Kişisel verilerin yurt dışına aktarılması, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun en çok tartışılan başlıklarından biridir. Konuya ilişkin yönetmelik, aktarımın hangi hukuki araçlarla yapılabileceğini, standart sözleşmenin nasıl kullanılacağını ve Kurula bildirim yükümlülüğünün nasıl yerine getirileceğini düzenler. Yurt dışı bulut hizmeti, grup şirketi paylaşımı veya yabancı yazılım kullanan hemen her şirket bu düzenlemenin muhatabıdır.
Aktarım Aracını Doğru Seçmek
Aktarım için kullanılabilecek araçlar sınırlıdır ve birbirinin yerine geçmez. Yeterlilik kararı bulunan ülkelere aktarım ile uygun güvenceye dayalı aktarım farklı rejimlerdir; uygun güvence yoksa ancak istisnai hâller gündeme gelir. Uygulamadaki en yaygın hata, açık rızanın rutin ve süreklilik arz eden aktarımlarda genel bir çözüm gibi kullanılmasıdır. Açık rıza, istisnai nitelikteki hâller için düşünülmüştür ve her an geri alınabildiğinden sürdürülebilir bir temel oluşturmaz.
Standart Sözleşme Kullanılırken Dikkat Edilecekler
- Tarafların rolünün doğru belirlenmesi: veri sorumlusu mu, veri işleyen mi?
- Sözleşmenin öngörülen metnine sadık kalınması; içeriğinde tek taraflı değişiklik yapılmaması.
- Aktarılan veri kategorileri, amaç ve saklama sürelerinin eklerde somut biçimde yazılması.
- Alt işleyen zincirinin ve bunların bulunduğu ülkelerin listelenmesi.
- İmza tarihinden itibaren Kurula bildirim yükümlülüğünün takvime alınması.
Bildirim Yükümlülüğünün İhmali
Standart sözleşmeye dayanılarak yapılan aktarımlarda, sözleşmenin imzalanmasının ardından Kurula bildirim yapılması gerekir. Bu yükümlülüğün atlanması, aktarımın kendisi hukuka uygun olsa bile idari yaptırım riski doğurur. Şirket içinde bu takibi yapacak bir sorumlu belirlenmemesi, en sık rastlanan uyum boşluğudur.
Aydınlatma ve Envanter Katmanı
Yurt dışı aktarım yapıldığı bilgisi, aydınlatma metninde açıkça yer almalıdır. Ayrıca kişisel veri işleme envanterinde hangi sürecin hangi ülkeye aktarım içerdiği izlenebilir olmalıdır. Envanteri güncel olmayan şirketler, bir veri ihlali veya şikâyet incelemesinde savunma yapmakta zorlanır.
Uygulama İçin Sıralı Kontrol
- Kullandığınız tüm yazılım ve hizmet sağlayıcılarının sunucu/veri saklama ülkesini tespit edin.
- Her aktarım için hangi hukuki araca dayandığınızı tek tabloda yazın.
- Açık rızaya dayandırdığınız süreklilik arz eden aktarımları gözden geçirin.
- Standart sözleşme imzaladıysanız bildirim süresini takvime işleyin.
- Grup içi aktarımlar için bağlayıcı şirket kuralları seçeneğini ayrıca değerlendirin.
Bu içerik yönetmeliğin genel mantığını tanıtır. Her şirketin veri akışı, sağlayıcı yapısı ve risk profili farklı olduğundan; aktarım modeli seçilmeden ve sözleşmeler imzalanmadan önce mevzuatın güncel metni üzerinden ayrıntılı bir uyum incelemesi yapılması gerekir.