Türkiye'deki İştirakten Yurt Dışı Merkeze Veri Aktarımı: Standart Sözleşme mi, Bağlayıcı Şirket Kuralları mı?

Merkeze giden veri neden ayrı bir karar ister?

Çok uluslu bir grubun Türkiye iştirakinde bordro, performans değerlendirmesi, müşteri kayıtları ve satış verileri çoğu zaman merkezdeki ortak sistemlere akar. Grup içi veri aktarımı, iş açısından tek bir şirketin kendi içindeki bilgi paylaşımı gibi görünse de KVKK açısından her grup şirketi ayrı bir tüzel kişidir ve sınırı geçen her akış ayrı bir hukuki dayanak ister.

Bu yazıda grup içi paylaşımın ne zaman aktarım sayıldığını, uygun güvence seçeneklerini, standart sözleşmenin imzalanması ve bildirimini, bağlayıcı şirket kurallarının onay sürecini ve merkezi İK ile CRM sistemlerine özgü noktaları ele alıyor; sonda size uygun yolu seçmeniz için bir karar tablosu sunuyoruz. İki rejim arasındaki genel farkları GDPR KVKK farkları yazımızda özetlemiştik.

Grup içi paylaşım aktarım mıdır?

Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, yurt dışına aktarımı; KVKK kapsamındaki bir veri sorumlusu veya veri işleyen tarafından yurt dışındaki bir veri sorumlusu veya veri işleyene kişisel verinin iletilmesi ya da başka bir suretle erişilebilir hâle getirilmesi olarak tanımlar. Tanımda grup ilişkisine dayalı bir istisna yoktur.

Bu tanım üç yaygın durumu kapsar:

Dosya gönderimi: İştirakin aylık personel listesini, satış raporunu veya müşteri dökümünü e-posta ya da paylaşım klasörü üzerinden merkeze göndermesi.

Ortak sistem: Verinin doğrudan merkezin yönettiği ve yurt dışında barındırılan bir İK, CRM veya ERP platformuna girilmesi.

Uzaktan erişim: Veri Türkiye'deki sunucuda kalsa bile merkezdeki bir ekibin bu sunucuya erişim yetkisinin bulunması.

Aktarımın hukuka uygun olması için iki koşul birlikte aranır. Önce verinin işlenmesi KVKK'nın 5. veya 6. maddesindeki şartlardan birine dayanmalıdır; ardından 9. maddedeki aktarım mekanizmalarından biri sağlanmalıdır. Örneğin bordro verisinin Türkiye'de işlenmesi hukuki yükümlülüğe dayanabilir; ancak aynı verinin merkeze gönderilmesi için ayrı bir aktarım dayanağı gerekir.

Uygun güvence seçenekleri

KVKK'nın 9. maddesi önce yeterlilik kararını arar. Kurul, bir ülke, ülke içindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı verebilir ve bu kararlar Resmî Gazete'de yayımlanır. Yazının hazırlandığı tarihte yayımlanmış bir yeterlilik kararı bulunmadığı görülmektedir; bu nedenle grup şirketleri pratikte uygun güvencelere yönelir.

Kanun dört uygun güvence sayar. Bunlardan uluslararası sözleşme niteliğinde olmayan anlaşma yalnızca kamu kurumları için geçerlidir. Özel sektör grupları için kalan üç seçenek şunlardır:

Standart sözleşme: Kurul'un ilan ettiği metin, değişiklik yapılmadan imzalanır ve Kurum'a bildirilir; onay beklenmeden aktarıma başlanabilir.

Bağlayıcı şirket kuralları: Ortak ekonomik faaliyette bulunan şirketler grubunun uymakla yükümlü olduğu veri koruma kurallarıdır; Kurul onayından sonra aktarıma başlanır.

Taahhütname: Taraflarca hazırlanan yazılı bir taahhütnamedir; Kurul izni alındıktan sonra aktarıma başlanır.

Her üç seçenekte de ilgili kişinin aktarımın yapılacağı ülkede haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi koşulu aranır. Uygun güvence sağlanamıyorsa açık rıza gibi istisnai hâller yalnızca düzenli olmayan, tek veya birkaç sefer gerçekleşen aktarımlarda kullanılabilir. Merkezi bir sisteme her gün veri akması bu tanıma girmez.

Standart sözleşme ve bildirim

Kurum, 10.07.2024 tarihinde dört tür standart sözleşme ilan etti: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. Doğru türün seçimi, merkezin bu akışta kendi amacı için mi yoksa iştirak adına mı veri işlediğine bağlıdır.

Uygulama adımları şöyledir:

Akışı tanımlayın: Hangi veri kategorisinin, hangi amaçla, hangi grup şirketine gittiğini ve alıcının rolünü yazılı olarak belirleyin.

Türü seçin: Merkez kendi raporlama amacı için veri alıyorsa genellikle veri sorumlusundan veri sorumlusuna; yalnızca iştirak adına barındırma veya bordro hizmeti veriyorsa veri sorumlusundan veri işleyene sözleşme uygun düşer.

Metni değiştirmeden doldurun: Standart sözleşme metninde değişiklik yapılamaz; yalnızca eklerdeki açıklama alanları doldurulur. Yabancı dilde de imzalanırsa Türkçe metin esas alınır.

İmzalayın: Sözleşme, aktarımın tarafları veya onları temsile ve imzaya yetkili kişilerce imzalanır.

Beş iş günü içinde bildirin: İmzaların tamamlanmasından itibaren beş iş günü içinde fiziki olarak, kayıtlı elektronik posta (KEP) ile veya Kurul'un belirlediği diğer yöntemlerle Kurum'a bildirim yapılır. Yetki belgeleri ve yabancı dildeki belgelerin noter onaylı çevirisi eklenir.

Değişiklikleri izleyin: Taraflarda veya eklerdeki bilgilerde değişiklik olursa ya da sözleşme sona ererse aynı usulle yeniden bildirim yapılır.

Bildirim yükümlülüğünün hangi tarafça yerine getirileceği sözleşmede belirlenebilir; belirlenmemişse bildirimi veri aktaran yapar. Çok sayıda grup şirketine veri akıyorsa her alıcı için ayrı bir sözleşme ve bildirim takvimi tutmak gerekir.

Bağlayıcı şirket kuralları onay süreci

Bağlayıcı şirket kuralları, grubun tüm üyeleri ve çalışanları için hukuken bağlayıcı olan ortak bir veri koruma politikası kurar. Bir kez onaylandığında, kapsamdaki grup şirketleri arasındaki aktarımlar için her alıcıyla ayrı standart sözleşme imzalama ihtiyacını azaltır.

Yönetmeliğin 12. ve 13. maddeleri sürecin çerçevesini çizer:

Başvuru: Kurul'a onay başvurusu yapılır; Kurum, veri sorumluları ve veri işleyenler için ayrı başvuru formları ve yardımcı rehberler yayımlamıştır.

Dil: Yabancı dildeki her belgenin noter onaylı çevirisi eklenir; metin yabancı dilde de düzenlenmişse Türkçe metin esas alınır.

Asgari içerik: Grup üyelerinin yapısı ve iletişim bilgileri, aktarılan veri kategorileri ve ülkeler, ilgili kişi hakları ve Kurul'a şikâyet hakkı, eğitim, iç denetim ve Kurum'la iş birliği taahhütleri gibi başlıklar yer almalıdır.

Türkiye'deki sorumluluk: Türkiye'de yerleşik olmayan bir üyenin kuralları ihlal etmesi hâlinde, Türkiye'de yerleşik bir veri sorumlusu veya veri işleyenin sorumluluğu üstleneceğine dair taahhüt aranır.

Başlangıç: Aktarıma ancak Kurul onayından sonra başlanabilir.

GDPR kapsamında AB denetim makamlarınca onaylanmış kurallar iyi bir başlangıç taslağıdır; ancak Türkiye'de kendiliğinden geçerli değildir. Onay süreci için Kanun veya Yönetmelikte bir süre öngörülmediğinden, başvuru sonuçlanana kadar mevcut akışların standart sözleşmeyle güvenceye alınması gerekir.

Merkezi İK ve CRM sistemleri

Merkezi sistemler, grup içi aktarımın en yoğun ve en görünmez olduğu alandır. İK platformlarında kimlik, bordro, performans, eğitim ve bazen sağlık raporu bilgileri; CRM sistemlerinde ise müşteri iletişim bilgileri, satış geçmişi ve görüşme notları bulunur.

Bu sistemler için dört kontrol özellikle önemlidir. Birincisi, merkezin gerçekten hangi alanlara ihtiyaç duyduğu sorgulanmalı; örneğin performans karşılaştırması için çoğu zaman toplulaştırılmış veri yeterlidir. İkincisi, özel nitelikli veriler, özellikle sağlık raporları ve sendika bilgileri, merkezi sisteme hiç aktarılmamalı veya ayrı yetkiyle korunmalıdır. Üçüncüsü, yazılım sağlayıcının kendisi de yurt dışındaysa zincirdeki her halka için ayrı mekanizma gerekir; Kanun, sonraki aktarımlarda da aynı güvencelerin sağlanmasını ister. Dördüncüsü, çalışan ve müşteri aydınlatma metinleri yurt dışı aktarımı ve alıcı gruplarını açıkça göstermelidir.

Çalışanlardan alınan açık rıza, bu akışlar için güvenilir bir çözüm değildir. Düzenli aktarımda istisnai hâl olarak kullanılamaz; işçi ile işveren arasındaki güç dengesizliği nedeniyle rızanın özgürce verildiği de tartışmalıdır. Holding yapılarındaki yönetim modelini holdinglerde KVKK yönetimi yazımızda ele aldık.

Karar tablosu

Aşağıdaki tablo, grup yapınıza ve akışlarınızın niteliğine göre hangi yolun öne çıktığını gösterir. Birçok grup için gerçekçi yol, kısa vadede standart sözleşme ile başlayıp orta vadede bağlayıcı şirket kurallarına geçmektir.

Tablo genel bir yön gösterir; grup yapısı, alıcı ülkenin mevzuatı ve veri kategorileri seçimi değiştirebilir. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Standart sözleşme mi, bağlayıcı şirket kuralları mı?

Sonuç ve sonraki adım

Grup içi veri aktarımı, aynı logonun altındaki şirketler arasında olsa bile KVKK'nın yurt dışı aktarım kurallarına tabidir. Önce verinin işlenme şartı, ardından aktarım mekanizması belirlenmelidir. Standart sözleşme hızlı ve öngörülebilir bir başlangıç sağlar; bağlayıcı şirket kuralları ise çok ülkeli ve yoğun akışlı gruplar için kalıcı bir çerçeve sunar.

İlk adım olarak Türkiye iştirakinden çıkan tüm akışları alıcı, veri kategorisi ve rol bazında listelemek, ardından karar tablosuyla eşleştirmek yerinde olur. Kurum'un uygulama rehberine ilişkin değerlendirmemizi yurt dışına veri aktarımı rehberi yazısında, uyum çalışmalarının genel çerçevesini KVKK danışmanlığı sayfamızda bulabilirsiniz.

Sık sorulan sorular