolü

Yurt dışına aktarımda yalnızca iç metin hazırlamak yeterli değildir; hizmet sağlayıcı sözleşmeleri, veri işleme ekleri, güvenlik taahhütleri ve alt işleyen ilişkileri incelenmelidir. Şirketlerin kullandıkları dijital araç listesini güncel tutması, yeni yazılım alımlarında KVKK kontrolü yapması ve aktarım değişikliklerini belgelendirmesi gerekir. Aksi halde uyum çalışması kağıt üzerinde kalır.

Dijital süreçte doğru başvuru kanalı

Bulut, e-posta, CRM, insan kaynakları, ödeme veya grup şirketi akışında veri aktaran ve veri alıcısı rolleri belirlenir. Uygun güvence olarak kullanılacak standart sözleşme, taraf rollerine uygun resmi metinden seçilir. Aynı olayda birden çok yol teorik olarak mevcut olsa bile, her yolun delil standardı, görevli mercii, masrafı ve karşı tarafın savunmasına etkisi farklıdır.

Sağlıklı yaklaşım; talebi, karşı talep ihtimalini ve geçici çözüm gereksinimini birlikte görmektir. İçerik veya veri ortadan kalkmadan önce delilin usulüne uygun korunması, sonraki başvurunun etkinliği bakımından önem taşır.

Dijital kayıt ve süre yönetimi

Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurula bildirim yapılır. Aktarım haritası veya tedarikçi değiştiğinde sözleşme ekleri ve bildirim ihtiyacı yeniden değerlendirilmelidir. Süre hesabında yalnız ilk olay tarihi değil, tebliğ, öğrenme, teslim, itiraz veya dönem sonu gibi ara tarihler de belirleyici olabilir.

Bildirim yapılacaksa muhatap, adres, içerik ve tebliğ biçimi sonradan ispatlanabilir olmalıdır. Süreleri yalnızca takvim notu olarak değil, hangi hakkı koruduğunu gösteren bir dosya çizelgesi olarak tutmak gerekir.

Teknik kayıtların korunması

Veri kategorileri, aktarım amacı, alıcı/alt işleyen bilgisi, ülke, teknik-idari tedbirler, işleme hukuki sebebi ve imzalı standart sözleşme ekleri dosyalanmalıdır. Belgelerin kaynağı, düzenlenme tarihi ve birbirleriyle bağlantısı açıkça gösterilmelidir; sonradan hazırlanmış özetler asıl kaydın yerini her zaman tutmaz.

Özellikle elektronik kayıtların değiştirilebilir yapısı gözetilerek, e-posta başlığı, zaman damgası, işlem kaydı, URL veya tebligat bilgisi korunmalıdır. Delil seti, iddiayı destekleyen kadar karşı tarafın ileri sürebileceği açıklamaları da test etmelidir.

Dijital alanda sık gözden kaçan hususlar

Yalnız sunucunun konumuna bakmak, standart sözleşme eklerini boş bırakmak, metni değiştirmek veya aktarımın dayandığı işleme şartını göstermemek güncel rejimde temel uyum riskleridir. Bu alanlarda hızlı hareket etmekle hazırlıksız hareket etmek aynı şey değildir.

Somut olayda belge, süre ve güncel mevzuat birlikte değerlendirildiğinde; ilk bakışta basit görünen ihtilafın farklı bir usul veya ispat sorununa dayandığı anlaşılabilir. Bu nedenle işlem öncesi değerlendirme, sonradan düzeltilecek eksik bir başvurudan daha işlevseldir.