Bulut depolama hizmetleri, yurt dışı merkezli yazılımlar (CRM, e-posta pazarlama araçları, muhasebe sistemleri) veya çok uluslu şirket gruplarının veri paylaşımı, hemen her işletmeyi bir noktada “kişisel verilerin yurt dışına aktarımı” sorunuyla karşı karşıya bırakır. Türkiye’de faaliyet gösteren şirketlerin farkında olmadan ihlal ettiği en yaygın KVKK yükümlülüklerinden biri de budur.
Yasal Çerçeve: KVKK m. 9
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 9. maddesi, kişisel verilerin ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamayacağı ilkesini benimser. Kanun, bu genel kuralın istisnalarını da düzenlemiştir: veri, açık rıza aranmaksızın da aktarılabilir; ancak bunun için ya aktarımın yapılacağı ülkenin yeterli korumaya sahip olarak Kişisel Verileri Koruma Kurulu tarafından ilan edilmiş olması ya da yeterli koruma bulunmayan bir ülkeye aktarım söz konusuysa, Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli korumayı yazılı olarak taahhüt etmesi ve Kurul’un izninin bulunması gerekir.
Uygulamada En Sık Karşılaşılan Aktarım Araçları
Pratikte işletmeler, Kurul’un onayladığı “Bağlayıcı Şirket Kuralları” veya standart sözleşme hükümleri gibi araçlarla bu yükümlülüğü yerine getirmeye çalışır. Özellikle çok uluslu grup şirketleri arasındaki veri paylaşımında, grup içi veri aktarımını düzenleyen ve Kurul onayından geçmiş politikaların benimsenmesi yaygın bir çözümdür. Küçük ve orta ölçekli işletmeler için ise en sık kullanılan yol, veri sahibinden aktarım için ayrıca ve açıkça açık rıza alınmasıdır; ancak açık rızanın “belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan” nitelikte olması gerektiği unutulmamalıdır; genel ve muğlak bir onay metni bu şartı karşılamaz.
Yurt Dışı Sunuculu Bulut/SaaS Hizmetleri Kullanmak Otomatik İhlal midir?
Hayır; ancak dikkatli bir değerlendirme gerektirir. Bir işletmenin, verilerini yurt dışında barındıran bir e-posta, muhasebe veya CRM yazılımı kullanması, tek başına ve otomatik olarak hukuka aykırı sayılmaz; önemli olan bu aktarımın hangi hukuki sebebe (açık rıza, yeterli koruma bulunan ülke, taahhütname ve Kurul izni) dayandığının belirlenmesi ve buna uygun sözleşmesel/teknik önlemlerin alınmasıdır. İşletmelerin, kullandıkları yazılımların veri işleme sözleşmelerini (Data Processing Agreement) incelemesi ve verilerin fiilen hangi ülke veya ülkelerde saklandığını tespit etmesi önerilir.
Aydınlatma Metninde Aktarım Bilgisine Yer Verilmelidir
KVKK m. 10 uyarınca, veri sorumlusunun aydınlatma yükümlülüğü kapsamında ilgili kişiye, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği bilgisi de verilmelidir; bu nedenle yurt dışına aktarım söz konusuysa, aydınlatma metninde bu husus açıkça belirtilmeli ve mümkünse aktarımın yapılacağı ülke veya ülke grubu da ifade edilmelidir.
Kaynakça
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, m. 9, 10.
Sıkça Sorulan Sorular
Google, Microsoft gibi global hizmetleri kullanmak KVKK’ya aykırı mıdır?
Tek başına aykırı değildir; bu hizmet sağlayıcıların sunduğu veri işleme sözleşmeleri incelenmeli ve mümkünse Kurul’un kabul ettiği aktarım mekanizmalarından (standart sözleşme, taahhütname gibi) yararlanılmalıdır.
Açık rıza almadan yurt dışına veri aktarırsam ne olur?
KVKK m. 9’a aykırılık, m. 18 kapsamında idari para cezasına ve ayrıca ilgili kişinin açacağı tazminat davasına konu olabilir.
Aktarım için alınan açık rıza geri çekilebilir mi?
Evet; açık rıza her zaman geri çekilebilir bir irade beyanıdır, geri çekilmesi hâlinde veri sorumlusunun aktarım faaliyetini gözden geçirmesi gerekir.
Yurt içindeki bir sunucuda barındırılan ama yurt dışından erişilebilen veriler de bu kapsamda mıdır?
Belirleyici olan verinin fiilen kimin tarafından, nerede işlendiği ve kimlerin erişimine açık olduğudur; salt erişim imkânı somut olayda ayrıca değerlendirilmelidir.
İlgili Yazılar
- Veri İhlali Bildirimi Yükümlülüğü ve Süreleri
- KVKK Aydınlatma Yükümlülüğü Nedir? İşverenler ve Şirketler İçin Kapsamı
Yazar Hakkında
Bu yazı, Kırklareli Barosu’na kayıtlı Avukat Onur Akçınar tarafından, güncel mevzuat ve Yargıtay/Danıştay içtihadı esas alınarak hazırlanmıştır. Bu içerik genel bilgilendirme amaçlıdır, somut olaya özgü hukuki tavsiye niteliği taşımaz.
İletişim
Sorularınız için iletişim sayfamız üzerinden bize ulaşabilirsiniz.
Bir yanıt yazın