Yurt Dışına Kişisel Veri Aktarımı ve Standart Sözleşmeler

Her kademeden önce ortak bir ön koşul vardır: Kanunun 5 ve 6 ncı maddelerindeki işleme şartlarından biri bulunmalıdır. Bu şart, aktarım yolu ne olursa olsun düşmez.

1. 1

   Yeterlilik kararı

   Yönetmelik m.6/1-a, m.8

   Aktarımın yapılacağı ülke, o ülkedeki bir sektör ya da bir uluslararası kuruluş hakkında Kurul’un yeterlilik kararı varsa aktarım doğrudan yapılabilir. Karar en geç dört yılda bir yeniden değerlendirilir; Kurul kararı ileriye etkili olarak değiştirebilir, askıya alabilir veya kaldırabilir.

2. 2

   Uygun güvenceler

   Yönetmelik m.6/1-b, m.10

   Yeterlilik kararı yoksa, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, dört uygun güvence yolundan biri sağlanmalıdır. Uygulamada işleyen yol standart sözleşmedir.

3. 3

   İstisnai aktarım

   Yönetmelik m.6/2, m.16

   İlk iki kademe de yoksa aktarım yalnızca arızi olmak kaydıyla ve m.16’daki istisnai hâllerden birinin varlığında yapılabilir. Süreklilik arz eden aktarımlarda (barındırma, bulut hizmeti, model API’si) bu kapı kapalıdır.

Seçim, aktarımın iki tarafının sıfatına göre yapılır: aktaran ve alıcı, ayrı ayrı veri sorumlusu mu yoksa veri işleyen mi? Rol tespitinde sözleşmedeki ifadeler değil, tarafların fiilî kontrolü esastır ve her işleme faaliyeti ayrı değerlendirilir. Bu nedenle aynı sağlayıcıyla farklı faaliyetler bakımından farklı modüller gerekebilir.

Kurum, kendisine ulaşan standart sözleşmeleri inceleyerek tekrarlayan eksiklikleri duyurdu. İmzadan önce bir kontrol listesi olarak kullanılabilir:

• Geçerli imza eksikliği

  Sözleşme, aktarımın taraflarınca veya temsile ve imzaya yetkili kişilerce imzalanmalıdır. Taraflardan birinin ya da her ikisinin geçerli imzası yoksa sözleşme geçerli olmaz.

• İmzanın Türkçe metinde bulunmaması

  Yabancı dilde de akdedilmişse her iki tarafın imzası Türkçe metin üzerinde olmalıdır. Çift sütunlu düzenlemede imzalar mutlaka Türkçe metnin yer aldığı sütunda bulunmalıdır.

• İmza tarihlerinin yazılmaması

  Beş iş günlük bildirim süresinin tutup tutmadığı denetlenebilsin diye her iki tarafın imza tarihi sözleşme metninde belirtilmelidir.

• Tevsik edici belgede imzacının adının geçmemesi

  İmzalayanların yetkili olduğunu gösteren belgeler sözleşmeyle birlikte sunulmalıdır. Bu belgelerde imzalayanın adı yer almıyorsa sözleşme yetkisiz kişilerce imzalanmış sayılır ve geçerli olmaz.

• Taraf isimlerinde eksiklik veya uyumsuzluk

  Sözleşme metnindeki taraf isimleri eksiksiz olmalı ve tevsik edici belgelerdeki isimlerle birebir örtüşmelidir.

• Geriye dönük yürürlük ibaresi

  İmzalar daha ileri bir tarihte tamamlanmış olmasına rağmen sözleşmenin geçmişe dönük yürürlüğe gireceğine dair “yürürlük tarihi: …” benzeri ibarelere yer verilmemelidir.

• Metin üzerinde değişiklik

  Yalnızca seçimlik veya alternatif içerikli maddeler üzerinde değişiklik yapılabilir. Bunların dışında metne ekleme, çıkarma veya değişiklik yapılamaz; yapılırsa Kanunun 15 inci maddesi uyarınca Kurul tarafından inceleme yapılır.

• Yabancı resmî belgelerde tasdik eksikliği

  Yabancı ülkede düzenlenmiş resmî belgeler için apostil şerhi gerekir; Lahey Sözleşmesi’ne taraf olmayan ve muafiyeti bulunmayan ülkelerde konsolosluk tasdiki aranır. Tevsik edici belgeler ve yabancı dildeki her belge noter onaylı Türkçe çevirisiyle sunulur.

• Eksik gönderim

  Özellikle KEP ile gönderimde sözleşme metninin eklenmesi unutulmamalı ve gönderilen metnin sayfalarında eksiklik bulunmamalıdır.

Sık Sorulan Sorular

Türkiye’deki iki şirket arasında standart sözleşme imzalanabilir mi?▾

Hayır. Dört standart sözleşme metninin tamamı yurt dışına aktarım için düzenlenmiştir ve aktarımın tarafları arasında akdedilir. Türkiye’de yerleşik iki taraf arasındaki aktarım yurt içi aktarımdır; 6698 sayılı Kanunun 8 inci maddesine tabidir. Karşı taraf aldığı veriyi kendi tedarikçisi üzerinden yurt dışına aktarıyorsa, o aktarım için uygun güvenceyi sağlamak karşı tarafın yükümlülüğüdür.

Açık rıza aldım; ayrıca standart sözleşme gerekir mi?▾

Evet. Kanunun 5 ve 6 ncı maddelerindeki işleme şartlarından birinin bulunması ile 9 uncu madde kapsamında uygun güvencenin sağlanması iki ayrı şarttır ve birlikte aranır. Açık rıza yalnızca işleme şartını karşılar; aktarımın uygun güvencesini karşılamaz. Arızi aktarım hâlindeki açık rıza ise ayrı bir kurumdur ve muhtemel riskler hakkında bilgilendirme yapılması şarttır.

Bildirimi kim, ne zaman ve nasıl yapar?▾

Standart sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilir. Bu süre Kanunun 9 uncu maddesinin beşinci fıkrasında yer alır. Bildirim fiziki olarak, kayıtlı elektronik posta (KEP) adresi üzerinden veya Kurul tarafından belirlenen Standart Sözleşme Bildirim Modülü ile yapılabilir. Taraflar bildirimi kimin yapacağını sözleşmede kararlaştırabilir; kararlaştırmamışlarsa bildirimi veri aktaran yapar.

Sözleşme sonrasında değişiklik olursa ne yapılır?▾

Sözleşmenin taraflarında veya taraflarca metne yazılan bilgi ve açıklamalarda değişiklik olması ya da sözleşmenin sona ermesi hâlinde, aynı usule uygun olarak yeniden bildirim yapılır. Alt veri işleyen listesi ve sonraki aktarım alıcıları değiştiğinde de ilgili ek güncellenir ve Kuruma bildirilir. Bu, imzalanıp bir kenara konulan değil, bakımı olan bir belgedir.

Alt veri işleyenlerin her biri için ayrı standart sözleşme gerekir mi?▾

Veri sorumlusundan veri işleyene ve veri işleyenden veri işleyene modüllerinde, veri alıcısının alt veri işleyenle üçüncü taraf yararlanıcı hakları dâhil asgari olarak standart sözleşmedeki güvenceleri içeren yazılı bir sözleşme yapması hâlinde sonraki aktarımlara ilişkin yükümlülüğün yerine getirildiği kabul edilir. Alt veri işleyenler EK III’te listelenir. Veri sorumlusundan veri sorumlusuna modülünde böyle bir hüküm bulunmadığından aynı kolaylık geçerli değildir.

Hangi aktarımlar arızi sayılır?▾

Arızilik; düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içinde bulunmayan aktarımları ifade eder. Ölçü kişi bazında değil, faaliyet bazındadır: aynı işlem farklı kişiler için tekrarlanıyorsa o faaliyet olağan hâle gelmiştir ve arızi sayılmaz. Kanun gerekçesindeki örnek, yurt dışındaki bir firmayla yapılacak geçici bir ticari etkinlik için o etkinliğe katılacak çalışanların bilgilerinin paylaşılmasıdır.

Yabancı dildeki bir standart sözleşme metni geçerli olur mu?▾

Standart sözleşme yabancı dilde de akdedilebilir; ancak Türkçe metin esas alınır. Sözleşmeye “çelişki hâlinde yabancı dildeki metin uygulanır” yönünde bir hüküm eklenmesi sonucu değiştirmez. Ayrıca yurt dışındaki muhatabın kendi ülkesindeki standart sözleşme metinlerini sunması, Kurul tarafından ilan edilen metinlerin yerine geçmez.

Bağlayıcı şirket kuralları standart sözleşmenin alternatifi midir?▾

İkisi arasında bir öncelik sırası yoktur; her ikisi de uygun güvence yollarındandır. Ancak bağlayıcı şirket kuralları yalnızca ortak ekonomik faaliyette bulunan teşebbüs grupları için kullanılabilir, Kurul onayına tabidir ve onay verilmeden aktarıma başlanamaz. Standart sözleşmede ise imzadan hemen sonra aktarım yapılabilir; yükümlülük bildirimdir.