Bağlayıcı şirket kuralları (BCR), ortak ekonomik faaliyette bulunan şirket grupları için grup içi yurt dışı veri aktarımlarını tek bir çerçevede yöneten, Kurul onayına tabi kurallar bütünüdür. Kurul'un 2024/959 sayılı kararıyla başvuru formları ve kılavuzlar yayımlanmıştır. Onaylanan BCR sahibi grup, her aktarım için ayrı sözleşme imzalamadan Türkiye'deki şirketinden yurt dışındaki grup şirketine veri aktarabilir.
BCR Nedir ve Kimler İçin Anlamlıdır?
Bağlayıcı şirket kuralları, aynı teşebbüs grubuna bağlı şirketler arasındaki yurt dışı veri aktarımlarını düzenleyen, grubun tamamı için bağlayıcı iç kurallar bütünüdür. GDPR'daki Binding Corporate Rules mekanizmasının Türk hukukundaki karşılığıdır.
BCR, özellikle şu profildeki yapılar için anlamlıdır: Türkiye'de iştiraki bulunan çok uluslu gruplar, yurt dışında iştirakleri olan Türk holdingleri ve grup içinde sürekli, çok yönlü ve yoğun veri akışı bulunan yapılar (merkezi İK sistemleri, ortak CRM, konsolide finansal raporlama gibi).
Kurul tarafından onaylanan BCR'ye sahip bir grup, Türkiye'deki şirketinden aynı grubun yabancı ülkedeki şirketine, her seferinde ayrıca izin almaksızın veya sözleşme imzalamaksızın veri aktarabilir. Bu, onlarca grup şirketi arasında yüzlerce ikili standart sözleşme imzalamak zorunda kalmamak demektir.
BCR mi, Standart Sözleşme mi? Karar Matrisi
Pratik kural: Grup dışı aktarımlar (bulut sağlayıcıları, iş ortakları) için her durumda standart sözleşme gerekir. BCR yalnızca grup içi aktarımları kapsar. Bu nedenle çok uluslu gruplar genellikle ikisini birlikte kullanır.
| KRİTER | STANDART SÖZLEŞME | BCR |
|---|---|---|
| Onay süreci | İzin yok, sadece bildirim (5 iş günü) | Kurul onayı zorunlu |
| Hazırlık süresi | Günler | Aylar (kapsamlı başvuru dosyası) |
| Kapsam | İkili ilişki (iki taraf) | Tüm grup şirketleri |
| Esneklik | Metin değiştirilemez | Gruba özel tasarlanır |
| Uygun profil | Bağımsız şirketler, tekil aktarımlar | Grup içi sürekli çok yönlü akış |
| Maliyet | Düşük | Yüksek başlangıç, düşük sürdürme |
BCR Başvuru Süreci: Neler Gerekir?
Kurul'un 4 Haziran 2024 tarihli ve 2024/959 sayılı kararıyla; BCR başvuru formları ve BCR'de bulunması gereken temel hususlara ilişkin yardımcı kılavuzlar yayımlanmıştır. Başvuru dosyasında tipik olarak şunlar yer alır:
- Grup yapısını, veri akışlarını ve aktarım amaçlarını gösteren detaylı şema
- Grubun tüm üyeleri için bağlayıcılığı sağlayan hukuki mekanizma (grup içi sözleşme veya tek taraflı taahhütler)
- İlgili kişilere üçüncü taraf lehine hak sağlayan hükümler
- Veri koruma ilkelerinin (amaçla sınırlılık, veri minimizasyonu, güvenlik) grup genelinde uygulanma yöntemi
- Şikâyet mekanizmaları, denetim programları ve eğitim taahhütleri
- Türkiye'deki grup üyesinin sorumluluğunu düzenleyen hükümler
Stratejik Değerlendirme: BCR'ye Yatırım Yapmalı mısınız?
BCR ciddi bir başlangıç yatırımı gerektirir: kapsamlı dokümantasyon, grup şirketleri arasında koordinasyon ve Kurul onay süreci. Ancak orta-uzun vadede önemli avantajlar sunar: her yeni grup içi aktarım için ayrı sözleşme sürecine gerek kalmaz, grup genelinde tutarlı veri yönetişimi kurulur ve global uyum programlarıyla (GDPR BCR) entegrasyon kolaylaşır.
Önerimiz: Grup içinde beşten fazla şirket arasında düzenli veri akışı varsa ve grup zaten GDPR BCR sahibiyse veya sürecindeyse, Türk BCR başvurusu güçlü bir stratejik hamledir. Daha küçük yapılarda standart sözleşmeler yeterli ve ekonomiktir.
Sıkça Sorulan Sorular
BCR ile standart sözleşme arasındaki temel fark nedir?
Standart sözleşme iki taraf arasındaki tekil aktarımı düzenler ve yalnızca bildirime tabidir; BCR tüm grup şirketlerini kapsayan bir çerçevedir ve Kurul onayı gerektirir. BCR onaylandıktan sonra grup içi aktarımlar için ayrıca sözleşme gerekmez.
GDPR kapsamında BCR'miz var; Türkiye'de de geçerli mi?
Doğrudan geçerli değildir; Türk Kurulu'na ayrı başvuru gerekir. Ancak mevcut GDPR BCR dokümantasyonu, Türk başvurusu için güçlü bir temel oluşturur ve süreci önemli ölçüde hızlandırır.
BCR onay süreci ne kadar sürer?
Kesin bir yasal süre öngörülmemiştir; dosyanın kapsamına ve Kurul'un inceleme yoğunluğuna göre aylar sürebilir. Eksiksiz ve kılavuzlara uygun hazırlanmış dosya süreci kısaltır.
BCR grup dışı aktarımları da kapsar mı?
Hayır. BCR yalnızca aynı teşebbüs grubu içindeki aktarımları kapsar. Bulut sağlayıcıları veya bağımsız iş ortaklarına aktarım için ayrıca standart sözleşme gerekir.
Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Somut durumunuz için uzman görüşü alınız. Kaynak: 6698 sayılı Kanun (mevzuat.gov.tr) ve Kişisel Verileri Koruma Kurumu'nun BCR başvuru formları ile kılavuzları (kvkk.gov.tr).