Bulut tabanlı e-posta, CRM, form, analitik veya yapay zekâ hizmetleri kullanan işletmelerin çoğu, farkında olmadan kişisel verileri yurt dışındaki sunuculara aktarıyor. Bu durum KVKK'nın yurt dışına veri aktarımı kurallarını gündeme getirir.
Ne değişti?
12 Mart 2024'te yayımlanan 7499 sayılı Kanun ile KVKK'nın 9. maddesi değiştirildi ve yeni düzenleme 1 Haziran 2024'te yürürlüğe girdi. Daha önce açık rızaya dayanan uygulama yerine, katmanlı bir sistem getirildi.
Aktarımın yolları
1. Yeterlilik kararı
Kurul'un, aktarım yapılacak ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı vermesi halinde, işleme şartlarından birinin varlığıyla aktarım yapılabilir.
2. Uygun güvenceler
Yeterlilik kararı yoksa, ilgili kişinin haklarını kullanabilmesi ve etkili başvuru yollarına erişebilmesi koşuluyla uygun güvencelerden biriyle aktarım yapılabilir. Bunlardan en yaygını, Kurul'un ilan ettiği standart sözleşmedir. Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilmesi gerekir. Bağlayıcı şirket kuralları ve taahhütname gibi diğer güvenceler de mevcuttur.
3. Arızi aktarım
Yeterlilik kararı ve uygun güvencelerin bulunmadığı durumlarda, yalnızca arızi (süreklilik arz etmeyen) aktarımlar için kanunda sayılan sınırlı hallerde aktarım mümkündür. Açık rıza bu hallerden biridir; ancak düzenli aktarımların dayanağı olarak kullanılması uygun değildir.
Bulut hizmeti kullanan işletmeler için
- Kullandığınız hizmetlerin envanterini çıkarın: e-posta, depolama, CRM, form, analitik, yapay zekâ, yedekleme.
- Her hizmetin verileri hangi ülkede işlediğini öğrenin.
- Sağlayıcının KVKK standart sözleşmesi sunup sunmadığını kontrol edin.
- İmzalanan sözleşmelerin süresinde bildirildiğinden emin olun.
- Aydınlatma metninizde aktarımı belirtin.
Yazılım tarafında
- Mümkünse veriyi Türkiye'deki veya yeterlilik kararı bulunan ülkelerdeki veri merkezlerinde tutan seçenekleri değerlendirin.
- Yapay zekâ hizmetlerine gönderilen verileri en aza indirin. Bkz. yapay zekâ ve KVKK.
- Web sitenizdeki üçüncü taraf betiklerin (analitik, font, harita) ziyaretçi verisini yurt dışına aktarabileceğini unutmayın. Bkz. çerez politikası.
Sık sorulan sorular
Gmail veya Microsoft 365 kullanmak yurt dışı aktarımı mı?
Verilerin işlendiği yere bağlıdır; çoğu durumda yurt dışı aktarım söz konusu olabilir. Sağlayıcının sözleşme ve veri konumu seçeneklerini incelemek gerekir.
Standart sözleşmeyi değiştirebilir miyim?
Kurul'un ilan ettiği standart sözleşmeler esas alınmalıdır. Ayrıntılar için güncel Kurum duyurularını ve bir hukukçuyu esas alın.
Sonuç
Yurt dışına aktarım, bulut çağında neredeyse her işletmeyi ilgilendiren bir konu. Bu yazı genel bilgilendirme amaçlıdır; uygulama için güncel Kurul kararlarını ve hukuki desteği esas alın.