Kişisel Verilerin Yurt Dışına Aktarımında Yeni Rejim: Şirketler Ne Yapmalı?

7499 sayılı Kanun ile 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 9. maddesi kapsamlı şekilde değiştirilmiş ve yeni düzenleme 1 Haziran 2024 tarihinde yürürlüğe girmiştir. Değişiklik, uygulamada büyük ölçüde açık rızaya dayanan yurt dışı aktarımları için daha öngörülebilir bir çerçeve sunmaktadır.

Yeterlilik Kararı

Kişisel Verileri Koruma Kurulu’nun yeterlilik kararı verdiği ülkelere, sektörlere veya uluslararası kuruluşlara, KVKK m.5 veya m.6’daki işleme şartlarından birinin bulunması halinde veri aktarılabilir.

Uygun Güvenceler

Yeterlilik kararı bulunmayan hallerde; bağlayıcı şirket kuralları, Kurul tarafından ilan edilen standart sözleşmeler veya Kurul izni ile yazılı taahhütnameler gibi uygun güvencelerden biri sağlanarak aktarım yapılabilir. Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurum’a bildirilmesi gerektiği unutulmamalıdır.

Arızi Aktarım

Yeterlilik kararı ve uygun güvencelerin bulunmadığı durumlarda, ancak arızi olmak kaydıyla ve kanunda sayılan sınırlı hallerde (örneğin açık rıza veya bir sözleşmenin ifası için zorunluluk) aktarım mümkündür. Düzenli ve sistematik aktarımlar için bu yol kullanılmamalıdır.

Yapılması Gerekenler

Şirketlerin bulut hizmetleri, e-posta altyapıları, CRM sistemleri ve grup şirketleriyle yaptıkları aktarımları envanterlerine işleyerek her biri için uygun aktarım mekanizmasını belirlemeleri ve sözleşmelerini güncellemeleri önerilir.