Kişisel Verilerin Korunması · Çevrimiçi kitap
Ek F — Yurt dışı aktarımda rol, araç ve bildirim kontrolü
Geliştirilmekte olan metin Son düzenleme:
Bir bulut hizmeti seçilirken önce verinin gerçek akışı anlaşılmalıdır. Kurgusal Örnek Atölye’nin kayıt hizmetini Türkiye’deki altyapıda tuttuğu, fakat bağımsız bir yabancı destek şirketine belirli kayda uzaktan erişim açmayı planladığı varsayılsın. İnceleme, sunucunun ilk konumuna bakılarak tamamlanamaz. Hizmetin ticari adı yerine hangi aktörün hangi veriye, hangi amaçla erişeceği saptanmalıdır.
| Aşama | Kurgusal akışta kaydedilecek cevap | Hukuki kontrol |
|---|---|---|
| Aktaran ve alıcı | Atölye ile yurt dışında bulunan destek şirketi | Aktaranın ilgili işleme bakımından Kanun’a tabi olması; veriyi alıcıya iletme/erişilebilir kılma ve alıcının yurt dışında bulunması birlikte incelenir |
| İşlem ve veri | Yalnız belirli katılım sorununa ilişkin gerekli kayıt | Tam müşteri veritabanına erişim ihtiyacı varsayılmaz |
| Taraf rolleri | Destek yalnız talimatla yürütülüyorsa adına işleme; bağımsız başka amaç varsa ayrıca rol incelemesi | Sözleşme etiketi yerine gerçek faaliyet |
| İşleme şartı | Sorunun çözülmesinin katılım sözleşmesi için doğrudan gerekliliği | 5 veya 6’daki şart, aktarım güvencesinden ayrı |
| Yeterlilik | Ülke/sektör/kuruluş yönünden geçerli karar ve kapsam araştırılır | Yabancı ülke adı veya GDPR uygunluk beyanı yeterlilik kararı yerine geçmez |
| Uygun güvence | Yeterlilik yoksa uygulanabilir 9/4 aracı ve hakların kullanılabilirliği belirlenir | Anlaşma, bağlayıcı şirket kuralı, standart sözleşme ve taahhütname aynı koşullara bağlı değildir |
| Arızi istisna | Devamlı destek hizmeti için sırf her oturum ayrı diye kullanılmaz | 9/6’daki arızilik ve ilgili özel hâl birlikte gerekir |
| Sonraki aktarım | Desteğin başka sağlayıcıya açılması ve ek konumlar kaydedilir | İlk alıcıda inceleme sona ermez |
| Başlama kararı | Gerçek araç ve şartlar belirlenmeden dış erişim açılmaz | Bu örnek belirli ülke veya hizmet için uygunluk onayı değildir |
Yeterlilik ile uygun güvence arasında seçimin gerekçesi yazılmalıdır. Standart sözleşme kullanılıyorsa doğru taraf rolleriyle Kurulun ilan ettiği metin seçilir; veri, kişi, amaç, süre ve tedbir ekleri gerçek akışla doldurulur. Sağlayıcının genel hizmet koşullarını kabul etmek, tek başına bu güvenceyi kurmaz. İmzalanan standart sözleşme beş iş günü içinde Kuruma bildirilir.1
İmza öncesi ve sonrası dosya
| Dosyada izlenecek unsur | Örnekte anlamı |
|---|---|
| Taraf ve imza yetkisi | Hizmeti sunan gerçek tüzel kişi ve yetkili imzacı; marka adıyla yetinmeme |
| Metin ve ekler | Seçilen resmî tip ve doldurulan veri/işlem/tedbir kapsamı; hizmetle ilgisiz ekleri kopyalamama |
| İmza tarihi ve bildirim | Son imzanın ve uygulanabilir bildirim başlangıcının belgelenmesi; beş iş günü takibi |
| Hakların kullanılması | Hangi aktörün kaydı bulacağı, düzeltme ve imhaya nasıl yardım edeceği |
| Değişiklik ve sonlandırma | Yeni alıcı, alt hizmet, erişim amacı ve kopyaların akıbeti; yeni şart ve bildirim ihtiyacının kontrolü |
Tablo, uygulanabilir yönetmelik ve standart sözleşmedeki ayrıntıların yerine geçen bir resmî kontrol formu değildir. Bildirimin yapılması da diğer aktarım koşullarındaki eksikliği düzeltmez. Kamu kurumlarının kamu hukukuna tabi faaliyetleri söz konusuysa 9/6-a,b,c bakımından 7. fıkradaki özel sınır ayrıca gözetilmelidir. Kurumlar arası anlaşma veya taahhütname için gerekli Kurul izni ile standart sözleşmenin bildirimi aynı işlem değildir.2
7499 m.34 ile değişik 6698 m.9, özellikle 9/1,4–8 ve 40; Kurum, Kişisel Verilerin Yurt Dışına Aktarılması Rehberi, Ocak 2025, s.13,16 ve 19 resmî PDF. Genel rejim 13. bölümde; bu ek yeni bir resmî standart sözleşme üretmemektedir. ↩
Değişik 6698 m.9/4–8; standart sözleşme ve bildirim ayrıntıları 13.5–13.7. Hak/aktarım denetimi açısından sözleşmenin güncel resmî tipi ve uygulanabilir ikincil hükümler somut işlem tarihinde kontrol edilmelidir. ↩