Standart Sözleşme Hükümleri (SCC) Nedir?
Standart sözleşme hükümleri, Avrupa Komisyonu'nun kabul ettiği ve GDPR m. 46(2)(c) uyarınca üçüncü ülkelere yapılan aktarımlarda uygun güvence sağlayan hazır sözleşme metinleridir. Yürürlükteki set, 4 Haziran 2021 tarihli ve 2021/914 sayılı Komisyon Uygulama Kararı'yla kabul edilmiştir ve dört modül içerir.
Modül seçimi tarafların tercihine bırakılmış değildir. Veri ihracatçısının ve veri ithalatçısının fiilî rolleri hangi modülün kullanılacağını belirler. Yanlış modül, sözleşmeyi imzalanmış ama işlevsiz bir belgeye dönüştürür.
SCC hangi hükme dayanır?
GDPR m. 46(2)(c), Komisyon tarafından kabul edilen standart veri koruma hükümlerini uygun güvence araçları arasında sayar. 2021/914 sayılı karar, Direktif döneminde kabul edilmiş 2001/497, 2004/915 ve 2010/87 sayılı eski setlerin yerini almıştır. Yenileme iki gerekçeye dayanır: metinlerin GDPR'a uyarlanması ve Adalet Divanı'nın Schrems II kararının gereklerinin karşılanması.
Karar aynı gün kabul edilen 2021/915 sayılı kararla karıştırılmamalıdır. İkincisi, m. 28 kapsamındaki veri sorumlusu-veri işleyen ilişkisi içindir ve aktarım güvencesi sağlamaz.
Bir sınır da vardır: SCC yalnızca ithalatçının işleme faaliyeti GDPR kapsamına girmediği ölçüde kullanılabilir. İthalatçı m. 3(2) uyarınca zaten GDPR'a tabiyse, aynı Tüzüğe tabi bir tarafa Tüzük yükümlülüklerini sözleşmeyle yüklemenin anlamı kalmaz.
Dört modül ve seçim mantığı
Seçim iki soruyla yapılır: ihracatçı hangi sıfatla hareket ediyor, ithalatçı hangi sıfatla alıyor.
Modül 1: Veri sorumlusundan veri sorumlusuna. Her iki taraf da kendi amacını izliyorsa kullanılır. Bu modülde ithalatçı, aktarılan veri üzerinde bağımsız karar yetkisine sahiptir; bu nedenle modül, amaç sınırlaması, şeffaflık, doğruluk ve veri minimizasyonu, saklama sınırlaması, işleme güvenliği, özel nitelikli veriler, sonraki aktarımlar, ithalatçının yetkisi altında işleme, ve belgeleme ile uyum başlıklarında bağımsız güvenceler içerir.
Modül 2: Veri sorumlusundan veri işleyene. En sık kullanılan modüldür. Avrupa'daki bir şirketin üçüncü ülkedeki bir hizmet sağlayıcıyla çalıştığı tipik senaryoyu karşılar. Bu modül, m. 28 yükümlülüklerini de bünyesinde taşır; dolayısıyla ayrıca 2021/915 imzalanmasına gerek kalmaz.
Modül 3: Veri işleyenden veri işleyene. Avrupa'daki bir işleyenin, veri sorumlusunun izniyle üçüncü ülkedeki bir alt işleyeni devreye soktuğu hâlde kullanılır. Zincirin ikinci halkasında koruma seviyesinin düşmemesini sağlar.
Modül 4: Veri işleyenden veri sorumlusuna. En az kullanılan ve en çok atlanan modüldür. Avrupa'daki bir işleyenin, üçüncü ülkedeki veri sorumlusuna veri döndürdüğü hâlleri karşılar.
Modül seçiminin önkoşulu, tarafların rollerinin doğru tespit edilmiş olmasıdır. Rol tespiti hatalıysa modül seçimi de hatalı olur ve hata sözleşmenin tamamına yayılır.
SCC'yi bağlayıcı kılan iki unsur
Metnin işlevini iki hüküm taşır.
Birincisi üçüncü kişi lehine şart: ilgili kişi, sözleşmenin tarafı olmadığı hâlde hükümleri hem ihracatçıya hem ithalatçıya karşı ileri sürebilir. Bu olmadan sözleşme, ilgili kişi bakımından icra edilebilir bir koruma üretmez.
İkincisi yetki kabulü: veri ithalatçısı, uyuşmazlık hâlinde ihracatçının denetim otoritesinin ve mahkemelerinin yetkisini kabul eder. Koruma zincirini üçüncü ülkeye kadar uzatan mekanizma budur.
Taraflar SCC'yi daha geniş bir sözleşmenin içine yerleştirebilir ve ek hükümler ya da ek güvenceler ekleyebilir. Tek şart, eklenenlerin standart hükümlerle doğrudan veya dolaylı olarak çelişmemesi ve ilgili kişinin temel haklarını zayıflatmamasıdır. Ayrıca metindeki bağlanma hükmü (docking clause), sonradan katılacak tarafların mevcut sözleşmeye eklenmesine imkân verir; grup yapılarında yeni bir iştirak devreye girdiğinde sözleşmeyi baştan kurmayı gereksiz kılar.
İmzalamak neden yetmiyor?
Schrems II kararı SCC'lerin geçerliliğini korudu, ancak bunları otomatik bir güvence olmaktan çıkardı. Kararın 134. paragrafı, hedef ülkenin hukukunun yeterli korumayı sağlayıp sağlamadığını vaka bazında doğrulama yükünü doğrudan veri sorumlusuna ya da işleyene yükler. 142. paragraf, doğrulamanın aktarımdan önce yapılmasını ve ithalatçının hükümlere uyamayacağını bildirmesi hâlinde ihracatçının aktarımı askıya almasını ya da sözleşmeyi sonlandırmasını zorunlu kılar.
Avrupa Veri Koruma Kurulu bu yükümlülüğü altı adımlı bir metodolojiye dönüştürdü: aktarımlarınızı bilin, dayandığınız aracı belirleyin, aracın somut koşullarda etkili olup olmadığını değerlendirin, gerekiyorsa tamamlayıcı önlemler alın, usul adımlarını tamamlayın ve uygun aralıklarla yeniden değerlendirin.
Pratik sonuç şudur: değerlendirme yapılmadan imzalanmış bir SCC, uyumun kendisi değil uyumsuzluğun belgesidir. Bu değerlendirme, aktarım etki değerlendirmesi (TIA) olarak adlandırılır ve ayrı bir incelemeyi hak eder.
Türkiye'den yapılan aktarımda hangi metin kullanılır?
Burada iki ayrı rejim ve iki ayrı belge seti devreye girer. Karışıklığın kaynağı, her iki setin de "standart sözleşme" adını taşımasıdır.
KVKK m. 9, 7499 sayılı Kanun'un 34. maddesiyle değiştirilerek 1 Haziran 2024'te yürürlüğe girdi. m. 9(4)(c), Kurul tarafından ilan edilen standart sözleşmeyi uygun güvence yöntemlerinden biri olarak sayar. Kurul, 4 Haziran 2024 tarihli ve 2024/959 sayılı kararıyla dört ayrı standart sözleşme metnini kabul etti: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. Metinlerin İngilizce çevirileri de Kurum tarafından yayımlanmıştır.
Yapı, Komisyon'un dört modülüyle bilinçli olarak paraleldir. Ancak belgeler ayrıdır ve birbirinin yerine geçmez:
Türkiye'den yurt dışına aktarımda KVKK m. 9(4)(c) uygun güvencesi için Kurul metni gerekir.
Avrupa Ekonomik Alanı'ndan Türkiye'ye aktarımda GDPR Bölüm V dayanağı için Komisyon metni gerekir. Türkiye, GDPR bakımından üçüncü ülkedir ve Avrupa Komisyonu'nun Türkiye için verilmiş bir yeterlilik kararı bulunmamaktadır.
İki yönlü veri akışı bulunan yapılarda her iki setin de imzalanması gerekir. Türkiye'de yerleşik bir şirketin Avrupa'daki bir müşterisinden veri alıp bunu Amerika'daki bir bulut sağlayıcısına aktardığı tipik senaryoda, iki ayrı sözleşme zinciri kurulmalıdır.
GDPR ile KVKK arasındaki fark
Yapısal benzerliğe rağmen dört esaslı ayrışma vardır.
Bildirim yükümlülüğü. KVKK m. 9(5), standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesini zorunlu kılar. GDPR'da SCC'nin herhangi bir otoriteye bildirilmesi gerekmez. Bildirim yapılmaması m. 18(1)(d) uyarınca idari para cezasına tabidir ve bu ceza, Kanun'daki cezalar arasında veri işleyene de uygulanabilen tek cezadır (m. 18(2)). Türkiye'de hizmet veren bir veri işleyen açısından bu, doğrudan ve kişisel bir risktir.
Aktarım öncesi değerlendirme. Schrems II'den doğan TIA yükümlülüğünün KVKK m. 9'da açık bir karşılığı yoktur. Kanun, m. 9(4)'ün girişinde ilgili kişinin hedef ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunmasını arar; bu, işlevsel olarak benzer bir değerlendirmeyi gerektirse de Avrupa'daki kadar ayrıntılı bir metodolojiye bağlanmamıştır.
Modül esnekliği. Komisyon metni, SCC'nin daha geniş bir sözleşmeye yerleştirilmesine ve çelişmemek kaydıyla ek hükümler eklenmesine açıkça izin verir; bağlanma hükmüyle sonradan taraf katılımını da düzenler. Kurul metinlerinin bu esnekliğe ne ölçüde izin verdiği Yönetmelik üzerinden ayrıca değerlendirilmelidir.
Yeterlilik kararı ölçütü. KVKK m. 9(3)(a), Kurul'un yeterlilik kararı verirken hedef ülkeyle Türkiye arasındaki karşılıklılık durumunu öncelikle dikkate almasını öngörür. GDPR m. 45(2)'de böyle bir ölçüt yoktur; Komisyon'un testi temel hak odaklıdır. Karşılıklılık hukuki değil diplomatik bir ölçüttür ve iki rejimin yeterlilik anlayışını ayıran en belirgin farktır.
Sıkça Sorulan Sorular
Yanlış modül imzalanırsa ne olur? Sözleşme, taraflar arasında geçerli olmaya devam eder ancak GDPR m. 46 anlamında uygun güvence sağlamaz. Aktarım dayanaksız hâle gelir ve m. 83(5) uyarınca üst kademe idari para cezası riski doğar. Modül 2 gerekirken Modül 1 imzalanması en sık görülen hatadır.
Eski SCC metinleri hâlâ kullanılabilir mi? Hayır. 2001, 2004 ve 2010 tarihli setler yürürlükten kaldırılmıştır ve geçiş süreleri sona ermiştir. Yalnızca 2021/914 sayılı karar ekindeki metinler geçerlidir.
SCC metnine değişiklik yapılabilir mi? Standart hükümlerin kendisi değiştirilemez. Ancak metin daha geniş bir sözleşmeye yerleştirilebilir, ek hükümler ve ek güvenceler eklenebilir; şart, bunların standart hükümlerle doğrudan veya dolaylı olarak çelişmemesidir. Eklerin (taraflar, aktarım tanımı, teknik önlemler) doldurulması ise zorunludur.
Bulut sağlayıcının kendi SCC'sini imzalamak yeterli mi? Büyük sağlayıcıların veri işleme eklerinde Modül 2 metni genellikle yer alır. Kontrol edilmesi gereken üç nokta vardır: doğru modülün seçilmiş olması, eklerin somut olarak doldurulmuş olması ve alt işleyici listesinin güncel tutulacağının taahhüt edilmiş olması. Boş bırakılmış ekler, imzalanmış bir SCC'yi işlevsizleştirir.
Kurul'un standart sözleşmesi Avrupa'ya yapılan aktarımda kullanılabilir mi? Hayır. Kurul metni, Türkiye'den yurt dışına yapılan aktarımlar için KVKK m. 9(4) uygun güvencesidir. Avrupa Ekonomik Alanı'ndan Türkiye'ye yapılan aktarım GDPR Bölüm V'e tabidir ve Komisyon'un 2021/914 sayılı kararındaki metni gerektirir. İki yönlü veri akışında her iki setin de imzalanması gerekir.
KVK ve GDPR Uyum Serisi
Bu yazı serisi ile Avrupa’da faaliyet göstermek isteyen Türkiye’de kurulu firmalara GDPR ve uyum hakkında bilgi vermek amaçlanmıştır.
1) Veri Sorumlusu mu Veri İşleyen mi?
2) Yurt Dışına Veri Aktarımı Nasıl Yapılır?
3) Veri İşleme Sözleşmesi (DPA) Nedir, Ne Zaman Yapılır?
4) Standart Sözleşme Hükümleri (SCC) Nedir?
5) KVKK İdari Para Cezaları 2026?
