Yurt Dışına Kişisel Veri Aktarımı: Standart Sözleşme ve 5 İş Günü Bildirimi
Bulut sunucular, yurt dışı merkezli yazılımlar ve grup şirketleriyle paylaşım yurt dışına aktarım sayılır. Yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları ve arızi aktarım hâlleri.
Kısaca
- Verilerin yurt dışındaki sunucularda tutulması veya yurt dışındaki bir şirketle paylaşılması aktarımdır.
- Aktarım; yeterlilik kararı, uygun güvenceler veya kanunda sayılan arızi hâllerden birine dayanmalıdır.
- Standart sözleşme imzalanmasından itibaren 5 iş günü içinde Kuruma bildirilmelidir.
- Bildirmemek ayrı bir idari para cezası sebebidir.
Hangi işlemler aktarım sayılır?
- Yurt dışı merkezli bulut depolama, e-posta, CRM ve muhasebe yazılımlarının kullanılması
- Yurt dışındaki ana şirket veya grup şirketleriyle çalışan ve müşteri verisinin paylaşılması
- Yurt dışındaki hizmet sağlayıcılara (çağrı merkezi, yazılım destek) erişim verilmesi
Aktarımın hukuki dayanakları
| Dayanak | Açıklama |
|---|---|
| Yeterlilik kararı | Kurulun yeterli koruma sağladığına karar verdiği ülke, sektör veya uluslararası kuruluşlara aktarım. |
| Uygun güvenceler | Standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi güvencelerle aktarım; ilgili kişinin haklarını kullanabilmesi şartıyla. |
| Arızi aktarım | Düzenli olmayan, istisnai durumlarda; örneğin açık rıza veya bir sözleşmenin ifası için zorunlu olması hâlinde. |
Kurulun ilan ettiği standart sözleşme metni değiştirilmeden kullanılmalı ve imza tarihinden itibaren 5 iş günü içinde Kuruma bildirilmelidir.
Uygulamada izlenecek yol
- HaritalayınHangi yazılım ve hizmetlerin yurt dışında veri tuttuğunu tespit edin.
- Dayanağı seçinHer aktarım için uygun hukuki dayanağı belirleyin; düzenli aktarımlarda genellikle standart sözleşme gerekir.
- Sözleşmeyi imzalayın ve bildirinStandart sözleşmeyi taraf sıfatlarına uygun modülle imzalayın, 5 iş günü içinde bildirin.
- Aydınlatma metinlerini güncelleyinAktarım yapılan alıcı gruplarını ve amaçları aydınlatma metinlerine ekleyin.
Dayanak: 6698 s. KVKK m. 9, 18/1-d
Standart sözleşme modülleri
| Modül | Taraflar |
|---|---|
| 1 | Veri sorumlusundan veri sorumlusuna |
| 2 | Veri sorumlusundan veri işleyene |
| 3 | Veri işleyenden veri işleyene |
| 4 | Veri işleyenden veri sorumlusuna |
Doğru modülün seçilmesi için tarafların hangi sıfatla veri işlediği belirlenmelidir.
Bulut hizmet sağlayıcılarında genellikle hizmet sağlayıcı veri işleyen, şirket ise veri sorumlusu konumundadır; bu nedenle ikinci modül kullanılır.
Sık sorulanlar
Gmail veya Microsoft 365 kullanmak aktarım mı?
Verilerin yurt dışındaki sunucularda tutulduğu hizmetler yurt dışına aktarım sayılır. Hizmet sağlayıcının sunduğu sözleşme düzeni ve Kurulun standart sözleşmesi birlikte değerlendirilmelidir.
Açık rıza alarak tüm aktarımları yapabilir miyiz?
Açık rıza, yalnızca arızi (düzenli olmayan) aktarımlar için bir dayanak olarak öngörülmüştür. Düzenli aktarımlarda uygun güvencelerden biri kullanılmalıdır.
Standart sözleşmeyi değiştirebilir miyiz?
Hayır. Kurulun ilan ettiği standart sözleşme metninde değişiklik yapılamaz; yalnızca boş bırakılan alanlar doldurulur. Ticari şartlar ayrı bir sözleşmede düzenlenebilir.
Bildirimi geç yaparsak ne olur?
Standart sözleşmenin 5 iş günü içinde bildirilmemesi, KVKK’da ayrı bir idari para cezası sebebi olarak düzenlenmiştir.
