Yurt dışına veri aktarımı, KVKK'nın tarihsel olarak en çok tartışılan başlığıydı. 2024'teki değişiklikle rejim, GDPR'a benzer kademeli bir yapıya kavuştu. Artık her aktarım için açık rıza almak zorunda değilsiniz; doğru güvence mekanizmasını seçmek daha sürdürülebilir bir yoldur. Bu rehber yeni rejimin kademelerini, hangi mekanizmanın ne zaman kullanılacağını ve pratik adımları açıklar.
Aktarım Nedir ve Ne Zaman Gündeme Gelir?
Bulut sağlayıcı kullanmak, yurt dışındaki grup şirketine İK verisi göndermek, global bir CRM'e müşteri verisi yazmak veya yurt dışı bir e-posta/pazarlama aracını kullanmak; hepsi yurt dışı aktarımdır. Belirleyici olan, verinin fiziksel olarak nerede işlendiği/saklandığıdır. Türkiye'den bir kullanıcının verisinin yurt dışındaki bir sunucuya yazılması aktarım sayılır.
Neden Eski Yaklaşım Sürdürülemezdi?
Reform öncesi uygulamada, birçok şirket her yurt dışı aktarım için açık rıza almaya çalışıyordu. Bu hem hukuken kırılgandı (rıza her an geri alınabilir) hem de pratikte imkânsıza yakındı: bir bulut hizmeti için tüm çalışan ve müşterilerden ayrı ayrı geçerli rıza toplamak gerçekçi değildi. Yeni rejim bu tıkanıklığı, GDPR'daki gibi uygun güvence mekanizmalarıyla çözer.
Yeni Rejimin Kademeleri
| Kademe | Mekanizma | Ne zaman? |
|---|---|---|
| 2 | Uygun güvenceler | Standart sözleşme, bağlayıcı şirket kuralları, taahhütname |
| 3 | Arızi istisnalar | Belirli, sınırlı ve süreklilik arz etmeyen durumlar |
1) Yeterlilik Kararı
Aktarım yapılacak ülke, uluslararası kuruluş veya sektör için Kurul bir yeterlilik kararı vermişse, aktarım bu karara dayanarak yapılabilir. Bu, en pratik yoldur; ancak yeterlilik kararı verilen alanlar sınırlı olabilir.
2) Uygun Güvenceler
Yeterlilik kararı yoksa, taraflar uygun güvencelerden birini sağlar:
- Standart sözleşme: Kurul'un ilan ettiği metnin imzalanması. İmzadan sonra belirli bir süre içinde Kurul'a bildirim yükümlülüğü vardır. Bu bildirim adımını atlamak, en sık yapılan usul hatasıdır.
- Bağlayıcı şirket kuralları (BCR): Aynı gruptaki şirketler arası aktarımlar için Kurul onayına tabi kurallar. Çok uluslu gruplar için uygundur.
- Taahhütname: Kurul iznine tabi yazılı taahhüt.
3) Arızi İstisnalar
Açık rıza, sözleşmenin ifası için zorunluluk, üstün kamu yararı gibi hâllerde; arızi (tek seferlik/süreklilik arz etmeyen) aktarımlar mümkündür. Bunlar, rutin ve sürekli aktarımlar için uygun değildir — örneğin bir bulut hizmetinin günlük kullanımı arızi istisnaya dayandırılamaz.
Adım Adım Ne Yapmalısınız?
- Aktarımları haritalayın: Hangi veri, hangi ülkeye, hangi sağlayıcıya gidiyor? Bulut ve SaaS araçlarını unutmayın.
- Kademeyi belirleyin: Hedef için yeterlilik kararı var mı? Yoksa hangi güvence uygun?
- Mekanizmayı uygulayın: Standart sözleşmeyi imzalayın veya BCR/taahhütname yolunu izleyin.
- Bildirim yükümlülüğünü yerine getirin: Standart sözleşmeyi süresinde Kurul'a bildirin.
- Belgeleyin ve gözden geçirin: Aktarım envanterini canlı tutun; yeni bir sağlayıcı eklendiğinde süreci yineleyin.
Örnek Senaryo: Global Bir CRM'e Geçiş
Satış ekibiniz yurt dışı merkezli bir CRM'e geçmek istiyor. Doğru sıralama: önce sağlayıcının veri lokasyonunu netleştirin, yeterlilik kararı olup olmadığını kontrol edin, yoksa standart sözleşmeyi imzalayıp Kurul'a bildirin ve aktarımı envanterinize işleyin. Bu adımlar tamamlanmadan müşteri verisini CRM'e taşımak, meşru zemini olmayan bir aktarım yaratır.
Sık Yapılan Hatalar
- Her aktarım için refleksif olarak açık rıza almak.
- Bulut/SaaS kullanımını "aktarım değil" sanmak.
- Standart sözleşmeyi imzalayıp Kurul'a bildirmeyi unutmak.
- Arızi istisnayı sürekli aktarımlar için kullanmak.
- Alt-işleyenlerin (sağlayıcının kullandığı başka yurt dışı hizmetler) aktarımını gözden kaçırmak.
Sık Sorulan Sorular
Bulut hizmeti kullanmak yurt dışı aktarım mıdır?
Sunucular yurt dışındaysa evet. Sağlayıcının ve varsa alt-işleyenlerinin veri lokasyonunu netleştirin.
Açık rıza hâlâ geçerli bir yol mu?
Arızi istisnalar kapsamında evet; ancak rutin ve sürekli aktarımlar için uygun güvenceler (standart sözleşme/BCR) tercih edilmelidir.
Standart sözleşmeyi imzalamak yeterli mi?
İmza tek başına yeterli değildir; Kurul'a süresinde bildirim yükümlülüğünü de yerine getirmelisiniz.
Grup içi aktarımlar için ne kullanmalıyım?
Çok uluslu gruplar için bağlayıcı şirket kuralları (BCR) uygun bir mekanizmadır; grup genelinde tutarlı bir koruma sağlar.
Bu içerik yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. JUS. ile aktarım envanterinizi oluşturup uygun güvence mekanizmasını belgeleyebilirsiniz — demo talep edin.