Kişisel Verilerin Yurt Dışına Aktarılmasında Standart Sözleşme

12 Mart 2024 tarihli ve 32487 sayılı Resmî Gazete’de yayımlanan 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun’un 34. maddesi ile 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda (“KVKK”) önemli değişiklikler yapılmıştır. Bu kapsamda, 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete’de yayımlanarak yürürlüğe giren Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (“Yönetmelik”), uzun süredir tartışılan kişisel verilerin yurt dışına aktarımı konusuna ilişkin usul ve esasları netleştirmiştir.
KVKK’nın 9. maddesi ve ilgili Yönetmelik çerçevesinde, kişisel verilerin yurt dışına aktarımı için kullanılabilecek en temel araçlardan biri standart sözleşmeler olarak belirlenmiştir. Değişiklik öncesinde, yurt dışına veri aktarımı için ilgili kişinin açık rızasının alınması yeterli görülürken, yapılan düzenleme ile 1 Eylül 2024 itibarıyla açık rızaya dayalı veri aktarımı sona erecektir. Bu nedenle, veri sorumlularının ve veri işleyenlerin, yeni düzenlemelere uygun şekilde hareket etmeleri gerekmektedir.
Standart sözleşmeler, veri aktarımı süreçlerinde hukuki güvence sağlamak amacıyla oluşturulmuş olup, Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından hazırlanmıştır. Bu sözleşmeler, veri sorumlusu ve veri işleyenler arasında aktarım süreçlerine yönelik uyulması gereken kuralları içermektedir. Kurul tarafından belirlenen standart sözleşmeler, Kişisel Verileri Koruma Kurumu’nun resmî internet sitesinde hem Türkçe hem de İngilizce olarak yayımlanmıştır. Ancak Yönetmelik kapsamında, herhangi bir uyuşmazlık halinde Türkçe metnin esas alınacağı düzenlenmiştir.
Standart sözleşmelerin içeriğinde, yurt dışına aktarılan kişisel verilerin kategorileri, aktarım amacı, verilerin iletileceği alıcı grupları ile veri alıcısı tarafından uygulanacak teknik ve idari güvenlik önlemlerinin açıkça belirtilmesi gerekmektedir. Özellikle, sağlık verileri, dernek üyeliği bilgileri gibi özel nitelikli kişisel veriler için ek güvenlik tedbirlerinin alınması zorunluluğu getirilmiştir. Bu nedenle, veri sorumlularının hangi kişisel verileri yurt dışına aktardıklarını belirleyerek, standart sözleşmelerini bu kapsamda düzenlemeleri gerekmektedir.
Önemle belirtilmelidir ki, standart sözleşmelerde herhangi bir değişiklik yapılması mümkün değildir. Sözleşme metninde değişiklik yapıldığının tespiti veya tarafların yetkilileri tarafından imzalanmaması halinde, Kurul tarafından re’sen inceleme başlatılacağı hüküm altına alınmıştır.

Standart sözleşmelerin, imzalandıktan sonra en geç beş iş günü içinde Kurul’a bildirilmesi gerekmektedir. Bildirim süreçleri;
• Fiziki evrak gönderimi,
• Kayıtlı Elektronik Posta (“KEP”) üzerinden iletim,
• Kurul tarafından belirlenen diğer yöntemler ile gerçekleştirilir.

Bu kapsamda, 25 Ekim 2024 tarihinde Kurul’un resmî internet sitesinde duyurulan Standart Sözleşme Bildirim Modülü aracılığıyla bildirimlerin elektronik ortamda yapılabilmesi sağlanmıştır.
Sonuç olarak, yapılan yasal değişiklikler, kişisel verilerin yurt dışına aktarımına yönelik süreçleri daha sıkı kurallara bağlamıştır. Veri sorumlularının ve veri işleyenlerin, Yönetmelik ile getirilen yükümlülüklere uygun hareket etmeleri zorunludur. Kanuna aykırı şekilde yurt dışına veri aktarımı yapanlar hakkında 2025 yılı itibarıyla 71.965 TL ila 1.439.300 TL arasında idari para cezası uygulanabilecektir.
Standart sözleşmeler, taraflar arasında kişisel veri aktarımında uyulması gereken kuralları belirleyen bağlayıcı metinlerdir. Bu nedenle, mevzuata uygunluk açısından dikkatle hazırlanmalı ve süreç titizlikle yürütülmelidir.