Kişisel Verilerin Yurt Dışına Aktarılması Nedir?

Kişisel verilerin yurt dışına aktarılması, Türkiye’de yerleşik bir veri sorumlusu veya veri işleyen tarafından elde edilen verilerin yabancı ülkedeki kişilere, kuruluşlara ya da sunuculara iletilmesi veya bu verilere yurt dışından erişim sağlanmasıdır. Bulut tabanlı yazılımların kullanılması, yabancı e-posta hizmetlerinden yararlanılması veya verilerin uluslararası veri merkezlerinde depolanması da bu kapsama girer. Aktarım fiziki belge gönderimiyle sınırlı değildir, dijital işlemleri de kapsar.

Konunun hukuki çerçevesi 6698 sayılı Kişisel Verilerin Korunması Kanunu‘nun^[1] hükmünde düzenlenmiştir. Türkiye sınırları içindeki paylaşımlar bu yazının konusu değildir, o süreç için Kişisel Verilerin Aktarılması yazısına bakılabilir. Yurt dışı aktarım, verinin ulaştığı ülkedeki koruma düzeyinin farklılık göstermesi nedeniyle daha sıkı kurallara tabidir.

Çok uluslu şirketler, yabancı yazılım sağlayıcıları ve çevrim içi platformların yaygınlaşması sınır ötesi veri transferlerini iş hayatının olağan bir parçası haline getirmiştir. Ancak her aktarım otomatik olarak hukuka uygun sayılmaz, kanunda öngörülen şartların sağlanması gerekir.

Yurt Dışına Aktarımın Hukuki Dayanakları

Kanun koyucu, verinin ülke dışına çıkabilmesi için öncelikle işlenmesini haklı kılan bir hukuki sebep arar. Bu kapsamda^[2] ve özel nitelikli veriler için^[3] hükümleri yurt dışı aktarımda da geçerliliğini korur. Hukuka uygun işlenemeyen bir verinin yurt dışına aktarılması da mümkün değildir.

Veri işleme şartlarının varlığı tek başına yeterli değildir, ayrıca yeterlilik kararı, uygun güvenceler veya kanunda sayılan arızi haller gibi ek şartlardan birinin sağlanması gerekir. Uluslararası ticari faaliyet yürüten şirketler bakımından bu dayanağın doğru belirlenmesi büyük önem taşır, aksi halde idari yaptırım ve tazminat riskiyle karşılaşılabilir.

Kanunda öngörülen aktarım mekanizmaları ve bunların temel şartları aşağıdaki tabloda gösterilmiştir, her mekanizmanın ayrıntısı takip eden başlıklarda ele alınmaktadır.

Yurt Dışı Aktarımda 4 Mekanizma

Açık Rıza ile Yurt Dışına Veri Aktarımı

^[4] açık rızayı belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan onay olarak tanımlar. Yurt dışı aktarımda alınacak rızada hangi verinin hangi ülkeye aktarılacağı, amacı ve olası sonuçları ilgili kişiye anlaşılır şekilde açıklanmalıdır.

Her aktarım için rızaya dayanılması doğru bir yaklaşım değildir. Kanunda öngörülen diğer mekanizmalar mevcutken yalnızca rızaya güvenilmesi, rızanın sonradan geri çekilmesi halinde hukuki risk doğurabilir. İnternet siteleri ve mobil uygulamalarda alınan rızaların aydınlatma metninden ayrı düzenlenmesi önerilir.

Uyarı: Yalnızca açık rızaya dayanılarak yapılan aktarımlar, rızanın geri alınması halinde hukuki risk doğurabilir.

Yeterlilik Kararı Nedir?

Yeterlilik kararı, kişisel verilerin aktarılacağı ülke, sektör veya uluslararası kuruluşta yeterli düzeyde koruma bulunduğunun Kişisel Verileri Koruma Kurulu tarafından tespit edilmesidir. Bu değerlendirmede ilgili ülkenin mevzuatı, bağımsız denetim mekanizmaları ve uluslararası yükümlülükleri dikkate alınır.

Yeterlilik kararının bulunması aktarım sürecini kolaylaştırır, ancak veri sorumlusunun diğer yükümlülüklerini ortadan kaldırmaz. Aktarım sırasında^[5]’te yer alan hukuka uygunluk ve ölçülülük ilkelerine uyulmaya devam edilmelidir.

Bilgi: Yeterlilik kararı, ülke bazında değil sektör veya uluslararası kuruluş bazında da verilebilir.

Uygun Güvenceler Kapsamında Aktarım

Aktarım yapılacak ülke hakkında yeterlilik kararı bulunmasa dahi belirli güvencelerin sağlanması halinde yurt dışına aktarım mümkündür. Bu güvenceler arasında standart sözleşmeler, bağlayıcı şirket kuralları ve Kurul tarafından kabul edilen diğer mekanizmalar sayılabilir.

Standart Sözleşme ile Aktarım

Standart sözleşme, veri aktaran ile yurt dışındaki alıcı arasında Kurul tarafından kabul edilen metinlerin esaslı değişiklik yapılmaksızın imzalanmasıyla uygulanır. Veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene gibi farklı senaryolar için ayrı sözleşme tipleri öngörülmüştür ve imzalanan sözleşmenin Kurula bildirilmesi gerekir.

Bağlayıcı Şirket Kuralları

Bu mekanizma, aynı şirketler topluluğu bünyesindeki farklı ülkelerdeki grup şirketleri arasında veri aktarımını kolaylaştırır. Grup şirketlerinin ortak bir veri koruma politikası oluşturması ve bu kuralların Kurul esaslarına uygun hazırlanması şarttır.

Arızi Hallerde Yurt Dışına Veri Aktarımı

Sürekli veya sistematik nitelik taşımayan bazı durumlarda, yeterlilik kararı veya uygun güvence bulunmasa dahi belirli arızi şartların gerçekleşmesiyle aktarım yapılabilir. İlgili kişinin riskler hakkında bilgilendirilerek açıkça rıza göstermesi, bir sözleşmenin ifası için zorunluluk veya üstün bir kamu yararının bulunması bu kapsamda örnek gösterilebilir.

Bu istisnalar sürekli veri transferine imkan tanıyan genel bir dayanak olarak değerlendirilmemelidir. Arızi aktarımın gerçekten istisnai nitelikte kalması ve ilgili kişinin haklarını gereksiz şekilde zedelememesi gerekir.

Önemli: Arızi haller sürekli veri aktarımı için genel bir dayanak olarak kullanılamaz, yalnızca istisnai durumlarda uygulanır.

Yurt Dışı Aktarımda Dikkat Edilecekler

Bulut Sistemleri ve Uluslararası Şirketlerde Veri Aktarımı

Kullanılan bulut hizmetinin sunucularının yurt dışında bulunması veya verilerin yabancı veri merkezlerinde depolanması^[6] kapsamında yurt dışına aktarım sayılabilir. Bu nedenle yalnızca verinin yüklenmesi değil, yurt dışındaki sistemlerde muhafaza edilmesi de hukuki açıdan önem taşır.

Çok uluslu şirketler insan kaynakları, finans ve tedarik zinciri süreçlerinde sıklıkla sınır ötesi aktarım yapar. Bu şirketlerin hangi verinin hangi ülkeye aktarıldığını ve aktarımın hukuki sebebini açıkça belirlemesi, ayrıca VERBİS kaydı yükümlülüklerini gözetmesi gerekir.

Özel Nitelikli Kişisel Verilerin Yurt Dışına Aktarılması

Sağlık bilgileri, biyometrik veriler ve genetik veriler gibi özel nitelikli veriler yurt dışına aktarılırken hem^[7]’daki şartların hem de^[8]’daki yurt dışı aktarım mekanizmalarının birlikte sağlanması gerekir. Bu tür verilerin uluslararası paylaşımında veri minimizasyonu ilkesine uyulmalı ve güçlü teknik güvenlik tedbirleri uygulanmalıdır.

Hukuka Aykırı Yurt Dışı Aktarımının Sonuçları

^[9] uyarınca Kanunda öngörülen yükümlülüklere aykırı davranan veri sorumluları hakkında idari para cezası uygulanabilir. Kurul, hukuka aykırı aktarım faaliyetinin durdurulmasına da karar verebilir.

Zarara uğrayan kişiler genel hükümler çerçevesinde tazminat talep edebilir. Fiilin niteliğine göre^[10]’da düzenlenen verileri hukuka aykırı olarak verme veya ele geçirme suçu kapsamında cezai sorumluluk da gündeme gelebilir.

Uyarı: Hukuka aykırı yurt dışı aktarım hem idari para cezasına hem de TCK kapsamında cezai sorumluluğa yol açabilir.

Kişisel Verilerin Yurt Dışına Aktarılması Hakkında Sıkça Sorulan Sorular

Yurt dışı veri transferine ilişkin sık sorulan sorular aşağıda cevaplanmıştır.

Av. Hulusi Hatıpoğlu

Selçuk Üniversitesi Hukuk Fakültesinden onur öğrencisi olarak mezun olmuştur. Avukatlık kariyerine Konya Barosu’nda başlayan Arb. Av. Hulusi Hatıpoğlu, kariyerini İstanbul’da devam ettirmektedir. Özellikle İş Hukuku, İş ve Sosyal Güvenlik Hukuku, ...

Tüm yazıları