Kişisel verilerin üçüncü kişilere ve Türkiye dışına aktarılması, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ile düzenlenmiştir. Bu husus, faaliyetleri Türkiye sınırlarını aşan uluslararası ve yerli şirketler için özellikle önemlidir. Şirketler; kişisel verilerin nerede tutulduğunu ve mevzuat hükümlerinin uygulanıp uygulanmayacağını belirlemek için faaliyetlerini gözden geçirmelidir.
Bankacılık mevzuatında müşteri verileri
5411 sayılı Bankacılık Kanunu (kanun metnine buradan ulaşabilirsiniz), müşteri verilerinin yurt dışına aktarılmasına ilişkin özel kurallar öngörmektedir. Bankacılık Kanunu’nun 73. maddesi uyarınca; bankalarla, münhasıran bankacılık faaliyetlerine yönelik müşteri ilişkisi kurulmasından sonra oluşan, gerçek ve tüzel kişilere ait veriler müşteri verisi niteliği kazanır ve Bankacılık Kanunu’ndaki sınırlamalara tabi olur. Sonuç olarak müşteri verilerinin yurt dışına aktarılmasında, Bankacılık Kanunu’ndaki şartların Kanun’daki şartlardan öncelikli olarak uygulanması gerekir.
Üçüncü kişilere aktarım
Kanun, kişisel verilerin üçüncü kişilere aktarılması için kural olarak ilgili kişinin açık rızasını arar. Ancak aşağıdaki hâllerde aktarım için açık rıza aranmaz:
- aktarımın kanunlarda açıkça öngörülmesi;
- fiili veya hukuki nedenlerle rızasını açıklayamayacak durumda bulunan ilgili kişinin (veya bir başkasının) hayatının ya da beden bütünlüğünün korunması için zorunlu olması;
- bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olmak kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması;
- veri sorumlusunun hukuki yükümlülüklerini yerine getirebilmesi için zorunlu olması;
- verilerin, ilgili kişinin kendisi tarafından alenileştirilmiş olması;
- bir hakkın tesisi, kullanılması veya korunması için zorunlu olması veya
- ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için zorunlu olması.
Ayrıca Kanun uyarınca sağlık ve cinsel hayata ilişkin kişisel veriler; sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından, ilgilinin açık rızası aranmaksızın, yalnızca aşağıdaki amaçlarla işlenebilir ve dolayısıyla aktarılabilir:
- kamu sağlığının korunması;
- koruyucu hekimlik;
- tıbbi teşhis;
- tedavi ve bakım hizmetlerinin yürütülmesi veya
- sağlık hizmetleri ile finansmanının planlanması ve yönetimi.
Türkiye dışına aktarımlar
7499 sayılı Kanunla değişen m. 9, yurt dışına aktarımı üç kademeli bir yapıya bağlamıştır. Aktarım öncelikle, 5 ve 6 ncı maddelerdeki şartlardan birinin bulunması ve aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında bir yeterlilik kararı verilmiş olması hâlinde mümkündür. Yeterlilik kararı yoksa aktarım, m. 9/4’te sayılan uygun güvencelerden birinin sağlanmasına bağlıdır: kamu kurum ve kuruluşları arasındaki anlaşma (Kurul izniyle), Kurulca onaylanmış bağlayıcı şirket kuralları, Kurulca ilan edilen standart sözleşme veya yine Kurul izniyle yazılı taahhütname. Standart sözleşmenin, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekir. Ne yeterlilik kararı ne de uygun güvence bulunuyorsa, aktarım ancak m. 9/6’da sayılan hâllerde ve arızi olmak kaydıyla yapılabilir. Kurul, Temmuz 2026 itibarıyla herhangi bir ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı yayımlamamıştır; bu nedenle yurt dışı aktarımlar uygulamada uygun güvenceler veya arızi hâller üzerinden yürütülmektedir.
Kurul, yeterli korumaya sahip ülkelerin belirlenmesinde kullanılacak kriterleri 2019/125 sayılı kararıyla ortaya koymuştur (karara buradan ulaşabilirsiniz). Karar, yeterli korumaya sahip ülkelerin tayininde kullanılacak bir form içermektedir. Değerlendirmede aşağıdaki hususlar dikkate alınır:
- karşılıklılık şartı;
- ilgili ülkenin kişisel verilerin işlenmesine ilişkin mevzuatı ve bu mevzuatın uygulanması;
- bağımsız bir veri koruma otoritesinin bulunup bulunmadığı;
- kişisel verilerin korunmasına ilişkin uluslararası sözleşmelere taraf olma durumu;
- uluslararası kuruluşlara üyelik durumu;
- Türkiye’nin üyesi olduğu küresel ve bölgesel örgütlere üyelik durumu ve
- ilgili ülkeyle olan ticaret hacmi.
Kanun’un yürürlüğe girdiği 7 Nisan 2016’dan, 7499 sayılı Kanunun yürürlüğe girdiği 1 Haziran 2024’e kadar Kurul’a 86 taahhütname başvurusu yapılmış, bunlardan 10’u kabul edilmiştir; aynı dönemde yapılan 3 Bağlayıcı Şirket Kuralı başvurusunun hiçbiri kabul edilmemiştir (KVKK, Yurt Dışına Aktarım Rehberi, Ocak 2025). Kurul, ilk onayını 9 Şubat 2021’de bir araç filo kiralama şirketine; ikinci onayını ise 4 Mart 2021’de e-ticaret ve web hizmetleri alanında faaliyet gösteren bir şirkete (Amazon iştirakleri) verdiğini duyurmuştur.
Kurul, başvuruları hem usul hem de esas yönünden incelemektedir. Esas yönünden incelemede en kritik nokta; aktarımın veri sorumlusundan veri sorumlusuna mı, yoksa veri sorumlusundan veri işleyene mi yapıldığının belirlenmesidir. Başvuru sahiplerinin aktarım sürecini dikkatle analiz etmesi gerekir. Veri sorumlusu ile veri işleyen arasındaki ilişkinin belirlenmesinde, Kurulun 30 Ocak 2020 tarihli ve 2020/71 sayılı kararı esas alınabilir (karara buradan ulaşabilirsiniz).
Kurul izin verirken; uluslararası sözleşmeleri, ülkeler arasındaki karşılıklılık durumunu, veri sorumlusunun aldığı tedbirleri ve veri işlemenin süresi ile amacını değerlendirmek zorundadır.
Kurul, kamu yararının veya kişisel menfaatlerin ihlal edildiği kanaatine varırsa üçüncü ülkelere veri aktarımını sınırlandırabilir. Kurulun bu ihlale ilişkin kriterleri nasıl belirleyeceği henüz netlik kazanmamıştır.
Bağlayıcı Şirket Kuralları
Kişisel Verileri Koruma Kurumu (“Kurum”), 10 Nisan 2020’de çok uluslu şirketler arasında grup içi veri aktarımına imkân tanıyan Bağlayıcı Şirket Kurallarını (“BŞK”) duyurmuştur. Bağlayıcı Şirket Kuralları; yeterli korumanın bulunmadığı ülkelerde faaliyet gösteren çok uluslu grup şirketlerinin, grup içi veri aktarımlarında yeterli düzeyde veri koruması sağlamasına imkân veren ve sınır ötesi aktarımlara uygulanan veri koruma kuralları olarak tanımlanmaktadır.
Kanun’da öngörülen yurt dışına veri aktarımı kurallarının uygulanmasındaki güçlükler nedeniyle Kurumun, GDPR kapsamında kabul edilen Bağlayıcı Şirket Kuralları yaklaşımına paralel olarak grup içi sınır ötesi veri aktarımlarına ilişkin yeni düzenlemeler yayımlaması beklenmekteydi. Kurum, sektörel ihtiyaçlara yanıt olarak, AB’nin Bağlayıcı Şirket Kuralları yaklaşımı örnek alınarak oluşturulan ve grup şirketlerine özgü alternatif bir yurt dışına veri aktarım yöntemi geliştirmiştir.
Kurumun öngördüğü Bağlayıcı Şirket Kuralları; çok uluslu şirketlerin, Türkiye’den, veri koruma düzeyi düşük bir ülkede bulunan aynı şirketler grubu üyesine kişisel veri aktarmasına imkân tanımaktadır. Bu hâllerde Bağlayıcı Şirket Kuralları, grup içi sınır ötesi veri aktarımlarında gereği gibi veri korumasına ilişkin bir taahhüt olarak değerlendirilmelidir.
Bağlayıcı Şirket Kuralları; tüm genel veri koruma ilkelerini ve şirketler grubu içinde kişisel verilerin korunmasına yönelik yeterli güvenceleri içermelidir. Kurum, Bağlayıcı Şirket Kurallarının içermesi gereken hususlara ilişkin bir rehberi ve standart başvuru formunu resmî internet sitesinde yayımlamıştır (belgelere buradan ve buradan ulaşabilirsiniz).
Aktarım mekanizmalarının kurulumunda yurt dışı veri aktarımı hizmetimiz, mevzuatın güncel durumu için KVKK mevzuat kaydımız destek olur.
