Günümüz ticaret hayatında dijital teknolojilerin gelişmesi, uluslararası şirket yapılanmalarının artması ve bulut tabanlı hizmetlerin kullanımının yaygınlaşması, kişisel verilerin yurt dışına aktarılmasını birçok işletme açısından önemli bir hukuki konu haline getirmiştir. Şirketlerin farklı ülkelerde bulunan hizmet sağlayıcılarla çalışması, verilerin yurt dışında bulunan sunucularda saklanması ve uluslararası ticari faaliyetlerin yürütülmesi, kişisel verilerin ülke sınırları dışına aktarılmasını beraberinde getirebilmektedir.
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 9. maddesinde düzenlenen kişisel verilerin yurt dışına aktarılması rejimi, 7499 sayılı Kanun ile önemli ölçüde değiştirilmiş ve yeni düzenlemeler 1 Haziran 2024 tarihinde yürürlüğe girmiştir. Yapılan değişiklikle birlikte kişisel verilerin yurt dışına aktarılmasında yalnızca açık rızaya dayalı bir sistem yerine; yeterlilik kararı ve uygun güvenceler esasına dayanan, daha kapsamlı bir hukuki yapı oluşturulmuştur.
Yeni düzenleme kapsamında kişisel verilerin yurt dışına aktarılabilmesi için öncelikle aktarım yapılacak ülke, uluslararası kuruluş veya ülke içerisindeki belirli sektörler hakkında Kişisel Verileri Koruma Kurulu tarafından verilmiş bir yeterlilik kararının bulunup bulunmadığı değerlendirilmelidir. Yeterlilik kararının bulunması halinde, Kanun'da öngörülen kişisel veri işleme şartlarından birinin mevcut olması ve aktarımın ilgili mevzuata uygun şekilde gerçekleştirilmesi koşuluyla kişisel verilerin yurt dışına aktarılması mümkün olabilmektedir.
Aktarım yapılacak ülke veya kuruluş hakkında yeterlilik kararının bulunmaması halinde ise kişisel verilerin yurt dışına aktarılması, Kanun'da düzenlenen uygun güvencelerden birinin sağlanması şartıyla gerçekleştirilebilmektedir. Uygun güvenceler arasında standart sözleşmeler, bağlayıcı şirket kuralları, Kurul tarafından onaylanan taahhütnameler ve Kanun'da öngörülen diğer mekanizmalar bulunmaktadır. Bu düzenleme ile yurt dışına aktarılan kişisel verilerin korunmasına yönelik belirli hukuki güvencelerin oluşturulması amaçlanmaktadır.
Uygulamada en sık kullanılan uygun güvence yöntemlerinden biri standart sözleşmelerdir. Kişisel Verileri Koruma Kurulu tarafından veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna gerçekleştirilen aktarımlar bakımından farklı standart sözleşme metinleri hazırlanmıştır. Tarafların aktarım ilişkisinin niteliğine uygun standart sözleşmeyi kullanması ve mevzuatta öngörülen bildirim yükümlülüklerini yerine getirmesi gerekmektedir.
Çok uluslu şirket grupları içerisinde gerçekleştirilen veri aktarımlarında ise bağlayıcı şirket kuralları kullanılabilmektedir. Bu kurallar, aynı şirketler topluluğu içerisinde farklı ülkelerde faaliyet gösteren şirketlerin kişisel verilerin korunması konusunda ortak ve bağlayıcı kurallara tabi olmasını sağlamaktadır. Bağlayıcı şirket kurallarında kişisel verilerin işlenmesi, veri güvenliği, ilgili kişilerin hakları ve şirketlerin sorumlulukları gibi konuların belirli standartlar çerçevesinde düzenlenmesi gerekmektedir.
Yeterlilik kararı veya uygun güvence mekanizmalarının bulunmadığı bazı durumlarda ise Kanun'da düzenlenen istisnai aktarım halleri uygulanabilmektedir. Bu kapsamda; ilgili kişinin aktarımın muhtemel riskleri hakkında bilgilendirilmesi ve açık rızasının alınması, aktarımın bir sözleşmenin kurulması veya ifası için gerekli olması, kişinin veya başka bir gerçek kişinin hayatı ya da beden bütünlüğünün korunması için aktarımın zorunlu olması gibi belirli şartların gerçekleşmesi halinde yurt dışına veri aktarımı mümkün olabilmektedir. Ancak bu istisnalar, sürekli ve düzenli veri aktarımlarının genel yöntemi olarak değerlendirilmemektedir.
Kişisel verilerin yurt dışına aktarılması bakımından açık rıza da yeni düzenleme ile birlikte önceki sistemden farklı bir konuma getirilmiştir. Açık rıza, artık yurt dışına veri aktarımının genel ve tek hukuki dayanağı değildir. Bununla birlikte Kanun'da belirtilen istisnai aktarım hallerinden birinin bulunması halinde, ilgili kişinin aktarımın muhtemel riskleri hakkında bilgilendirilmesi ve geçerli bir açık rıza vermesi aktarımın hukuki dayanaklarından biri olabilmektedir. Açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmesi gerekmektedir.
Yurt dışına veri aktarımında özellikle bulut sistemleri, çevrimiçi yazılımlar ve yurt dışında bulunan sunucular üzerinden sunulan hizmetler bakımından ayrıca değerlendirme yapılması gerekmektedir. Bir şirketin çalışan, müşteri veya kullanıcı bilgilerini yurt dışında bulunan bir sistem üzerinde depolaması ya da işlemesi halinde, kullanılan hizmetin teknik yapısı ve kişisel verilerin hangi ülkelere aktarılabileceği belirlenmelidir. Bu nedenle veri sorumlularının kullandıkları dijital hizmetlerin veri işleme süreçlerini ve aktarım mekanizmalarını önceden incelemesi önem taşımaktadır.
Kişisel verilerin yurt dışına aktarılması halinde veri sorumlularının veri güvenliğine ilişkin yükümlülükleri de devam etmektedir. Aktarım yapılan tarafın belirlenmesi, aktarımın hangi hukuki mekanizmaya dayandığının tespit edilmesi, ilgili kişilerin gerekli şekilde aydınlatılması ve uygun teknik ve idari tedbirlerin alınması gerekmektedir. Verilerin yurt dışında bulunan bir hizmet sağlayıcı aracılığıyla işlenmesi, Türkiye'de bulunan veri sorumlusunun 6698 sayılı Kanun kapsamındaki yükümlülüklerini ortadan kaldırmamaktadır.
Uygulamada yurt dışına veri aktarımında en sık karşılaşılan sorunlar: aktarımın hukuki dayanağının belirlenmemesi, kullanılan bulut ve yazılım hizmetlerinin veri aktarımına ilişkin özelliklerinin incelenmemesi, standart sözleşmelerin usulüne uygun şekilde kullanılmaması ve ilgili kişilere yönelik aydınlatma yükümlülüğünün gereği gibi yerine getirilmemesidir. Bu nedenle işletmelerin yurt dışına veri aktarım süreçlerini yalnızca teknik açıdan değil, hukuki açıdan da değerlendirmesi gerekmektedir.
Sonuç olarak kişisel verilerin yurt dışına aktarılması, günümüz ticari faaliyetlerinin önemli bir parçası olmakla birlikte 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında belirli şartlara tabi olan hukuki bir işlemdir. Yeterlilik kararları, uygun güvenceler, standart sözleşmeler, bağlayıcı şirket kuralları ve Kanun'da düzenlenen istisnai haller, yurt dışına veri aktarımının temel hukuki mekanizmalarını oluşturmaktadır. Bu nedenle veri sorumlularının aktarım süreçlerini ilgili mevzuata uygun şekilde planlaması, kullanılan teknolojik altyapıyı hukuki açıdan değerlendirmesi ve kişisel verilerin korunmasına ilişkin yükümlülüklerini eksiksiz yerine getirmesi, ileride ortaya çıkabilecek idari ve hukuki uyuşmazlıkların önlenmesi açısından önem taşımaktadır.
