Çok uluslu bir grup şirketinin farklı ülkelerdeki iştirakleri arasında insan kaynakları, müşteri veya tedarik zinciri verilerinin akması olağandır. Ancak bu akış, kişisel verilerin yurt dışına aktarılması anlamına gelir ve KVKK kapsamında belirli güvencelere bağlanmıştır. Grup içi bu aktarımları tek tek sözleşmelerle yönetmek büyük yapılar için hızla yönetilemez hale gelir. İşte tam bu noktada Bağlayıcı Şirket Kuralları (Binding Corporate Rules - BCR) devreye girer.
Bu rehberde BCR'nin ne olduğunu, hangi grup yapıları için uygun olduğunu, KVKK'nın yenilenen yurt dışı aktarım rejimindeki yerini ve onay sürecinin nasıl işlediğini açıklıyoruz.
Bağlayıcı Şirket Kuralları Nedir?
Bağlayıcı Şirket Kuralları, aynı ekonomik gruba ait şirketlerin, kişisel verileri grup içinde ve sınır ötesinde aktarırken uymayı taahhüt ettikleri, denetim otoritesi tarafından onaylanan bağlayıcı iç kurallardır. Başka bir deyişle BCR, grubun kendi içinde geçerli olan bir veri koruma "anayasası" gibidir.
Temel özellikleri şunlardır:
- Bağlayıcıdır: Gruba dahil tüm şirketler ve çalışanlar için hukuken bağlayıcı olmalıdır.
- Onaya tabidir: Yürürlüğe girmeden önce yetkili denetim otoritesi tarafından onaylanır.
- Uygun güvence sağlar: Yurt dışı aktarım için gerekli "uygun güvencelerden" biridir.
- İlgili kişilere hak tanır: Veri sahiplerinin kurallara doğrudan dayanabilmesini (icra edilebilir haklar) sağlar.
KVKK Rejiminde BCR'nin Yeri
KVKK'nın yurt dışına aktarım rejimi, uluslararası standartlara yaklaşacak şekilde yenilenmiştir. Bu yenilenen çerçevede yurt dışı aktarım için kademeli bir yapı öngörülür: önce yeterlilik kararı, bunun bulunmadığı hallerde ise uygun güvenceler, istisnai durumlarda ise arızi nitelikteki hallere ilişkin özel şartlar.
Bağlayıcı Şirket Kuralları, bu "uygun güvenceler" kategorisi içinde yer alan araçlardan biridir. Standart sözleşme, taahhütname gibi diğer araçlardan farkı, tek bir işlem için değil, grubun tamamını kapsayan sürdürülebilir bir çerçeve sunmasıdır. Bu nedenle özellikle çok sayıda iştiraki bulunan, verinin sürekli ve tekrar eden biçimde aktarıldığı gruplar için uygundur.
BCR, tek seferlik bir aktarımdan çok, grubun uzun vadeli ve tekrar eden veri akışlarını disipline eden bir altyapıdır.
BCR Hangi Yapılar İçin Uygundur?
BCR her ölçekteki şirket için doğru araç olmayabilir. Aşağıdaki durumlarda BCR anlamlı bir yatırım olur:
- Birden fazla ülkede iştiraki bulunan çok uluslu gruplar
- Grup içinde sürekli ve yüksek hacimli veri akışı olan yapılar
- Ortak İK, CRM veya bulut sistemlerini merkezi yöneten organizasyonlar
- Standart sözleşmelerin sayısal olarak yönetilemez hale geldiği durumlar
Küçük ölçekli veya tek yönlü, seyrek aktarımlar için standart sözleşmeler genellikle daha pratik kalır.
BCR'de Bulunması Beklenen Unsurlar
Bir BCR metninin denetim otoritesince onaylanabilmesi için hem yapısal hem de içeriksel bazı unsurları taşıması beklenir. Aşağıdaki tablo iki tür güvence aracını karşılaştırır.
| Kriter | Bağlayıcı Şirket Kuralları (BCR) | Standart Sözleşme |
|---|---|---|
| Onay | Denetim otoritesi onayı gerekir | Belirli hallerde bildirim yeterli olabilir |
| Kurulum süresi | Uzun ve detaylı | Görece hızlı |
| Uygun olduğu yapı | Çok uluslu, tekrar eden akış | Nokta atışı, sınırlı aktarım |
| Sürdürülebilirlik | Yüksek | Aktarım başına yönetim |
İçerik açısından bir BCR genellikle şu başlıkları içerir: veri işleme ilkeleri, ilgili kişi hakları ve bunların icra edilebilirliği, şeffaflık ve aydınlatma yükümlülükleri, güvenlik tedbirleri, alt işleyenlere ilişkin kurallar, denetim ve şikayet mekanizmaları ile grup içi sorumluluk dağılımı.
BCR Onay Süreci: Adım Adım
BCR'yi hayata geçirmek disiplinli bir proje yönetimi gerektirir. Genel akış şu şekildedir:
- Grup yapısını ve veri akışlarını haritalayın. Hangi şirketin hangi veriyi, nereye, hangi amaçla aktardığını envanter haline getirin.
- Öncü şirketi (lead) belirleyin. Süreci koordine edecek ve otoriteyle muhatap olacak grup şirketini tayin edin.
- BCR metnini hazırlayın. İşleme ilkeleri, haklar, güvenlik ve sorumluluk maddelerini içeren bağlayıcı belgeyi yazın.
- İç bağlayıcılığı kurun. Grup içi sözleşmeler, iç yönetmelikler ve taahhütlerle kuralları hukuken bağlayıcı hale getirin.
- Otoriteye başvurun ve onay alın. Metni yetkili denetim otoritesinin değerlendirmesine sunun ve gelen görüşler doğrultusunda revize edin.
- Eğitim ve uygulama. Çalışanları eğitin, süreçleri operasyona yansıtın.
- İzleme ve güncelleme. Denetimler, düzenli gözden geçirme ve mevzuat değişikliklerine uyum sağlayın.
Örnek Senaryo
Merkezi Türkiye'de bulunan bir teknoloji grubunun Almanya, Hollanda ve Birleşik Arap Emirlikleri'nde iştirakleri olduğunu varsayalım. Grup, çalışan bordro ve performans verilerini merkezi bir İK platformunda topluyor; müşteri destek kayıtları da iştirakler arasında paylaşılıyor.
Başlangıçta grup, her iştirakle ayrı standart sözleşmeler imzalamış. Ancak iştirak sayısı arttıkça ve veri akışları çeşitlendikçe bu sözleşmelerin güncel tutulması ciddi bir yük haline gelmiş. Grup, tüm iştirakleri kapsayan tek bir Bağlayıcı Şirket Kuralları çerçevesi hazırlamaya karar veriyor.
Öncü şirket olarak Türkiye merkezini belirliyorlar; veri akışlarını haritalıyor, işleme ilkelerini ve ilgili kişi haklarını tanımlayan bir metin oluşturuyor ve iç sözleşmelerle bağlayıcılık sağlıyorlar. Onay sürecinin ardından yeni bir iştirak grup içine katıldığında, ayrı bir sözleşme müzakeresi yerine mevcut BCR çerçevesine dahil olmak yeterli hale geliyor. Sonuç: azalan operasyonel yük ve daha tutarlı bir veri koruma standardı.
Sık Sorulan Sorular
BCR ile standart sözleşme arasındaki temel fark nedir?
Standart sözleşme belirli taraflar arasındaki bir veya birkaç aktarımı düzenlerken, BCR grubun tamamını kapsayan ve denetim otoritesince onaylanan bütüncül bir çerçevedir. BCR kurulumu daha uzun sürer ancak çok sayıda tekrar eden aktarım için sürdürülebilirdir.
BCR onayı ne kadar sürer?
Süre; grubun büyüklüğüne, veri akışlarının karmaşıklığına ve metnin olgunluğuna göre değişir. Detaylı bir hazırlık ve otorite ile diyalog gerektirdiğinden genellikle uzun soluklu bir projedir. Net bir gün sayısı vermek yerine kaynak ve zaman planlamasını buna göre yapmak doğru olur.
KOBİ'ler BCR kullanmalı mı?
Çoğu KOBİ için BCR aşırı bir yatırım olabilir. Sınırlı ve seyrek aktarımlarda standart sözleşme gibi araçlar daha pratiktir. BCR asıl olarak yaygın iştirak ağına ve sürekli veri akışına sahip gruplar için anlamlıdır.
BCR onaylandıktan sonra hiç güncelleme gerekmez mi?
Hayır. BCR yaşayan bir belgedir. Grup yapısı, veri akışları veya mevzuat değiştiğinde metnin gözden geçirilmesi, gerektiğinde otoriteye bildirilmesi ve güncellenmesi gerekir. Düzenli iç denetim bu sürecin ayrılmaz parçasıdır.
Bu içerik yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz.
JUS. ile grup içi veri akışlarınızı haritalayabilir, uygun güvence stratejinizi kurgulayabilir ve BCR sürecinizi tek panelden yönetebilirsiniz; bir demo talep ederek başlayın.