Standart Sözleşme Nasıl Hazırlanır ve Kurul'a Nasıl Bildirilir?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nda 2024 yılında yapılan reform, kişisel verilerin yurt dışına aktarımını yeniden yapılandırdı. Artık aktarımlar kademeli bir sisteme dayanıyor: önce yeterlilik kararı, yoksa uygun güvenceler, o da yoksa istisnai (arızi) durumlar. Uygulamada Türk şirketlerinin en sık başvurduğu uygun güvence yöntemi ise standart sözleşmedir. Bu rehberde standart sözleşmenin ne olduğunu, nasıl hazırlanacağını ve Kurul'a nasıl bildirileceğini adım adım ele alıyoruz.

Yurt Dışı Aktarımda Kademeli Sistem

Reform sonrası yurt dışı aktarım üç kademeli bir mantıkla işler. Her aktarımda önce üst kademenin uygulanıp uygulanamayacağı değerlendirilir; uygulanamıyorsa bir alt kademeye geçilir.

• Yeterlilik kararı: Kurul'un ilgili ülke, sektör veya uluslararası kuruluş için yeterli koruma bulunduğuna karar vermesi. Böyle bir karar varsa aktarım doğrudan yapılabilir.
• Uygun güvenceler: Yeterlilik kararı yoksa; standart sözleşme, bağlayıcı şirket kuralları, taahhütname gibi araçlarla veri aktarılabilir.
• Arızi (istisnai) durumlar: Yukarıdakiler yoksa ve sınırlı hallerde (açık rıza, sözleşmenin ifası, kamu yararı gibi) aktarım mümkündür.

Standart sözleşme, ikinci kademede yer alan ve en yaygın kullanılan araçtır. Çünkü yeterlilik kararı henüz sınırlı sayıda; bağlayıcı şirket kuralları ise onay süreci nedeniyle daha uzun soluklu bir çözümdür.

Standart Sözleşme Nedir?

Standart sözleşme, Kurul tarafından ilan edilen ve tarafların üzerinde değişiklik yapamayacağı, önceden belirlenmiş metinlere dayanan bir aktarım aracıdır. Amacı, verinin aktarıldığı yurt dışındaki tarafın da Türkiye'deki koruma standartlarına eşdeğer yükümlülükler altına girmesini sağlamaktır.

Standart sözleşme, aktarımın yönüne ve tarafların rolüne göre farklı modüller içerir:

Doğru modülü seçmek kritiktir: tarafların hangi sıfatla (veri sorumlusu mu, veri işleyen mi) hareket ettiği, yükümlülüklerin kapsamını belirler.

Hazırlık Öncesi Yapılması Gerekenler

Sözleşmeyi imzalamadan önce sağlam bir zemin oluşturmak, sonradan doğacak uyum açıklarını önler.

• Aktarılan veri kategorilerini ve veri öznesi gruplarını envanterinizde netleştirin.
• Aktarımın amacını, hukuki dayanağını ve saklama süresini belgeleyin.
• Alıcı tarafın bulunduğu ülkedeki mevzuatın koruma düzeyini değerlendirin.
• Teknik ve idari tedbirleri (şifreleme, erişim kontrolü, loglama) tanımlayın.
• İç sorumluları ve onay akışını belirleyin.

Adım Adım: Standart Sözleşme Nasıl Hazırlanır?

1. Aktarım haritasını çıkarın. Hangi veriler, kime, hangi ülkeye, hangi amaçla aktarılıyor tespit edin.
2. Doğru modülü seçin. Tarafların veri sorumlusu/veri işleyen sıfatına göre uygun modülü belirleyin.
3. Kurul metnini esas alın. Kurul'un yayımladığı standart sözleşme metnini değiştirmeden kullanın; yalnızca ekler ve boşluk alanları doldurulur.
4. Ekleri doldurun. Aktarımın konusu, veri kategorileri, teknik ve idari tedbirler gibi bölümleri somut biçimde yazın.
5. Tarafların yetkililerine imzalatın. Sözleşme her iki tarafça ıslak veya geçerli elektronik imza ile imzalanmalıdır.
6. Belirli süre içinde Kurul'a bildirin. İmza tarihinden itibaren belirli bir süre içinde bildirim yapın (aşağıya bakınız).
7. Kayıt altına alın. İmzalı sözleşmeyi ve bildirim kanıtını hesap verebilirlik dosyanızda saklayın.

Kurul'a Bildirim Yükümlülüğü

Standart sözleşmenin kendisi Kurul onayına tabi değildir; ancak imzalandıktan sonra belirli bir süre içinde Kurul'a bildirilmesi zorunludur. Bildirim, sözleşmenin hukuken geçerli bir aktarım güvencesi olarak kabul edilmesi için gerekli bir usul şartıdır.

Bildirim süresine ilişkin güncel süreyi her zaman Kurul'un yürürlükteki düzenlemesinden teyit edin; süre kaçırıldığında aktarımın hukuki dayanağı tartışmalı hâle gelebilir.

Bildirim sonrası tarafların yükümlülükleri devam eder: sözleşme koşullarına uyum, veri öznesi haklarına yanıt ve denetim taleplerinin karşılanması süreklidir.

Sık Yapılan Hatalar

Uygulamada en çok karşılaşılan hatalar, genellikle usul ve dokümantasyon eksikliklerinden kaynaklanır. Bunları önceden bilmek süreci hızlandırır.

• Yanlış modül seçimi: Tarafların veri sorumlusu/veri işleyen sıfatının hatalı belirlenmesi, sözleşmenin baştan geçersiz sayılmasına yol açabilir.
• Metne müdahale: Kurul metnindeki maddelerin değiştirilmesi güvencenin geçerliliğini zayıflatır; yalnızca ekler doldurulmalıdır.
• Ekleri soyut bırakmak: Veri kategorilerinin ve teknik tedbirlerin belirsiz yazılması, denetimde eksiklik olarak değerlendirilebilir.
• Bildirimi ihmal etmek: İmza sonrası belirli süre içinde bildirim yapılmaması, aktarımın hukuki dayanağını tartışmalı hâle getirir.
• Kayıt tutmamak: İmzalı nüsha ve bildirim kanıtının saklanmaması, hesap verebilirlik ilkesini zedeler.

Örnek Senaryo

Ankara merkezli bir e-ticaret şirketi, müşteri destek biletlerini yurt dışında bulunan bir SaaS sağlayıcısının sunucularında işliyor. Şirket veri sorumlusu, sağlayıcı ise veri işleyen konumunda. İlgili ülke için yeterlilik kararı bulunmuyor.

Şirket şu yolu izler: önce aktarım haritasını çıkarır, ardından Modül 2 (veri sorumlusu → veri işleyen) standart sözleşmesini seçer. Kurul metnini değiştirmeden eklerini doldurur; aktarılan veri kategorileri (ad, e-posta, sipariş bilgisi) ve teknik tedbirler (uçtan uca şifreleme, rol bazlı erişim) somutça yazılır. Sözleşme her iki tarafça imzalanır ve imza tarihinden itibaren belirli süre içinde Kurul'a bildirilir. Şirket, imzalı nüshayı ve bildirim kanıtını hesap verebilirlik dosyasında saklar.

Sık Sorulan Sorular

Standart sözleşme metninde değişiklik yapabilir miyim?

Hayır. Standart sözleşme, Kurul'un ilan ettiği metne dayanır ve maddeleri değiştirilemez. Yalnızca eklerde yer alan boşluklar (taraflar, veri kategorileri, tedbirler gibi) doldurulur. Metne aykırı ek düzenlemeler güvencenin geçerliliğini zayıflatabilir.

Standart sözleşme Kurul onayına mı tabidir?

Standart sözleşme onaya değil, bildirime tabidir. Yani imzalandıktan sonra belirli bir süre içinde Kurul'a bildirmeniz yeterlidir; ayrıca bir onay beklemenize gerek yoktur. Bu yönüyle bağlayıcı şirket kurallarından ayrılır.

Aynı sağlayıcıya birden fazla aktarım için tek sözleşme yeterli mi?

Aktarımın kapsamı, amacı ve tarafların sıfatı aynı kaldığı sürece tek bir standart sözleşme birden fazla aktarımı kapsayabilir. Ancak yeni veri kategorileri veya farklı bir işleme amacı eklendiğinde sözleşmenin ve eklerin güncellenmesi gerekir.

Bildirim süresini kaçırırsam ne olur?

Süre kaçırıldığında aktarımın uygun güvenceye dayandığı iddiası tartışmalı hâle gelir ve uyumsuzluk riski doğar. Bu durumda gecikmeksizin bildirim yapmalı, aktarımın hukuki dayanağını gözden geçirmeli ve gerekirse hukuki destek almalısınız.

Bu içerik yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz.

JUS. ile yurt dışı aktarım envanterinizi, standart sözleşme modüllerinizi ve Kurul bildirim süreçlerinizi tek panelden yönetmek için bugün bir demo talep edin.