Kişisel Verileri Koruma Kurumu, 2 Ocak 2025'te "Kişisel Verilerin Yurtdışına Aktarılması Rehberi"ni yayımladı. Rehber, kuruluşları aktarım süreçlerindeki yükümlülükler konusunda bilgilendiriyor ve operasyonel gereksinimlere uygun özelleştirilmiş sözleşmeler kullanılmasını öngörüyor.
Hangi Durum "Yurt Dışına Aktarım" Sayılır?
Rehber, yurt dışına aktarımı; kişisel verilerin 6698 sayılı Kanun kapsamındaki bir veri sorumlusu veya veri işleyen tarafından yurt dışındaki bir veri sorumlusu veya veri işleyene iletilmesi olarak tanımlıyor.
Üç kriterin birlikte gerçekleşmesi gerekiyor: veri sorumlusu veya veri işleyen Kanun'a tabi olmalı; kişisel veriler iletilmeli veya erişilebilir hâle getirilmeli; alıcı üçüncü bir ülkede bulunmalıdır.
Kritik nokta şudur: uzaktan erişim ve bulut depolama da bu kriterleri karşılıyorsa aktarım sayılır. Yani veri fiziksel olarak "gönderilmese" bile aktarım gerçekleşmiş olabilir.
Süreçte Dikkat Edilmesi Gerekenler
Rehberin işaret ettiği adımlar sırasıyla şöyle özetlenebilir:
| Aşama | Yapılması gereken |
|---|---|
| Planlama | Aktarım öncesi planlama yapılmalı; hedef ülke, sektör veya kuruluş için yeterlilik kararı kontrol edilmelidir. |
| Mekanizma seçimi | Bağlayıcı şirket kuralları, standart sözleşmeler veya taahhütnamelerden uygun olanı seçilmelidir. |
| Hukuki sebep | Veri işleme şartlarının hukuki sebepleri ayrıca değerlendirilmelidir. |
| Aydınlatma ve rıza | Gerekli aydınlatmalar yapılmalı, gereken hâllerde açık rıza alınmalıdır. |
| Belgelendirme | Aktarımın amacı, kapsamı ve süreçleri ayrıntılı biçimde belgelendirilmelidir. |
| Bildirim | Standart sözleşmeler öngörülen sürede Kurul'a ibraz edilmelidir. |
| Teknik tedbirler | Şifreleme ve veri maskeleme gibi teknik ve idari tedbirler uygulanmalıdır. |
| Amaçla sınırlılık | Veriler yalnızca aktarım amacıyla kullanılmalı; amaç bittiğinde imha edilmeli veya geri alınmalıdır. |
| İhlal ve talep yönetimi | İhlalde hızlı bildirim yapılmalı, ilgili kişi taleplerine hızlı yanıt verilmelidir. |
| Kayıt ve gözden geçirme | Alınan aksiyonlar kaydedilmeli; mekanizmalar teknolojik ve yasal gelişmelere göre gözden geçirilmelidir. |
Pratikte Ne Anlama Geliyor?
Yurt dışı merkezli bir e-posta altyapısı, CRM veya bulut depolama kullanan hemen her kurum bu rehberin kapsamındadır.
Bu nedenle ilk adım envanterinizi "hangi hizmet, hangi ülkede, hangi veriyi tutuyor" sorusuyla yeniden okumaktır. Aktarımın varlığını tespit etmeden mekanizma seçimi yapılamaz.
Aktarım haritanızı çıkaralım
Kullandığınız bulut ve yazılım hizmetlerini tarayıp aktarım mekanizmanızı doğru kuralım.
KVKK Danışmanlığını İncele
