2024 yılında yürürlüğe giren 7499 sayılı Kanun, kişisel verilerin yurt dışına aktarılmasına ilişkin KVKK’nın 9. maddesini Avrupa Birliği modeline yaklaştıran kapsamlı bir değişiklik getirdi.
Üç kademeli yapı
Yeterlilik kararı: Kurul’un yeterli koruma bulunduğuna karar verdiği ülkelere, sektörlere veya uluslararası kuruluşlara, işleme şartlarından birinin varlığı halinde aktarım yapılabilir.
Uygun güvenceler: Yeterlilik kararı yoksa; bağlayıcı şirket kuralları, Kurul’un ilan ettiği standart sözleşme veya taahhütname gibi güvencelerle aktarım mümkündür. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kurul’a bildirilmelidir.
Arızi aktarım: Bu iki yolun bulunmadığı hallerde, ilgili kişinin açık rızası gibi sınırlı sayıda istisnai durumda ve arızi nitelikte aktarım yapılabilir.
Açık rıza, artık düzenli ve tekrar eden aktarımlar için bir dayanak değildir.
Şirketler ne yapmalı?
Bulut, e-posta, CRM ve yazılım hizmet sağlayıcılarınızın verileri hangi ülkelerde işlediğini belirleyin; bu aktarımlar için standart sözleşme imzalayıp süresinde bildirimde bulunun ve aydınlatma metinlerinizi güncelleyin.
İlgili mevzuat
- 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 9 (7499 sayılı Kanun ile değişik)
- Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki danışmanlık niteliği taşımaz. Somut durumunuz için bir avukata danışmanızı öneririz.
