Yurt dışına kişisel veri aktarımı: standart sözleşmelerle çalışırken dikkat edilecekler
2024 değişikliğiyle yürürlüğe giren aktarım mekanizmalarının şirket içinde nasıl işletileceğine dair uygulama notu.
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 9. maddesi, 7499 sayılı Kanun ile değiştirilmiş ve yeni düzen 1 Haziran 2024’te yürürlüğe girmiştir. Değişiklikle yurt dışına aktarım; yeterlilik kararı, uygun güvenceler ve arızi aktarım hâlleri olmak üzere kademeli bir yapıya kavuşmuştur.
Standart sözleşme ne zaman gündeme gelir?
Aktarımın yapılacağı ülke hakkında yeterlilik kararı bulunmadığında, uygun güvencelerden biri olarak Kurul’un ilan ettiği standart sözleşmeler kullanılabilir. Standart sözleşmenin metni değiştirilmeden kullanılması ve imzadan itibaren beş iş günü içinde Kurul’a bildirilmesi gerekir.
Şirket içinde işletilmesi
Uygulamada en sık karşılaşılan sorun, hangi aktarımın hangi mekanizmaya dayandığının izlenememesidir. Bulut hizmetleri, grup içi raporlama ve destek hizmetleri için ayrı bir aktarım envanteri tutulmasını, her satırda karşı tarafın rolünün (veri sorumlusu ya da veri işleyen) ve dayanılan mekanizmanın gösterilmesini öneriyoruz.
Bildirim süresinin kısalığı nedeniyle sözleşme imza süreçlerine bir kontrol adımı eklenmesi yararlı olur: satın alma ekibi, kişisel veri aktarımı içeren bir sözleşmeyi imzaya sunduğunda hukuk ekibine otomatik bir bildirim düşmelidir.
Bu not genel bilgilendirme amaçlıdır; somut aktarım yapıları için ayrıca değerlendirme yapılmalıdır.
Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez.