Yurt dışına veri aktarımı, kişisel verilerin Türkiye dışındaki bir alıcıya veya yurt dışında sunucusu bulunan bir sisteme aktarılmasıdır. 12 Mart 2024 tarihli 7499 sayılı Kanun ile yeniden yazılan KVKK Madde 9, bu aktarımı üç kademeli bir rejime bağlamıştır.
Üç Kademeli Rejim Nasıl İşler?
Aktarım yolları sırasıyla değerlendirilir: önce Kurul'un yeterlilik kararı, sonra uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları, taahhütname), en son arızi haller. Arızi haller açık rıza veya sözleşmenin ifası gibi süreklilik arz etmeyen istisnai durumlardır; düzenli aktarımlar için ana kural olarak kullanılamaz. Uygulama usul ve esasları 10 Temmuz 2024 tarihli Yönetmelik ile belirlenmiştir.
Aktarımdan Önce Hangi Kontrol Yapılır?
Hangi kademe kullanılırsa kullanılsın, aktarımın öncelikle KVKK Md. 5 ve 6'daki genel işleme şartlarından birine dayanması zorunludur. Aktarım mekanizması, hukuka aykırı bir işlemeyi meşrulaştırmaz.
Hangi Şirketler Kapsamdadır?
Google Workspace, Microsoft 365, AWS, Zoom, Mailchimp veya yurt dışı merkezli CRM/ERP kullanan her veri sorumlusu hukuken yurt dışına veri aktarıyor sayılır. Yeterlilik kararı verilmiş ülke bulunmadığından pratikte en işlevsel yol standart sözleşmedir. Aktarım, VERBİS bildiriminde ve aydınlatma metinlerinde de gösterilmelidir.