6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) madde 9, kişisel verilerin yurt dışına aktarılmasını özel koşullara bağlamaktadır. Cloud hizmetleri, analytics, e-posta sağlayıcıları veya diğer yurt dışı hizmetler kullanan veri sorumluları bu kurallara uymakla yükümlüdür. Bu yazıda yurt dışı veri aktarımı kuralları, yeterli koruma sağlanan ülkeler ve alternatif yöntemler hakkında genel bilgi sunulmaktadır. Bu metin hukuki danışmanlık yerine geçmez.
KVKK Madde 9 Özeti
Kişisel verilerin yurt dışına aktarılması, Kanunun 5. ve 6. maddelerinde öngörülen şartlara ek olarak madde 9’daki hususlara tabidir. Aktarım için genel çerçevede üç yol öngörülmektedir: yeterli koruma sağlayan ülkelere aktarım, yeterli koruma sağlamayan ülkelere açık rıza veya Kurul izni ile aktarım ve taahhütname-imza sözleşmesi gibi alternatif mekanizmalar. Kurul tarafından yayımlanan rehber ve kararlar güncel koşulları belirlemektedir.
Yeterli Koruma Sağlanan Ülkeler
Kişisel Verileri Koruma Kurulu, belirli ülkelerin yeterli koruma sağladığını tespit edebilir. Bu ülkelere yapılan aktarımlarda ek bir izin gerekmeden, Kanunun 5. ve 6. maddelerindeki genel şartlara uyulması yeterli olabilir. Kurul kararları ve ülke listesi periyodik olarak güncellenebilir; resmî kaynakların takip edilmesi önerilir.
Yeterli Koruma Sağlamayan Ülkeler
Yeterli koruma sağlanmayan ülkelere (örneğin ABD) aktarımda aşağıdaki seçenekler değerlendirilebilir:
- Açık rıza: İlgili kişinin, aktarımın yapılacağı ülkeyi ve riskleri bilerek açık rıza vermesi.
- Kurul izni: Kurula başvurularak aktarım izninin alınması.
- Taahhütname / Sözleşme: Veri sorumlusu ile yurt dışı alıcı arasında Kurulca belirlenen usule uygun taahhütname imzalanması.
Hangi yöntemin sizin durumunuz için uygun olduğu hukuk danışmanı ile netleştirilmelidir.
Pratikte Sık Karşılaşılan Durumlar
Web sitesi sahipleri ve işletmeler genellikle aşağıdaki hizmetler aracılığıyla dolaylı veya doğrudan yurt dışı veri aktarımı yapmaktadır:
Cloud ve Hosting
Sunucuları yurt dışında (ABD, Avrupa) bulunan hosting veya bulut hizmetleri kullanıldığında, web sitesi ziyaretçi verileri veya müşteri verileri yurt dışına aktarılabilir. Bu aktarımın aydınlatma metninde belirtilmesi önerilir.
Analytics ve Reklam
Google Analytics, Meta Pixel, reklam ağları gibi araçlar verileri yurt dışı sunuculara iletebilir. Bu araçların kullanımı aydınlatma metninde açıklanmalı; gerektiğinde açık rıza alınması düşünülebilir.
E-posta ve CRM
Mailchimp, SendGrid veya benzeri e-posta servisleri ABD merkezli olabilir. Abone listeleri ve e-posta adresleri bu platformlara aktarılırken yurt dışı aktarım kuralları uygulanır.
Aydınlatma metninde yurt dışına aktarım yapılıyorsa aktarımın amacı, alıcı ülke veya bölge ve hukuki dayanak açıkça belirtilmelidir.
Veri İşleyen Sözleşmeleri
Yurt dışı hizmet sağlayıcılarıyla veri işleyen (data processor) sözleşmesi yapılması genel olarak önerilir. Bu sözleşmede veri güvenliği, gizlilik ve yurt dışı aktarım koşulları netleştirilmelidir. Standard Contractual Clauses (SCC) veya benzeri model sözleşmeler bazı durumlarda kullanılabilir; uygunluğu hukuk danışmanı ile değerlendirilmelidir.
Sonuç
Yurt dışına veri aktarımı KVKK’da özel düzenlemelere tabidir. Veri sorumlularının kullandıkları hizmetlerin veri aktarım yönünü tespit etmesi, aydınlatma metninde bunu açıklaması ve gerekli mekanizmaları (açık rıza, sözleşme vb.) uygulaması önem taşır. Somut durumunuz için hukuk danışmanına başvurmanız önerilir.