Yurt Dışına Veri Aktarımı: Yöntemler ve Koşullar

Bulut hizmetleri, küresel CRM'ler ve yurt dışı iş ortakları, kişisel verinin sınır ötesine aktarılmasını gündeme getirir. KVKK, bu aktarımı belirli koşullara bağlar. Bu yazıda yurt dışına veri aktarımı yöntemlerini özetliyoruz. Uygulamalı bir örnek için yurt dışı aktarım vaka analizimize de bakabilirsiniz.

Bu içerik genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. Aktarım rejimi güncellenebilir; geçerli usul için Kurum'un düzenlemelerini esas alın.

Aktarım neden özel olarak düzenlenir?

Veri yurt dışına çıktığında, koruma seviyesinin Türkiye'dekiyle benzer biçimde sürmesi beklenir. Bu nedenle aktarım, "serbestçe" değil belirli güvenceler altında yapılır.

Başlıca aktarım yöntemleri

• Yeterlilik kararı. Kurul'un yeterli korumaya sahip olduğunu belirlediği ülke veya kategorilere aktarım.
• Uygun güvenceler. Yeterlilik kararı yoksa; standart sözleşme hükümleri, bağlayıcı şirket kuralları (BCR) gibi araçlarla aktarım.
• İstisnai hâller (arızi durumlar). Belirli sınırlı durumlarda, kanunda sayılan istisnalara dayanılarak aktarım.

Hangi yöntemin uygun olduğu; karşı ülkeye, veri türüne ve aktarımın sürekliliğine göre değişir.

Aktarımı kayıt altına almak

Hangi verinin, nereye, hangi dayanakla aktarıldığı kayıt altında olmalıdır. Bu bilgi aynı zamanda VERBİS beyanınızın ve envanterinizin parçasıdır.

Sık yapılan hatalar

• Bulut sağlayıcısını "aktarım değil" sanmak. Verinin yurt dışı sunucularda işlenmesi de aktarım olabilir.
• Dayanağı belgelememek. Hangi güvenceye dayandığınızı gösterememek risk yaratır.
• Sözleşmeleri güncellememek. Standart sözleşme ve taahhütler güncel tutulmalıdır.

Süreci yönetmek

Aktarımların envanterle tutarlı tutulması ve dayanaklarının belgelenmesi, uyumun kritik bir parçasıdır. Kivuz KVKK, aktarımların kaydından beyana kadar bu süreci yöneten bir KVKK uyum yazılımıdır ve verileri Türkiye'de tutar. Bütünü görmek için demo talep edebilirsiniz.