Standart sözleşme beş iş günü içinde Kurul’a bildirilmeli.
12 Mart 2024 tarihli Resmî Gazete’de yayımlanan 7499 sayılı Kanun, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun yurt dışına aktarımı düzenleyen 9. maddesini baştan yazdı. Değişiklik 1 Haziran 2024’te yürürlüğe girdi; uygulamanın ayrıntıları ise 10 Temmuz 2024’te yayımlanan yönetmelikle belirlendi.
Önceki düzende yurt dışına aktarım büyük ölçüde ilgili kişinin açık rızasına dayanıyordu. Yeni düzen ise Avrupa Birliği’nin Genel Veri Koruma Tüzüğü’ne (GDPR) yakın, kademeli bir sistem kuruyor.
Üç aktarım yolu
Birincisi yeterlilik kararıdır: Kurul’un yeterli koruma sağladığına karar verdiği ülkeye, sektöre veya uluslararası kuruluşa aktarım yapılabilir. Yeterlilik kararı bulunmayan ülkelere yapılan aktarımlarda ise uygulamada ikinci yol öne çıkıyor.
İkincisi uygun güvencelerdir: Kurul’un ilan ettiği standart sözleşme, Kurul onaylı bağlayıcı şirket kuralları, Kurul izniyle yapılan taahhütname ya da kamu kurumları arasındaki uluslararası sözleşmeler bu kapsamdadır. Şirketler için en pratik araç standart sözleşmedir.
Üçüncüsü arızi aktarımdır: Yeterlilik kararı ve uygun güvence yoksa, açık rıza gibi sınırlı hâllerde ve yalnızca arızi, yani düzenli olmayan aktarımlarda başvurulabilir. Sürekli yapılan aktarımlar açık rızaya dayandırılamaz.
Standart sözleşmede dikkat edilecekler
Standart sözleşme, Kurul’un ilan ettiği metin değiştirilmeden kullanılmalıdır. Sözleşme imzalandıktan sonra beş iş günü içinde Kurul’a bildirilmesi zorunludur ve bu yükümlülüğe uymamak için Kanun’da idari para cezası öngörülmüştür. Taraf rolleri (veri sorumlusundan veri sorumlusuna, işleyene vb.) için farklı sözleşme modülleri vardır; doğru modülün seçilmesi gerekir.
Şirketler için kısa kontrol listesi
- Yurt dışında barındırılan sunucu, bulut ve e-posta hizmetlerini listeleyin.
- Her aktarım için tarafların rolünü (veri sorumlusu, veri işleyen) belirleyin.
- Uygun standart sözleşme modülünü imzalayıp beş iş günü içinde Kurul’a bildirin.
- Aydınlatma metinlerini yeni aktarım dayanağına göre güncelleyin.
Bu yazı genel bilgilendirme amacı taşır; somut bir aktarım için şirketinizin veri akışının ayrıca incelenmesi gerekir.