KVKK'da Açık Rıza ile Yurt Dışına Veri Aktarımı Mümkün mü?
Mümkün, ancak artık ilk başvurulacak yol değil. 7499 sayılı Kanun'la değişen ve 1 Haziran 2024'te yürürlüğe giren KVKK m. 9, açık rızayı üçüncü ve son kademeye indirdi: yalnızca yeterlilik kararı bulunmuyorsa ve uygun güvencelerden hiçbiri sağlanamıyorsa, üstelik arızi olmak kaydıyla kullanılabilir.
Değişiklikten önceki hâliyle m. 9, kişisel verilerin açık rıza olmaksızın yurt dışına aktarılamayacağını söylüyordu. O hüküm yürürlükte değil. Bugün hâlâ "yurt dışına aktarım için açık rıza alın" diyen bir uyum dokümanı, iki yıl önce ilga edilmiş bir kurala dayanıyor demektir.
Yeni m. 9 nasıl kurgulanmış?
Kanun üç kademeli bir sıra kuruyor ve bu sıra atlanabilir değil.
Birinci kademe: yeterlilik kararı
(m. 9(1)). Kişisel veriler, m. 5 ve 6'daki şartlardan birinin varlığı ve aktarımın yapılacağı ülke, o ülke içindeki sektör veya uluslararası kuruluş hakkında yeterlilik kararı bulunması hâlinde aktarılabilir. Karar Kurul tarafından verilir ve Resmî Gazete'de yayımlanır.
İkinci kademe: uygun güvenceler
(m. 9(4)). Yeterlilik kararı yoksa dört araçtan biri kullanılır: kamu kurumları arasındaki anlaşma ve Kurul izni, Kurul onaylı bağlayıcı şirket kuralları, Kurul tarafından ilan edilen standart sözleşme, ya da yazılı taahhütname ve Kurul izni. Bu kademede ayrıca ilgili kişinin hedef ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması aranır.
Üçüncü kademe: arızi haller
(m. 9(6)). Maddenin lafzı açık: veri sorumluları ve veri işleyenler, "yeterlilik kararının bulunmaması ve dördüncü fıkrada öngörülen uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak kaydıyla sadece" sayılan hâllerde aktarım yapabilir. Açık rıza bu listenin ilk maddesi.
Dikkat edilecek nokta, iki koşulun birlikte aranmasıdır. Yeterlilik kararı olmaması tek başına üçüncü kademeye geçmeye yetmez; uygun güvencelerden hiçbirinin sağlanamadığının da gösterilmesi gerekir.
"Arızi" kelimesi ne anlama geliyor?
Maddenin tamamını sınırlayan kelime bu ve uygulamadaki en büyük yanlış anlama burada.
Arızi, süreklilik arz etmeyen, tekrar etmeyen, bir defalık demektir. Bir bulut hizmet sağlayıcısına her gün otomatik olarak veri akıtmak arızi değildir. Yurt dışındaki grup şirketine her ay bordro verisi göndermek arızi değildir. Bir CRM sisteminin verileri sürekli yurt dışındaki sunucuda tutması arızi değildir.
Bunun pratik sonucu şudur: düzenli ticari veri akışlarında açık rızaya dayanmak hukuken savunulabilir değildir. Açık rıza alınmış olsa bile, aktarım arızi değilse m. 9(6) uygulanamaz. Şirketlerin ezici çoğunluğunun ihtiyacı ikinci kademededir, üçüncüde değil.
Bir de gözden kaçan bir sınır var: m. 9(7) uyarınca altıncı fıkranın (a), (b) ve (c) bentleri, yani açık rıza ile iki sözleşme temelli hâl, kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetlerine uygulanmaz.
Karıştırılan iki ayrı açık rıza
Açık rıza, KVKK'da iki ayrı işlevle karşımıza çıkıyor.
Birincisi işleme şartı olarak açık rıza (m. 5(1)). Verinin işlenmesini hukuka uygun kılar. m. 9(1) ve m. 9(4), aktarım için m. 5 ve 6'daki şartlardan birinin varlığını arar. Yani yeterlilik kararına veya standart sözleşmeye dayanarak aktarım yaparken de, altta bir işleme şartı bulunmak zorundadır ve bu şart açık rıza olabilir.
İkincisi aktarım istisnası olarak açık rıza (m. 9(6)(a)). Bu, işleme şartı değil, aktarım mekanizmasının kendisidir ve yalnızca ilk iki kademe kullanılamadığında devreye girer.
İkisi aynı şey değildir ve birbirinin yerine geçmez. Bir şirket, işleme şartı olarak açık rızaya dayanıp aktarım mekanizması olarak standart sözleşme kullanabilir. Tersine, aktarım istisnası olarak açık rızaya dayanmak, alttaki işleme şartı sorununu çözmez.
Uygulamada en sık görülen hata, tek bir açık rıza metni alınıp bunun her iki katmanı da karşıladığının varsayılmasıdır.
Aktarım istisnası olarak açık rıza nasıl alınır?
m. 9(6)(a), açık rızayı sıradan bir rızadan ayıran bir şart getiriyor: ilgili kişinin muhtemel riskler hakkında bilgilendirilmesi.
Bu, standart aydınlatma metninden farklı bir bilgilendirmedir. İlgili kişiye anlatılması gereken, verinin nereye gittiği değil, o ülkede karşılaşabileceği risktir: yeterlilik kararının bulunmadığı, uygun güvencelerin sağlanamadığı, hedef ülkede veri koruma otoritesinin bulunmayabileceği veya haklarını kullanmakta güçlük çekebileceği.
Ayrıca m. 3(1)(a) uyarınca açık rıza belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Genel nitelikte, "verilerimin yurt dışına aktarılmasına onay veriyorum" biçiminde bir ifade bu şartı karşılamaz. Hangi ülkeye, hangi alıcıya, hangi veri kategorisi için rıza verildiği belirli olmalıdır.
Rıza her zaman geri alınabilir. Geri alındığı anda aktarımın hukuki dayanağı ortadan kalkar. Süreklilik gerektiren operasyonlarda bunun tek başına neden bir risk olduğu açıktır.
GDPR ile KVKK arasındaki fark
İki rejim aynı üçlü yapıyı kuruyor, ancak dört noktada ayrışıyor.
Arızilik şartı yalnızca KVKK'da genel. GDPR m. 49(1), yedi istisnayı sayarken hepsi için geçerli bir arızilik koşulu getirmez. Tekrar etmeme koşulu yalnızca m. 49(1)'in ikinci fıkrasındaki son çare istisnası için aranır. KVKK ise m. 9(6)'nın girişinde "arızi olmak kaydıyla" diyerek tüm istisnaları sınırlar. Bu noktada KVKK, GDPR'dan daha dardır.
Risk bilgilendirmesi iki rejimde de var. GDPR m. 49(1)(a) da rızanın, aktarımın olası riskleri hakkında bilgilendirme yapıldıktan sonra alınmasını arar. Bu, iki rejimin en çok örtüştüğü noktalardan biri.
Yeterlilik kararı ölçütü farklı. KVKK m. 9(3)(a), Kurul'un yeterlilik kararı verirken hedef ülkeyle Türkiye arasındaki karşılıklılık durumunu öncelikle dikkate almasını öngörür. GDPR m. 45(2)'de böyle bir ölçüt yoktur; Komisyon'un testi hukuk devleti, temel haklar ve bağımsız denetim otoritesi üzerine kuruludur. Karşılıklılık hukuki değil diplomatik bir ölçüt.
GDPR'da son çare mekanizması var, KVKK'da yok. GDPR m. 49(1) ikinci fıkra, hiçbir dayanak kullanılamadığında dört kümülatif koşulla sınırlı bir son çare aktarımına izin verir ve veri sorumlusuna hem otoriteyi hem ilgili kişiyi bilgilendirme yükümlülüğü getirir. KVKK'da bu hükmün karşılığı bulunmamaktadır. Buna karşılık KVKK m. 9(9), Türkiye'nin veya ilgili kişinin menfaatinin ciddi zarar göreceği hâllerde Kurul iznini şart koşan, GDPR'da karşılığı olmayan ayrı bir hüküm içerir.
Yanlış kademeye dayanmanın sonucu
Aktarımın hukuka uygun bir mekanizmaya dayanmaması, m. 12'deki veri güvenliği yükümlülüğünün ihlali olarak değerlendirilir ve m. 18 uyarınca idari para cezasına tabidir. Cezalar her yıl yeniden değerleme oranıyla artmaktadır; güncel tutar için Kurum'un ilgili duyurusuna bakılmalıdır.
İkinci ve çoğu zaman daha ağır sonuç m. 15(7)'dedir: Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâlinde verinin yurt dışına aktarılmasının durdurulmasına karar verebilir. Yurt dışındaki bir sisteme bağımlı çalışan bir şirket için bu, para cezasından daha yıkıcı bir sonuçtur.
Sıkça Sorulan Sorular
Eski açık rıza metinleri hâlâ geçerli mi? Metnin kendisi geçersiz olmaz, ancak dayandığı hukuki çerçeve değişmiştir. 1 Haziran 2024 öncesinde alınmış ve "verilerin yurt dışına aktarılabilmesi için açık rızanız gereklidir" mantığıyla kurulmuş bir rıza, bugünkü m. 9 sıralamasını karşılamaz. Aktarım mekanizmasının yeniden belirlenmesi ve metinlerin buna göre güncellenmesi gerekir.
Çalışanlardan yurt dışı aktarım için açık rıza alınabilir mi? Alınabilir ancak dayanak olarak zayıftır. İşveren ile çalışan arasındaki bağımlılık ilişkisi, rızanın özgür iradeyle açıklanmış sayılmasını zorlaştırır. Bordro, İK sistemi veya grup içi aktarımlar gibi süreklilik arz eden akışlarda ayrıca arızilik şartı da karşılanmaz. Bu tür yapılarda standart sözleşme veya bağlayıcı şirket kuralları doğru araçtır.
Bulut hizmeti kullanmak için açık rıza yeterli mi? Hayır. Bulut hizmeti tanımı gereği süreklidir ve arızi sayılmaz. Sağlayıcı yurt dışında yerleşikse veya veriye yurt dışından erişiliyorsa, uygun güvence mekanizmalarından biri kurulmalıdır.
Açık rıza geri alınırsa aktarılmış veriler ne olur? Rızanın geri alınması ileriye etkilidir; yeni aktarım yapılamaz. Daha önce aktarılmış veriler bakımından ise m. 7 ve m. 11 devreye girer: işlenmesini gerektiren sebep ortadan kalktığından, ilgili kişi silinmesini veya yok edilmesini talep edebilir ve bu talebin aktarılan üçüncü kişilere bildirilmesini isteyebilir.
GDPR'da da açık rıza aynı şekilde mi sınırlı? Benzer ama aynı değil. GDPR m. 49(1)(a) da risk bilgilendirmesi arar ve istisnaların dar yorumlanmasını öngörür, ancak KVKK'daki gibi tüm istisnaları kapsayan genel bir arızilik şartı içermez. Her iki rejime tabi şirketler için pratik sonuç aynıdır: sürekli aktarımlarda rıza değil, uygun güvence kullanılmalıdır.
KVK ve GDPR Uyum Serisi
Bu yazı serisi ile Avrupa’da faaliyet göstermek isteyen Türkiye’de kurulu firmalara GDPR ve uyum hakkında bilgi vermek amaçlanmıştır.
1) Veri Sorumlusu mu Veri İşleyen mi?
2) Yurt Dışına Veri Aktarımı Nasıl Yapılır?
3) Veri İşleme Sözleşmesi (DPA) Nedir, Ne Zaman Yapılır?
4) Standart Sözleşme Hükümleri (SCC) Nedir?
5) KVKK İdari Para Cezaları 2026?
