13. Yurt dışına aktarım

Yurt dışı aktarımın değerlendirilmesi, yazılımın markasını veya sunucunun ilk konumunu öğrenmekle tamamlanmaz. Hangi kişisel verinin hangi aktörce kullanılabilir kılındığı ve bu ilişkinin nasıl sürdüğü belirlenmelidir. Bölüm önce aktarımın tespitini, ardından 2024 sonrası sistemde uygulanacak araçların birbirinden farkını ele almaktadır. Tek seferlik görünen işlemlerle sürekli hizmet ilişkileri, sonraki aktarımlar ve tarafların gerçek rolleri birlikte incelenmekte; GDPR karşılaştırmasının ayrı uygulanma koşulları korunmaktadır.

13.1. Aktarımın tespiti; uzaktan erişim, bulut, e-posta ve alt sağlayıcılar

Bir işletmenin kullandığı yazılımın yabancı bir şirkete ait olması, hangi kişisel verinin yurt dışına aktarıldığını tek başına göstermez. Önce veri akışını belirlemek gerekir: Veriyi kim işliyor, kime iletiyor veya kimin erişimine açıyor ve alıcı nerede bulunuyor? Yurt Dışı Aktarım Yönetmeliği’nin tanımı, Kanun kapsamındaki veri sorumlusu veya veri işleyen ile yurt dışındaki veri sorumlusu veya veri işleyen arasındaki bu ilişkiyi esas alır. Verinin gönderilmesi yanında başka biçimde erişilebilir kılınması da tanıma dâhildir.¹

Bu nedenle Türkiye’deki sunucuda tutulan kayda yurt dışındaki hizmet sağlayıcının erişmesi ayrıca değerlendirilmelidir. Kurum, destek, sorun giderme veya yönetim amacıyla yalnız ekrandan görüntülemeyi de rehberindeki üç ölçütün birlikte gerçekleşmesi koşuluyla aktarım kapsamında ele alır. Bunlar, aktaranın söz konusu işleme bakımından Kanun’a tabi olması, veriyi iletmesi veya erişilebilir kılması ve alıcının yurt dışında bulunmasıdır. Dosyanın indirilmemesi yahut ilk kaydın Türkiye’de kalması, erişime açılan veriyi kendiliğinden bu değerlendirmeden çıkarmaz.²

Bulut ve e-posta hizmetlerinde de hizmetin adıyla veri akışını birbirinden ayırmak gerekir. Bir Türkiye işletmesinin müşteri kaydını yurt dışındaki veri işleyene göndermesi, veri sorumlusundan işleyene aktarım olabilir; aynı kaydın yurt dışındaki bağımsız işletmeye e-posta ekiyle iletilmesinde alıcının rolü farklılaşır. Buna karşılık yabancı bir markanın yalnız lisansının satın alınmasından, bu iki aktörden birine kişisel veri iletildiği veya erişim açıldığı sonucu doğrudan çıkarılamaz. Yönetmelikteki tanımın somut olaya uygulanabilmesi için kayıt, erişim ve alıcı ilişkisinin gösterilmesi gerekir.³

Hizmetin ilk muhatabının Türkiye’de bulunması, sonraki hizmet zincirini inceleme gereğini ortadan kaldırmaz. Türkiye’deki veri işleyen, işlemenin bir bölümünü yurt dışındaki alt veri işleyene gördürdüğünde yeni bir aktarım ilişkisi doğabilir. Kurumun rehberi bu örneği açıkça ele alır. Dolayısıyla hizmet sözleşmesindeki ilk sağlayıcının adresiyle yetinmek yerine, kişisel verilerin hangi alt sağlayıcıya iletildiğini veya açıldığını da saptamak gerekir. Her bağlantıda aktaran ve alıcı, o işleme bakımından üstlendikleri role göre belirlenmelidir.⁴

Veri işleyenin bu zincirde aktaran olması, veri sorumlusunu sürecin dışına çıkarmaz. Yönetmeliğin 7. maddesi, işleyenin belirlenen amaç ve kapsam içinde, veri sorumlusunun adına ve talimatına uygun davranmasını; gerekli teknik ve idari tedbirleri almasını öngörür. Aynı hüküm, işleyenin aktarımının veri sorumlusunun sorumluluğunu ortadan kaldırmadığını da belirtir. Bu nedenle işleyene verilen bir hizmet talimatı ile aktarım rejiminin gerektirdiği usul ve güvenceler ayrı ayrı incelenmelidir.⁵

Aynı ekonomik grupta yer almak da farklı tüzel kişiler arasındaki sınırötesi paylaşımı kurum içi erişime dönüştürmez. Rehberde Türkiye’deki işverenin çalışan verilerini merkezi insan kaynakları veri tabanında saklamak üzere yurt dışındaki ana şirkete vermesi, açıklanan olgular altında aktarım sayılır. Bu örnekte ana şirket veri işleyendir. Örneğin sonucu, bütün ana şirketlerin her işlemde veri işleyen olduğu biçiminde genellenemez; amaç ve vasıtaları kimin belirlediği ayrıca araştırılır.⁶

İlgili kişinin kendi verisini doğrudan yabancı işletmeye vermesi ise başka bir sorudur. Kurum, Türkiye pazarını hedefleyen yabancı alışveriş sitesine ilgili kişinin doğrudan bilgi girmesiyle, bu işletmenin bilgiyi başka bir yurt dışı işleyene göndermesini ayırır. İlkinde veriyi ileten bir veri sorumlusu veya veri işleyen bulunmadığından aktarımın ilgili ölçütü gerçekleşmez; ikinci akış ayrıca değerlendirilir. Rehber, ilk toplamanın aktarım sayılmamasından işleme faaliyetinin Kanun’dan bütünüyle çıktığı sonucunu da çıkarmaz.⁷

Bir akışın aktarım olarak nitelenmesi, onun hukuka aykırı olduğu sonucuyla aynı şey değildir. Niteleme, 9. maddedeki aktarım şartlarının hangi işlem için araştırılacağını gösterir. Kaya’nın veri aktaran ve veri alıcısını sistemin temel aktörleri olarak ele alması bu sıralamayı anlamaya yardımcı olur. İlgili kişinin verisinin yabancı alıcıya ulaşmasına izin veren hukuki mekanizma, akış saptandıktan sonra seçilir; yurt içinde hukuka uygun işleme şartının bulunması da bu ikinci incelemeyi kendiliğinden karşılamaz.⁸

Öte yandan aktarımı kolaylaştıran aracın bulunması, verinin alıcı yanında korunması meselesini tüketmez. Kızılırmak, 2020 tarihli eleştirisinde rızanın tek başına yabancı ülkede koruma sağlamayacağını vurgulamıştır. Bu, eski rejime ilişkin bir öğreti değerlendirmesidir; bugünkü kuralların yerine geçirilemez. Bununla birlikte aktarıma izin verilmesi ile korumanın sürdürülmesini ayıran soru güncel sistemde de somut karşılığını bulur: Kanun’un 9. maddesi sonraki aktarımları da kapsamına alır. Bu sebeple ilk alıcıya giden kayıtla birlikte, ondan sonra kimlerin veriyi hangi koşullarda kullanabileceği de izlenmelidir.⁹

13.2. 2024 değişikliği, geçiş dönemi ve güncel kademeli sistem

2024 değişikliği, yurt dışına aktarımı yalnız rıza alınması etrafında kurulan bir uygulamadan, farklı koruma araçlarının kullanılabildiği bir yapıya taşımayı amaçlamıştır. Teklifin 34. madde gerekçesi, eski uygulamada taahhütname yolunun sınırlı işlemesini ve bunun bulut hizmetleri bakımından doğurduğu güçlükleri reformun nedenleri arasında gösterir. Bu açıklama, teklif dönemindeki yasama değerlendirmesidir. Yeni sistemin temel sorusu ise yalnız kişinin aktarımı kabul edip etmediği değil, aktarımın hangi araçla ve hangi güvencelerle gerçekleştirileceğidir.¹⁰

Zaman bakımından iki ayrı yürürlük tarihini ayırmak gerekir. 7499 sayılı Kanun’un 34. maddesiyle getirilen yeni 9. madde, 1 Haziran 2024’te yürürlüğe girmiştir. Aktarım Yönetmeliği ise 10 Temmuz 2024’te yayımlanarak aynı gün yürürlüğe girmiştir. Dolayısıyla kanuni değişikliğin başlangıcıyla yönetmeliğin yayımlanması aynı tarih değildir. Yönetmeliğin daha sonra çıkmış olması, yeni kanun hükmünün yürürlüğünü kendiliğinden o tarihe ertelememiştir.¹¹

Geçiş düzenlemesi de eski sistemin tamamını sürdürmemiştir. Kanun’a eklenen geçici 3. madde, değişiklikten önceki 9. maddenin yalnız birinci fıkrasının, yeni hükümle birlikte 1 Eylül 2024’e kadar uygulanmasını öngörmüştür. Gerekçe, değişiklikten önce alınmış veya geçiş döneminde alınacak açık rızalara dayanılarak üç ay daha aktarım yapılabilmesini açıklamaktadır. Bu süre, eski rıza hükmüne süresiz dayanma imkânı vermez. Geçiş sona erdikten sonraki aktarım, o sırada uygulanacak aktarım koşulları içinde değerlendirilir.¹²

Yeni düzenlemede işleme şartı ile sınırötesi aktarım aracı birbirinden ayrılır. Birinci ve dördüncü fıkralar, yeterlilik kararına veya uygun güvenceye dayanılabilmesi için 5. ve 6. maddelerdeki şartlardan birinin varlığını açıkça arar. Örneğin çalışan bilgisinin işlenmesi için bir hukuki yükümlülüğün bulunması, bu bilginin yabancı alıcıya gönderilmesinde hangi aktarım aracının kullanılacağını tek başına belirlemez. Tersinden, aktarım için uygun bir sözleşmenin bulunması da işleme amacına ve veri kategorisine uygun hukuki şartın araştırılmasını gereksiz kılmaz.¹³

Aktarım araçlarının sırası, birbirinden bağımsız ve serbestçe seçilebilen üç seçenek olarak okunmamalıdır. Önce ilgili ülke, ülke içindeki sektör veya uluslararası kuruluş bakımından yeterlilik kararı değerlendirilir. Böyle bir karar bulunmadığında uygun güvence yolları gündeme gelir. Yeterlilik kararının bulunmadığı ve uygun güvencenin sağlanamadığı durumda ise yalnız arızi aktarım için sayılmış istisnalar incelenebilir. Bu yapı, olağan bir veri akışını daha az yükümlülük doğuracağı düşüncesiyle doğrudan istisnaya yerleştirmeye elvermez.¹⁴

Uygun güvenceler de yalnız belgelerinin adları bakımından farklılaşmaz. Kanun, belirli kamu aktörleri arasındaki uluslararası sözleşme niteliğinde olmayan anlaşmayı, onaylı bağlayıcı şirket kurallarını, ilan edilen standart sözleşmeyi ve yeterli koruma içeren yazılı taahhütnameyi sayar. Bazı yollarda Kurulun aktarıma izni, bazılarında kuralların önceden onaylanması veya sözleşmenin bildirimi söz konusudur. Bunların bütününe aynı izin usulü uygulanıyormuş gibi davranılamaz. Ayrıca dördüncü fıkranın aradığı hakları kullanma ve etkili kanun yollarına başvurma imkânı, belge başlığından ayrı bir koşuldur.¹⁵

Açık rıza, yeni sistemden bütünüyle çıkarılmış değildir; fakat önceki hükümdeki konumuyla da sürdürülemez. Altıncı fıkrada, muhtemel riskler hakkında bilgilendirilmiş rıza, arızi aktarım istisnalarından biridir. İlgili kişinin onayı bulunduğu için düzenli bir yabancı hizmet akışını bu istisnaya yerleştirmek yeterli olmaz. Öte yandan açık rızanın 5. veya 6. madde bakımından işleme şartı olarak kullanılması başka, 9. maddenin altıncı fıkrası bakımından aktarım istisnasına dayanılması başkadır. Aynı kavramın iki yerde bulunması, bu iki incelemeyi birleştirmez.¹⁶

Arızi aktarımlarda genel işleme şartlarının yeri, metinler arasındaki farkın görülebildiği bir noktadır. Birinci ve dördüncü fıkralardaki 5. ve 6. madde göndermesi, altıncı fıkrada tekrarlanmamıştır. Kurumun rehberi, istisnai aktarımda bu şartların aranmayacağını açıkça belirtir. Ulu ise lafız farkını belirttikten sonra, amaç ve sistematik yorumla arızi aktarımda da genel işleme şartlarının aranması gerektiğini savunur. Bu, hükmün açıkça tekrarladığı bir koşul gibi değil, gerekçesi açıklanan bir öğreti görüşü olarak değerlendirilmelidir. Bu görüşün uygulamadaki karşılığı, istisnanın adıyla yetinmeyip somut verinin işlenme dayanağıyla ilişkisini de ortaya koymaktır.¹⁷

Kademeli incelemeden önce, somut aktarımı özel olarak düzenleyen başka bir kanun veya uluslararası sözleşme hükmü bulunup bulunmadığına da bakılır. Dokuzuncu ve onuncu fıkralardaki saklı tutma hükümleri, Kurumun rehberinde bu yönde açıklanmaktadır. Bunun anlamı, herhangi bir kanuni görevden bütün yurt dışı paylaşımlara izin çıkarılması değildir; dayanılan özel hükmün kişileri, verileri, amacı ve koşulları belirlenmelidir. Türkiye’nin veya ilgili kişinin menfaatinin ciddi zarar göreceği durumlara ilişkin görüş ve Kurul izni koşulu da ayrıca gözetilir. Genel sistem içinde seçilen araç bakımından da ilk aktarımın ardından korumanın sürdürülmesi gerekir; sekizinci fıkra sonraki aktarımları ayrıca kapsamına alır.¹⁸

13.3. Yeterlilik kararının kapsamı ve etkisi

Yeterlilik kararı, yabancı alıcının sunduğu bir güvenlik belgesinden farklıdır. Kanun, bu kararı verme yetkisini Kişisel Verileri Koruma Kuruluna tanır. Karar, bir ülkenin, o ülkedeki sektörün veya uluslararası kuruluşun koruma düzeyi hakkında verilebilir. Bu nedenle sağlayıcının sözleşmesinde ülkesini güvenli olarak tanımlaması ya da teknik tedbirlerini yeterli bulması, 9. maddenin birinci fıkrasında aranan Kurul kararının yerini tutmaz.¹⁹

Kararın konusu, somut aktarımın kapsamıyla eşleştirilmelidir. Bir ülkenin yalnız belirli bir sektörü için verilen kararın, aynı ülkedeki bütün alıcıları kapsadığı varsayılamaz. Teklif gerekçesindeki otomotiv sektörü örneği, bütün ülke yerine belirli bir sektör hakkında karar verilebilmesini açıklayan varsayımsal bir örnektir. Uygulamada belirleyici olan, böyle bir imkânın kanunda bulunmasından ayrı olarak, verilmiş kararın hangi alıcıları ve veri akışlarını kapsadığıdır.²⁰

Yeterlilik incelemesi, yabancı ülkede kişisel verileri koruyan bir kanunun bulunup bulunmadığıyla da sınırlı değildir. Kanun’un 9. maddesinin üçüncü fıkrası, mevzuat yanında onun uygulamasını, bağımsız ve etkin bir veri koruma kurumunu, idari ve adli başvuru yollarını dikkate alır. Kurumun rehberi de kuralların içeriğiyle etkili uygulanmalarını sağlayan sistemi birlikte değerlendirir. Böylece kâğıt üzerinde tanınmış bir hak ile kişinin bu hakkı kullanabilmesi arasındaki fark, yeterlilik incelemesinin içinde kalır.²¹

Kanundaki ölçütler, Kurulun öncelikle değerlendireceği hususlardır; düzenleme bunları kapalı bir liste olarak kurmamıştır. Karşılıklılık, ilgili mevzuat ve uygulama, denetim ve başvuru yolları, uluslararası sözleşmelere taraflık ve kuruluşlara üyelik birlikte ele alınır. Ulu, bu yapıyı bütüncül değerlendirmeyle açıklar; bir unsurun varlığının otomatik olumlu karar, eksikliğinin de her durumda kesin engel sayılmaması gerektiğini belirtir. Bu görüş, tek bir üyelik veya karşılıklılık verisinden doğrudan yeterlilik sonucu çıkarılmasını önleyen bir okuma sunar.²²

Kararın varlığını ve kapsamını öğrenmek için yayımlanmış metne başvurulur. Kanun, yeterlilik kararının Resmî Gazete’de yayımlanmasını; Yönetmelik ise ayrıca Kurumun internet sitesinde duyurulmasını öngörür. Kurumun “Yurt Dışına Aktarım” sayfasında, 23 Ekim 2026 tarihinde görülen ülkeler hakkındaki açıklama, henüz bir belirleme yapılmadığı yönündedir. Bu tarihli kurumsal bilgi, bir ülkenin somut aktarım bakımından yeterli sayıldığını gösteren karar yerine kullanılamaz. İlgili karar bulunmuyorsa uygun güvence yollarının incelenmesi gerekir.²³

Yeterlilik kararı sürekli olarak aynı koşullar altında varlığını koruyacağı varsayılan bir belge de değildir. Kanun, kararın en geç dört yılda bir değerlendirilmesini öngörür; Kurul gerekli gördüğünde bu süre dolmadan da kararını gözden geçirebilir. Bununla birlikte dört yıl, kararın kendiliğinden sona erdiği bir geçerlilik süresi olarak okunmamalıdır. Teklif gerekçesi, bu sürede değerlendirme yapılmamışsa kararın geçerliliğini koruyacağını açıklar; Kaya da bu ayrımı vurgular.²⁴

Gözden geçirme sonucunda karar ileriye etkili biçimde değiştirilebilir, askıya alınabilir veya kaldırılabilir. Yönetmelik, bu yöndeki kararların da Resmî Gazete’de ve Kurumun internet sitesinde yayımlanmasını öngörür. Dolayısıyla bir veri akışının yalnız başlangıcındaki durumu kaydetmek yeterli değildir. Aktarım sürerken dayanak kararın kapsamı veya etkisi değişmişse, devam eden akışın yeni duruma göre hangi hukuki araçla sürdürülebileceği ayrıca belirlenmelidir.²⁵

Yeterlilik değerlendirmesini hangi makamın yaptığı da bu incelemenin parçasıdır. Yabancı bir otoritenin aynı ülkeyi yeterli bulması, Türk hukukunda aranan Kurul kararını kendiliğinden oluşturmaz. Benzer biçimde Kurulun yeterlilik kararı bulunması da verinin hangi amaçla, hangi işleme şartına dayanılarak aktarıldığı sorusunu ortadan kaldırmaz. Karar, kendi kapsamındaki aktarımlar için belirli bir hukuki yolu açar; veri işleme faaliyetinin bütün koşullarını tek başına karşılamaz.²⁶

13.4. Uygun güvenceler: anlaşma, bağlayıcı şirket kuralları ve taahhütname

Uygun güvenceye dayanmak, tarafların aralarında veri paylaşımını kabul ettiklerini bildirmelerinden daha fazlasını gerektirir. Kanun’un 9. maddesinin dördüncü fıkrası, işleme şartı yanında ilgili kişinin aktarım ülkesinde haklarını kullanabilmesini ve etkili kanun yollarına başvurabilmesini arar. Bu çerçevede kullanılan anlaşma, bağlayıcı şirket kuralları veya taahhütname, korumayı somut ilişkinin içine yerleştirmelidir. Belgenin bulunması ile onun öngördüğü güvencelerin sağlanması aynı inceleme değildir.²⁷

Uluslararası sözleşme niteliğinde olmayan anlaşma yolu, belirli kamu aktörleri için düzenlenmiştir. Türkiye’deki kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarının, yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlarla yapacakları anlaşmalar bu kapsamdadır. Dolayısıyla her özel şirketin yabancı ortağıyla yaptığı sözleşme, bu bentteki anlaşma olarak kullanılamaz. Yönetmelik, müzakere sırasında Kurulun görüşüne başvurulmasını ve nihai anlaşmayla gerekli belgeler üzerinden aktarıma izin alınmasını öngörür; aktarım izin verildikten sonra başlar.²⁸

Kurumun yayımladığı bir uygulama örneği, Göç İdaresi Başkanlığı ile Birleşmiş Milletler Mülteciler Yüksek Komiserliği arasındaki anlaşmadır. Duyuruya göre Kurul, Yönetmeliğin 11. maddesi kapsamında değerlendirdiği bu anlaşmaya dayanan aktarıma 21 Ekim 2025’te izin vermiştir. Örnek, kamu kurumu ile uluslararası kuruluş arasındaki yolun somutlaşmasını gösterir. Buna karşılık izin açıklamasından, ilgili kurumların bütün veri akışlarının veya anlaşma dışındaki paylaşımlarının izin kapsamında olduğu sonucu çıkarılamaz; aktarılan veri ve amaç, ilgili iznin kapsamıyla eşleştirilmelidir.²⁹

Bağlayıcı şirket kuralları ise ortak ekonomik faaliyette bulunan teşebbüs grubu içindeki aktarımı düzenleyen bir araçtır. Grubun kişisel veriler için belirlediği kuralların Kurul tarafından onaylanması gerekir; yalnız şirket içinde ilan edilmiş bir gizlilik politikasıyla bu yola dayanılmaz. Yönetmelik, kuralların çalışanlar dâhil ilgili grup üyeleri bakımından hukuken bağlayıcı ve uygulanabilir olmasını, ilgili kişi haklarına yönelik taahhütleri ve belirlenen asgari içeriği birlikte arar. Aktarıma ancak onaydan sonra başlanabilir.³⁰

Kuralların bağlayıcılığı, organizasyonun kendi iç düzeniyle sınırlı düşünülmemelidir. Ulu, grup üyeleri ve çalışanlar bakımından bağlayıcılıkla ilgili kişinin haklarını kullanabilmesi bakımından bağlayıcılığı ayırır. Yönetmelik de Türkiye’de yerleşik olmayan üyenin ihlali için Türkiye’de yerleşik bir veri sorumlusu veya işleyenin sorumluluğu üstlenmesine ilişkin taahhüt arar. Böylece yabancı grup üyesinin kurala uymaması durumunda ilgili kişinin hangi aktöre başvurabileceği sorusu, kuralların içinde cevaplanmalıdır. Denetim, şikâyetlerin ele alınması, eğitim ve değişikliklerin bildirimi de aynı korumanın sürdürülmesine hizmet eder.³¹

Bu aracın uygulamada kullanılmasına ilişkin güncel bir örnek, Sosyo-Plus Bilgi Bilişim Teknolojileri Danışmanlık Hizmetleri A.Ş. başvurusudur. Kurum, sunulan bağlayıcı şirket kurallarının 9. maddenin dördüncü fıkrasının (b) bendi kapsamında 20 Mayıs 2026’da onaylandığını duyurmuştur. Bununla birlikte onay, gruptaki her işleme faaliyetinin bütün yönleriyle hukuka uygun bulunduğu anlamına gelmez. Kurumun rehberi, onaylanan kuralların güvence sağlama niteliğiyle her somut aktarımın şartlarının sağlanmasını açıkça ayırır.³²

Yazılı taahhütname yolunda da aktarım taraflarının birbirine sunduğu herhangi bir güvence beyanı yeterli değildir. Yönetmelik, taraflar arasında akdedilen metinde aktarımın amacı, kapsamı ve hukuki sebebi yanında aydınlatma, ilgili kişi hakları, güvenlik, özel nitelikli veriler için önlemler ve sonraki aktarım sınırlamalarına ilişkin hükümler bulunmasını öngörür. Veri aktaran, nihai taahhütname ve değerlendirme için gerekli belgelerle Kurula başvurur. İmzaların atılmasıyla izin başvurusu yapılması ayrı, Kurulun aktarıma izin vermesi ayrıdır; bu yola dayanan aktarım izin sonrasında başlar.³³

Taahhütname, güvencenin uygulanamadığı ihtimali de düzenlemelidir. Yönetmelik, aykırı ulusal düzenleme bulunmadığına ilişkin taahhütle muhtemel mevzuat değişikliklerinin bildirilmesini; uygunluk sağlanamamasında aktarımı askıya alma ve sözleşmeyi feshetme hakkını öngörür. Fesih veya sürenin sona ermesinde verinin yedekleriyle geri gönderilmesi yahut tamamen yok edilmesi de metnin konusudur. Türk hukukuna tabi olma ve veri alıcısının Türk mahkemelerinin yargı yetkisini kabul etmesine ilişkin düzenleme de aranır. Bu hükümler, ilişkinin yalnız kuruluşunu değil, devamını ve sona ermesini de koruma çerçevesine alır.³⁴

Hakların yabancı ülkede kullanılabilmesi şartı, bu araçların neden yalnız belge hazırlama işi olarak görülemeyeceğini açıklar. Kaya, aktarım ülkesindeki koşulların incelenmesini transfer etki analizine benzer bir değerlendirme olarak ele alır. Ulu ise bu değerlendirmenin nasıl yapılacağı konusunda veri aktaranları yönlendirecek açıklamaların önemini vurgular. Bunlar, kanundaki hak ve kanun yolu şartını somutlaştırmaya yönelik öğreti açıklamalarıdır. Yabancı hukukta geliştirilmiş belirli bir analiz yönteminin bütün ayrıntıları, bu görüşlerden hareketle doğrudan Türk kanununda açıkça yazılmış yükümlülükler gibi sunulmamalıdır.³⁵

13.5. Standart sözleşmeler: taraf rolleri, ekler, imza ve bildirim

Standart sözleşme seçimi, aktaranla alıcının somut işleme faaliyetindeki rollerine dayanır. Kurulun ilan ettiği dört model, aynı metnin farklı adlandırılmış nüshaları değildir; talimat, alt veri işleyen, güvenlik ve başvuru ilişkileri tarafların rollerine göre değişir. Bu nedenle bir hizmet sağlayıcının başka müşterileri için kullandığı metni almak yerine, önce aktarımın iki tarafının hangi sıfatla hareket ettiği belirlenmelidir. Modellerin ekleri de bu ayrımı izler.³⁶

Örneğin Türkiye’deki işletmenin müşteri kayıtlarını kendi adına hizmet veren yabancı bulut sağlayıcısına göndermesinde, açıklanan roller altında SS-2 gündeme gelir. Türkiye’deki veri işleyenin, veri sorumlusunun talimatıyla yabancı alt işleyene aktarmasında ise SS-3 incelenir. Buna karşılık Türkiye’deki işleyenin yabancı veri sorumlusuna veri iletmesi SS-4’ün konusudur. Bu son modelde alıcı, aktaranın talimatıyla çalışan işleyen değildir; talimat ilişkisi ters yöndedir. Aynı hizmet zincirinin bütün bağlantıları için tek rol ve tek model varsaymak bu farkı siler.³⁷

Metnin standart olması, tarafların aktarımın bütün ayrıntılarını müzakere edememesi anlamına gelmez; ancak bu müzakerenin ilan edilen hükümleri değiştirmesine izin verilmez. Seçimlik veya alternatif içerikli alanlarda tercih yapılması ile sabit hükme ekleme, çıkarma veya değişiklik yapılması ayrılmalıdır. Örneğin SS-2 ve SS-3, alt veri işleyenler için özel ya da genel yetkilendirme seçenekleri sunar. SS-2’de yetkilendiren veri aktaran iken SS-3’te veri sorumlusudur. Sözleşmeyi Kuruma bildirecek tarafın belirlenmesi de öngörülmüş bir tercihtir; bu hükmün metne alınmasının seçimlik olması, kanuni bildirim yükümlülüğünü seçimlik hâle getirmez.³⁸

Ekler, sözleşmenin ayrılmaz parçasıdır ve korumanın hangi akış için üstlenildiğini belirler. Ek I’e yalnız “müşteri verileri” veya “hizmetin yürütülmesi” yazılması, birbirinden farklı kişi grupları, veri kategorileri, amaçlar ve saklama sürelerini açıklamaya yetmeyebilir. İlgili alanlar; aktarımın sıklığı, işlemenin niteliği, özel nitelikli veriler ve hukuki sebep gibi unsurlarla somut faaliyete göre doldurulmalıdır. SS-1 ve SS-2’deki VERBİS alanı da kayıt yükümlülüğünün bulunması koşuluna bağlıdır. SS-4’te ayrı bir güvenlik eki bulunmamasından güvenlik yükümlülüğünün olmadığı sonucu çıkarılamaz; bu modelin esas metni de güvenlik tedbirlerini düzenler.³⁹

SS-4’ün farklılığı uygulanacak hukuk ve mahkeme hükümlerinde de görülür. İlk üç model Türk hukukunu ve Türk mahkemelerini gösterirken SS-4, üçüncü taraf yararlanıcı haklarını kabul eden ülke hukukunun ve uyuşmazlığı görecek ülke mahkemelerinin belirtilmesini ister. Dolayısıyla dört modelin tamamında aynı sabit hukuk ve mahkeme hükmü bulunduğu söylenemez. Ayrıca SS-4’ün üçüncü bölümü, aktaranın alıcıdan aldığı verileri Türkiye’den elde ettiği verilerle birleştirdiği durum için düzenlenmiştir. Bu özellikler modelin kendi uygulama alanıyla birlikte okunmalıdır; sözleşmedeki seçimin Kanun’un aktarım için aradığı hak ve etkili kanun yolu şartını bertaraf ettiği düşünülemez.⁴⁰

İlan edilen doğru metnin bulunması kadar, bu metinle kimin bağlandığı da önemlidir. Yönetmelik, sözleşmenin tarafları veya temsile ve imzaya yetkili kişiler tarafından imzalanmasını arar. İmza sahibinin adı, temsil ettiği taraf ve yetki belgesi arasında bağlantı kurulabilmelidir. Yabancı dilde de imza atıldığında Türkçe metin esas alınır. Kurum, iki dilli ve çift sütunlu metinlerde her iki tarafın imzasının Türkçe metnin yer aldığı sütunda bulunması gerektiğini ayrıca açıklamıştır. Yalnız yabancı dildeki metnin imzalanmasıyla bu uygulama beklentisinin karşılandığı varsayılmamalıdır.⁴¹

İmzaların farklı tarihlerde atılması, bildirim süresinin başlangıcını belirlemeyi gerektirir. Yönetmelik süreyi imzaların tamamlanmasına bağlar; tek tarafın önceki imza tarihiyle diğer tarafın daha sonraki imza tarihi aynı işlevi görmez. Kurumun açıklamasında bu nedenle her iki imza tarihinin de bulunması istenir. Aynı açıklama, imzalar henüz tamamlanmadan önceki bir tarihin yürürlük tarihi olarak gösterilmesini de uygun bulmaz. Standart sözleşmeye dayanacak aktarım için güvencenin kurulmuş olması gerekir; daha sonra imzalanan metne geçmiş bir tarih yazılması, önceki aktarımın hukuki dayanağını kendiliğinden oluşturmaz.⁴²

Sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilir. Taraflar bildirimi kimin yapacağını belirleyebilir; belirlememişlerse yükümlülük veri aktarana düşer. Buradaki muhatap Kurumdur ve işlem bir bildirimdir. Standart sözleşme yolunun ayrıca Kurul iznine bağlanmaması, bildirimden vazgeçilebileceği anlamına gelmediği gibi, bildirim yapılması da aktarımın bütün maddi şartlarının sağlandığını göstermez. Veri işleyen, bildirimle yükümlü olduğu durumda veri sorumlusunun talimatına gerek olmadan bildirimini yerine getirir; bu yetki, aktarıma ilişkin talimat ilişkisinin bütünüyle ortadan kalkması demek değildir.⁴³

Bildirim, fiziki olarak, KEP üzerinden veya Kurulun belirlediği diğer yöntemlerle yapılabilir. Kurumun 17 Ekim 2024 tarihli ve 2024/1793 sayılı kararı açıklayan duyurusu, internet üzerinden standart sözleşme bildirim modülünü de bu yollara ekler. Bildirime, imzalayanların yetkisini gösteren belgeler ve yabancı dildeki her belgenin noter onaylı Türkçe çevirisi eklenir. Yabancı resmî belgenin usulüne uygun tevsiki ise belgenin geldiği ülkeye ve uygulanabilir istisnalara göre ayrıca incelenir. Kurumun açıklamasındaki apostil ve tasdik esasları, noter onaylı çeviri yükümlülüğüyle aynı işlem değildir.⁴⁴

İmzanın hukuki niteliğiyle bildirim yükümlülüğünün ihlali de birbirinden ayrılmalıdır. Yücedağ ve Akkanat-Öztürk, imza şartının yalnız denetimi kolaylaştıran bir düzen hükmü olarak okunması ihtimalini tartıştıktan sonra, koruma amacı nedeniyle geçerlilik şartı olduğu görüşünü savunur. Bununla birlikte aynı yazarlar, Türk Borçlar Kanunu’ndaki adi yazılı şekil esaslarının bu alana uygulanmasını eleştirerek daha geniş bir elektronik şekil imkânını önerir. Bu öneri yürürlükteki kuralın değiştiğini göstermez. Yönetmeliğin geçersiz imza veya metin değişikliğinde incelemeye ilişkin hükmü ile Kanun’un süresinde bildirim yapılmamasına bağladığı idari yaptırım da her türlü eksikliği tek bir geçersizlik sonucu altında toplamaya elverişli değildir.⁴⁵

Bildirim usulünün aktarımı ne ölçüde kolaylaştırdığı ayrıca değerlendirilebilir. Kaya, bildirim yükümlülüğünün işlem maliyeti ve caydırıcılık yaratabileceği endişesini dile getirir. Ulu ise internet modülünü dikkate alarak bu endişelerin büyük ölçüde giderildiği görüşündedir. Bu iki değerlendirme, hukuki tasarımın uygulanabilirliği üzerine öğreti görüşleridir. Modülün kullanıma sunulduğunu gösteren resmî duyuru, tek başına fiilî maliyetin ne kadar düştüğünü veya bütün yabancı alıcıların sisteme aynı kolaylıkla uyabildiğini kanıtlamaz.⁴⁶

Sözleşme yönetimi ilk bildirimle sona ermez. Yönetmelik; taraflardaki, sözleşmede yer verilen bilgi ve açıklamalardaki değişikliklerin ve sona ermenin Kuruma bildirilmesini de öngörür. SS-2 ve SS-3’ün alt veri işleyen hükümleri, yetkilendirilmiş alt işleyen listesinin güncellenmesini ayrıca düzenler. İlk bildirim için açıkça belirlenen beş iş günlük süreyi, sonraki her bildirim bakımından aynı açıklıkta yazılmış bir hüküm gibi aktarmamak gerekir. Aktarımın yeni alıcılara uzanması ise yalnız eklerin güncellenmesi sorunu değildir; sonraki akışın hangi güvenceyle yürütülebileceği ayrıca incelenmelidir.⁴⁷

13.6. Arızi aktarımlar ve süreklilik gösteren veri akışları

Arızi aktarım, yeterlilik veya uygun güvence yolunun yerine her zaman seçilebilecek bir kolaylık değildir. Kanun’un 9. maddesinin altıncı fıkrası, yeterlilik kararının bulunmamasını ve uygun güvencelerden herhangi birinin sağlanamamasını birlikte esas alır; ayrıca aktarımın arızi olmasını ve sayılan hâllerden birine dayanmasını ister. Ulu, güvencelerin sağlanmasının mümkün olduğu durumda bu yola gidilmesi; bunun bütün çabalara rağmen mümkün olmadığı veya beklenmesinin makul olmadığı durumda istisnanın değerlendirilmesi gerektiğini savunur. Bu açıklama, sağlanamama şartını somutlaştıran bir öğreti yorumudur; sözleşme hazırlamak istememekle aynı şey değildir.⁴⁸

Yönetmeliğin tanımı, yalnız gönderim sayısına bakmaz. Aktarımın düzenli olmaması, bir veya birkaç defa gerçekleşmesi, süreklilik taşımaması ve olağan faaliyet akışının dışında kalması birlikte belirtilmiştir. Bu nedenle bir dosyanın tek seferde gönderilmesiyle, alıcının verilere devamlı erişebildiği bir sistemin kurulması aynı şekilde değerlendirilmez. Kurumun rehberi de veri tabanına doğrudan erişim iznini kural olarak düzenli ve sürekli aktarım örneği sayar. Bir erişimin az kullanılması, ona süreklilik kazandıran yetkinin varlığını kendiliğinden ortadan kaldırmaz.⁴⁹

Bu tanımın yerindeliği öğretide tartışılmıştır. Kaya, ölçütlerin “ve” yerine “veya” bağlacıyla düzenlenmesini önerir; olağan faaliyet dışında ortaya çıkabilecek aktarım için önceden belirli bir rıza alınmasının güçlüğünü de bu eleştirisine ekler. Öneri, şartların alternatif kabul edilmesine yöneliktir. Buna karşılık Yönetmelikteki mevcut bağlaç ve Kurumun dar yorum yaklaşımı farklıdır. Dolayısıyla tek ölçütün bulunmasını yeterli sayan yaklaşım, yürürlükteki metnin açık içeriğiyle özdeşleştirilmemelidir.⁵⁰

Sözleşmenin ifası için zorunluluk ile arızilik de ayrı sorulardır. Yabancı otelde konaklama düzenlemek için müşterinin bazı bilgilerinin iletilmesi, sözleşmenin amacıyla yakın bağlantı taşıyabilir. Ancak seyahat acentesinin olağan işi içinde düzenli olarak yaptığı bu aktarım, yalnız her rezervasyonun ayrı olması nedeniyle arızi hâle gelmez. Benzer şekilde bordro ve insan kaynakları hizmetlerinin yurt dışında yürütülmesinin işletmece tercih edilmesi, iş sözleşmesinin ancak bu aktarımla ifa edilebileceğini göstermez. Birinci örnekte arızilik, ikincisinde zorunluluk ve süreklilik ayrı ayrı incelenir.⁵¹

İlgili kişinin muhtemel riskler hakkında bilgilendirilerek açık rıza vermesi de arızilik şartına tabidir. Risk açıklaması, yalnız verinin yurt dışına gideceğini söylemekten daha fazla bilgi sağlamalıdır. Kurum, aktarım ülkesinde yeterlilik kararı ve uygun güvencelerin bulunmamasıyla bağlantılı risklerin aktarım öncesinde açıklanmasını ister; hakların veya denetim imkânının aynı düzeyde sağlanamayabilmesini örnek verir. Bu nedenle genel bir gizlilik metnindeki belirsiz yurt dışı paylaşım cümlesi, somut aktarım için riskleri açıklanmış rızanın yerine geçmez. Rıza alınması, sürekli bulut hizmeti gibi bir akışın arızi olduğu sonucunu da doğurmaz.⁵²

Sözleşmeye ilişkin iki istisnanın taraf yapısı farklıdır. Birinde ilgili kişi ile veri sorumlusu arasındaki sözleşmenin ifası veya ilgili kişinin istediği sözleşme öncesi tedbirler; diğerinde ilgili kişi yararına veri sorumlusu ile başka bir kişi arasında yapılacak sözleşmenin kurulması veya ifası söz konusudur. Her ikisinde de aktarımın zorunlu olması gerekir. Hangi sözleşmenin hangi edimi için hangi verinin yabancı alıcıya ulaşması gerektiği gösterilmelidir; gerekli olan iletişim bilgisinin yanında ilgisiz müşteri dosyasının da gönderilmesi bu gerekçeyle açıklanamaz. Kamu kurum ve kuruluşlarının kamu hukukuna tabi faaliyetlerinde ise bu iki sözleşme istisnası ve açık rıza istisnası uygulanmaz.⁵³

Üstün kamu yararı istisnası, aktarımın böyle bir yarar için zorunlu olmasını arar. Kurumun rehberi kamu sağlığı, suçun önlenmesi ve belirli denetim alanlarındaki iş birliğini olası bağlamlar olarak ele alır; kamu yararının bulunmasının büyük ölçekli ve sistematik aktarımı arızi hâle getirmediğini de belirtir. Bu açıklama bütün yabancı kamu makamı taleplerine kendiliğinden hukuki dayanak vermez. Talebin konusu, üstün kamu yararıyla bağlantısı, aktarımın zorunluluğu ve arızilik koşulu belirlenmelidir. Diğer kanun ve uluslararası sözleşme hükümleri bakımından yapılacak inceleme de saklıdır.⁵⁴

Bir hakkın tesisi, kullanılması veya korunması için zorunlu aktarımda da somut bağ aranır. Yurt dışındaki bir soruşturmada savunma için gerekli belgenin sunulması ile ileride herhangi bir uyuşmazlık çıkabileceği düşüncesiyle bütün dosyaların yabancı bir sisteme gönderilmesi aynı değildir. Kurum, soyut ve ihtimale bağlı gerekçenin kapsamı genişletemeyeceğini; kişisel veri aktarılmadan veya anonimleştirilmiş bilgiyle amaca ulaşılıp ulaşılamayacağının değerlendirilmesini vurgular. Hakla bağlantılı gerekli veriler ayrılmalı, konu dışı kişiler hakkındaki kayıtlar sırf aynı belgede bulunduğu için sınırsızca aktarılmamalıdır.⁵⁵

Hayat veya beden bütünlüğünü korumaya yönelik istisna, kişinin fiilî imkânsızlık nedeniyle rızasını açıklayamadığı yahut rızasına hukuki geçerlilik tanınmadığı durumu kapsar. Aktarım, bu kişinin veya bir başkasının hayatını ya da beden bütünlüğünü korumak için zorunlu olmalıdır. Örneğin yurt dışındaki acil müdahale için sağlık kaydının iletilmesi bu koşullar altında incelenebilir. Buna karşılık sağlıkla ilgili her araştırma veya hizmetin aynı gerekçeye sokulması mümkün değildir; rıza açıklayamama ve zorunluluk, aktörün işini kolaylaştıran varsayımlar yerine somut olay üzerinden belirlenmelidir.⁵⁶

Sicilden aktarım istisnası da genel bir meşru menfaat dayanağı değildir. Kanun, kamuya veya meşru menfaati bulunan kişilere açık bir sicili, erişim için ilgili mevzuattaki koşulları ve meşru menfaati olan kişinin talebini esas alır. Yönetmelik ayrıca aktarımın sicildeki verilerin veya veri kategorilerinin tamamını içerecek biçimde yapılmasını yasaklar; erişimi menfaat şartına bağlı sicillerde alıcı ve talep ilişkisini sınırlar. Bu yol, kamuya açık internette bulunan her kişisel veriyi veya sicilin bütünüyle yabancı alıcıya kopyalanmasını kapsayan bir izin olarak okunamaz.⁵⁷

Arızilik değerlendirmesi, aktarımın amacı ve işleyişiyle birlikte yapılmalıdır. Yalnız toplam veri miktarının düşük olması veya tek bir ilgili kişiye ait kayıt bulunması, düzenli bir hizmet bağlantısını istisnaya dönüştürmez. Uygulamada hangi bentteki şartın gerçekleştiğinin, aktarımın neden gerekli olduğunun ve olağan akıştan nasıl ayrıldığının açıklanabilir olması bu ayrımın denetlenmesini kolaylaştırır. Bu değerlendirme, her arızi aktarım için standart sözleşmedeki beş iş günlük bildirim usulünün uygulanması demek değildir. Kurumun rehberi bu istisnalar için genel izin, onay veya bildirim yükümlülüğü öngörülmediğini; Türkiye’nin veya ilgili kişinin menfaatinin ciddi zarar göreceği durumlara ilişkin özel izin hükmünün saklı olduğunu belirtir.⁵⁸

13.7. Sonraki aktarımlar, sözleşme yönetimi ve ilgili kişi güvenceleri

Verinin ilk yabancı alıcıya hukuka uygun biçimde ulaşması, ondan sonraki akışların denetimini sona erdirmez. Kanun’un 9. maddesinin sekizinci fıkrası, sonraki aktarımlarda ve uluslararası kuruluşlara aktarımlarda da kanuni güvencelerin sağlanmasını ve aynı madde hükümlerinin uygulanmasını ister. Bu nedenle ilk aktarım aracı seçilirken alıcının veriyi kendi bünyesinde mi kullanacağı, başka bir işleyene mi vereceği, farklı amaçla hareket eden bir alıcıya mı ileteceği araştırılmalıdır. İlk sözleşmenin kapsamı, sonraki her alıcıyı kendiliğinden kapsayan genel bir izin değildir.⁵⁹

Sonraki alıcının ilk alıcıyla aynı yabancı ülkede bulunması da inceleme gereğini ortadan kaldırmaz. SS-1, SS-2 ve SS-3’ün sonraki aktarım hükümleri, hem aynı ülkedeki hem başka ülkedeki üçüncü tarafa iletimi açıkça ele alır. Örneğin yabancı bulut sağlayıcısının kayıtları aynı ülkedeki bağımsız destek şirketine açması, sırf ülke sınırı yeniden aşılmadığı için sözleşme bakımından önemsiz sayılamaz. Yeni alıcının rolü, eriştiği veri, amacı ve bu bağlantıya uygulanacak güvence belirlenmelidir.⁶⁰

Modeller, sonraki aktarım için aynı seçenekleri sunmaz. SS-2’de veri aktaranın, SS-3’te ise aktaran tarafından iletildiği biçimiyle veri sorumlusunun talimatı aranır. Bu modeller yeterlilik, uygun güvence, belirli idari veya yargısal süreçlerde hak için zorunluluk ve hayat yahut beden bütünlüğünü korumak için zorunluluk yollarını sayar. SS-1 bunlara, diğer yolların bulunmamasında belirli açıklama ve bildirim koşullarıyla ilgili kişinin açık rızasını ekler. Bu ek seçeneğin bütün modellere taşınması mümkün değildir; Kanun’a uygun yorum şartı ve sonraki aktarımda da 9. maddenin uygulanacağı kuralı karşısında, rızadan sürekli hizmet zinciri için sınırsız bir muafiyet de çıkarılamaz.⁶¹

Alt veri işleyenin kullanılması, yetkilendirmeyle birlikte sözleşmesel güvence de gerektirir. SS-2 ve SS-3, devredilen işleme faaliyeti için alt işleyenle yazılı sözleşme yapılmasını ve bu sözleşmenin, ilgili kişilere üçüncü taraf yararlanıcı hakları tanınması dâhil, asgari olarak modeldeki güvenceleri içermesini arar. Aynı hükümler bu sözleşmenin yapılmasına sonraki aktarım yükümlülüğü bakımından bir sonuç da bağlar. Dolayısıyla alt işleyenin adının listeye yazılması yeterli değildir; buna karşılık her alt işleyen bağlantısında mutlaka ilk taraflar arasındaki sözleşmenin aynısının yeniden imzalanması gerektiği de bu hükümlerin yerine geçirilemez.⁶²

Sözleşme yönetimi, verilen güvenlik ve uyum taahhütlerinin izlenmesini içerir. SS-2 ve SS-3’te alıcının işleme faaliyetine ilişkin bilgi, belge ve kayıt tutması, uyumu gösterecek belgeleri sağlaması ve öngörülen denetimlere destek olması düzenlenmiştir. Güvenlik tedbirlerinin uygun düzeyi sağlamaya devam edip etmediği de düzenli kontrollerin konusudur. Bu nedenle başlangıçta alınan güvenlik beyanıyla yetinmek yerine, hizmetteki veya alt sağlayıcılardaki değişikliğin güvenceyi nasıl etkilediği değerlendirilmelidir. Eklerin ve bildirimlerin güncellenmesi bu değerlendirmenin belgesel tarafıdır; fiilen uyum sağlanmasının yerine geçmez.⁶³

Alıcının tabi olduğu hukuk veya kamu makamlarının erişimi de ilişkinin devamında önem kazanır. SS-2 ve SS-3, taahhütlerin yerine getirilmesini etkileyebilecek mevzuat veya uygulama değişikliklerinin aktarana derhâl bildirilmesini öngörür. İdari veya adli makam talebi yahut bu makamların doğrudan erişiminden haberdar olunması da bildirim konusudur; SS-3’te aktaran bu bilgiyi veri sorumlusuna iletir. Metinler, talebin veya erişimin niteliğine göre askıya alma ya da fesih hakkı tanır. Böylece her talebi aynı sonuçla karşılamak yerine, güvencenin sürdürülmesine etkisi incelenir. SS-4’ün ilgili bölümüne ilişkin özel uygulama koşulu ise gözden kaçırılmamalıdır.⁶⁴

Uygunluğun sağlanamadığı durumda yalnız yeni bir açıklama istemekle yetinilmez. SS-2 ve SS-3, alıcının sözleşmeyi ihlal etmesi veya uygunluk sağlayamaması hâlinde, uygunluk yeniden sağlanıncaya yahut sözleşme sona erdirilinceye kadar aktarımın askıya alınmasını öngörür. Askıdan sonra uygunluğun makul sürede ve her durumda bir ay içinde sağlanamaması ise düzenlenen fesih sebeplerinden biridir. Bu bir aylık süre, aykırılık bilinmesine rağmen aktarıma devam edilebilecek genel bir bekleme süresi olarak okunmamalıdır.⁶⁵

İşleme ilişkisinin veya sözleşmenin sona ermesi, verinin akıbetini belirlemeyi gerektirir. SS-2 ve SS-3, ilgili hâllerde aktaranın tercihine göre verilerin yedekleriyle geri gönderilmesini veya tamamen yok edilmesini; yok etmenin belgelendirilmesini düzenler. Alıcı ülke mevzuatının bunu engellemesi ihtimalinde de koruma tümüyle bırakılmaz: sözleşmeye uyumun sürdürülmesi, gizlilik tedbirlerinin alınması ve işlemenin mevzuatın gerektirdiği ölçü ve süreyle sınırlanması taahhüt edilir. Bu düzenleme, yabancı bir saklama yükümlülüğü ileri sürülmesini bütün verileri her amaçla kullanmaya devam etme iznine dönüştürmez.⁶⁶

İlgili kişi, bu sözleşmelerin yalnız dışarıdan etkilediği biri değildir. Modellerin üçüncü taraf yararlanıcı hükümleri, belirtilen istisnalar dışında sözleşmesel hakların taraflara karşı ileri sürülmesini sağlar. Ancak her hükmün ilgili kişi tarafından doğrudan talep edilebildiği söylenemez; modellerin 3. maddesindeki istisnalar ayrıca okunmalıdır. Örneğin taraflar arasındaki bazı belgeleme ve organizasyon yükümlülükleriyle ilgili kişiye tanınan başvuru hakkının işlevi aynı değildir. Sözleşmenin ticari tarafları arasında bulunmayan ilgili kişi için somut hak arama imkânı kurulması, bu güvencenin temel işlevlerinden biridir.⁶⁷

Başvuruyu kimin sonuçlandıracağı taraf rolüne göre değişir. SS-1’de veri alıcısı, gerektiğinde aktarandan yardım alarak ilgili kişinin soru ve taleplerine en geç otuz gün içinde cevap verir. SS-2 ve SS-3’te alıcı işleyenin görevi ise talebi öngörülen muhataba iletmek ve veri sorumlusunun cevap yükümlülüğüne yardım etmektir; gerekli yetki verilmedikçe talebi kendisi sonuçlandırmaz. Bu nedenle başvuru zinciri, ilgili kişiyi birbirine yönlendiren belirsiz bir düzen olarak bırakılmamalı; talebi alacak irtibat noktasıyla sonuçlandıracak aktörün görevleri açıklanmalıdır.⁶⁸

İlgili kişinin güvencenin içeriğini öğrenebilmesi de hak kullanımını destekler. SS-2 ve SS-3, doldurulmuş ekler dâhil sözleşme nüshasının talep üzerine ücretsiz sağlanmasını öngörür. Ticari sırlar veya diğer gizli bilgileri korumak için gerekli bazı kısımlar çıkarılabilse de bu imkân, metnin anlaşılmasını ve hakların kullanılmasını engelleyen genel bir gizlilik gerekçesi değildir; belirtilen durumda anlamlı bir özet sunulur. Üçüncü taraf yararlanıcı hakları için açıklanan başvuru ve uyuşmazlık yolları da ilgili kişinin yürürlükteki mevzuattan doğan diğer haklarını ortadan kaldırmaz.⁶⁹

Zararın giderilmesine ilişkin hükümler de taraflar arasındaki hizmet sorumluluğundan ayrı ele alınmalıdır. SS-2 ve SS-3, üçüncü taraf yararlanıcı haklarının ihlalinden kaynaklanan maddi veya manevi zarar bakımından ilgili kişinin başvurabileceği sorumluları gösterir; her iki tarafın sorumlu olduğu durumda müteselsil sorumluluk öngörür. Taraflar arasındaki kusura göre rücu ilişkisi, ilgili kişinin hangi tarafa başvurabileceği sorusuyla aynı değildir. Alıcının alt veri işleyenin kusurunu ileri sürerek sorumluluktan kurtulamaması da zincirin uzamasının ilgili kişi için kendiliğinden bir başvuru boşluğu yaratmasını önlemeye yöneliktir.⁷⁰

13.8. GDPR aktarım rejimiyle karşılaştırma ve iki rejimin birlikte uygulanması

Türk aktarım rejimi ile GDPR’nin aktarım hükümleri aynı veri akışında birlikte önem kazanabilir. Bunun için önce her düzenlemenin o işleme bakımından uygulanıp uygulanmadığı belirlenmelidir. GDPR’nin 3. maddesi, Birlikteki bir kuruluşun faaliyetleri bağlamındaki işlemeyi; ayrıca belirtilen şartlarla Birlikte bulunan kişilere mal veya hizmet sunulmasına yahut davranışlarının izlenmesine bağlı işlemeyi kapsar. Bu nedenle Türkiye’deki bir işletmenin bütün işlemleri için tek bir “GDPR’ye tabidir” veya “tabi değildir” cevabı yeterli olmayabilir. İlgili kişinin yalnız vatandaşlığı da bu incelemenin yerine geçmez.⁷¹

GDPR’ye tabi olma ile üçüncü ülkeye aktarımın oluşması farklı sorulardır. Avrupa Veri Koruma Kurulu, aktarımı belirlemek için üç ölçütü birlikte kullanır: aktaranın ilgili işleme bakımından GDPR’ye tabi olması, veriyi başka bir sorumlu veya işleyene iletmesi ya da erişilebilir kılması ve alıcının üçüncü ülkede veya uluslararası kuruluş niteliğinde bulunması. Bu açıklamaya göre alıcının da aynı işleme için GDPR’ye tabi olması, üçüncü ülke konumunu etkisizleştirmez. Veri üzerinde GDPR korumasının bulunması, Bölüm V’teki aktarım incelemesini kendiliğinden ortadan kaldırmaz.⁷²

Örneğin Birlikteki tüketicilere hizmet sunan Türkiye işletmesinin, bu kişilerin sipariş bilgilerini doğrudan toplaması ile sonra yabancı bulut işleyenine açması ayrı değerlendirilir. Avrupa Veri Koruma Kurulunun örneklerinde ilk akış, veriyi gönderen ayrı bir sorumlu veya işleyen bulunmadığı için aktarım sayılmaz; ikinci akışta ise böyle bir aktör ve yabancı alıcı ilişkisi vardır. Türkiye işletmesi bakımından ikinci akış aynı zamanda Türk Kanunu’nun uygulanma alanındaysa, iki aktarım rejiminin şartları ayrı ayrı araştırılmalıdır. İlk toplama için aktarım hükmünün uygulanmaması, sonraki hizmet zincirinin de kapsam dışında kaldığını göstermez.⁷³

İki sistemin yeterlilik, uygun güvence ve istisna araçlarını kullanması, araçların birbirinin yerine geçmesi anlamına gelmez. Kararı veren makam, kullanılabilecek hukuki araçlar ve bunların usulleri kendi düzenlemelerinden doğar. Özellikle bir sözleşmenin veri korumaya ilişkin genel hükümler içermesiyle, ilgili rejimde tanınmış aktarım aracını oluşturması ayrılmalıdır. Karşılaştırmada bazı temel farklar şöyledir.⁷⁴

Yeterlilik kararları bu ayrımı özellikle görünür kılar. Komisyonun bir ülke veya sektör için verdiği karar, GDPR kapsamındaki ilgili akış için sonuç doğurur. Türk Kanunu’nun 9. maddesi ise Kurulun kararını esas alır. Bu nedenle “alıcı AB bakımından yeterli koruma bulunan ülkede” bilgisi, Türkiye’den aktarımın Türk hukukundaki aracını tek başına belirlemez. Ters yönde de Türk hukukuna göre sağlanan güvence, GDPR’nin uygulanabildiği bir akışta onun şartlarının yerine geldiği sonucunu kendiliğinden doğurmaz.⁷⁵

2021/914 sayılı AB standart sözleşme kararının kendi kapsamı da kontrol edilmelidir. Kararın 1. maddesi, GDPR’ye tabi işlemeyi gerçekleştiren aktarandan, ilgili işlemesi GDPR’ye tabi olmayan alıcıya aktarımı esas alır. Buna karşılık alıcının da GDPR’ye tabi olduğu durumda bir aktarımın yine de oluşabilmesi, bu modelin mutlaka kullanılabileceği anlamına gelmez. Avrupa Veri Koruma Kurulu ve Komisyonun açıklamaları, aktarımın varlığı ile belirli sözleşme aracının kapsamını açıkça ayırır. Sözleşmenin adında “GDPR” yazması bu iki soruya birden cevap vermez.⁷⁶

AB modelindeki modüler yapı ve sonradan katılım imkânı, çok taraflı hizmet ilişkilerinin kurulmasını kolaylaştırabilir. Ancak katılım, yeni tarafın geçmiş dönem için de hak ve yükümlülük kazanmasını sağlamaz; model bunu açıkça dışlar. Türk modellerine aynı katılım hükmünün bulunuyormuş gibi uygulanması veya sabit metne kendiliğinden eklenmesi ise Türk metninin değişmezliği şartıyla birlikte değerlendirilmelidir. Ulu’nun iki model yapısı arasındaki farka işaret etmesi bu bakımdan anlamlıdır. Benzer rol adları, aynı sözleşme kurma tekniği demek değildir.⁷⁷

Sözleşmeyle sağlanan korumanın yabancı hukuk karşısında etkili olup olmayacağı AB hukukunda da merkezi bir sorudur. AB Adalet Divanı, Schrems II kararında standart hükümlerin üçüncü ülkenin kamu makamlarını bağlayamayacağını; ülkenin koşullarına göre ek önlemlerin gerekebileceğini açıklar. Yeterli ek koruma sağlanamıyorsa aktarımın askıya alınması veya sona erdirilmesi gerekir. Bu yaklaşım, “standart metin imzalandıysa başka inceleme kalmaz” düşüncesini reddeder. Kararın bu gerekçesi AB aktarım standardına ilişkindir; doğrudan Türk makamının verdiği bir karar gibi kullanılamaz.⁷⁸

2021/914 modelinin 14. hükmü, değerlendirmeyi aktarımın somut koşulları, alıcı ülkenin ilgili hukuk ve uygulaması ile tamamlayıcı sözleşmesel, teknik veya organizasyonel önlemler üzerinden ayrıntılandırır. Değerlendirme belgelenir ve istenirse yetkili denetim makamına sunulur. Sözleşme boyunca koşulların değişmesi ve yeterli güvencenin sürdürülememesi de düzenlenmiştir. Türk hukukunda ise 9. maddenin hak ve etkili kanun yolu şartı ile Türk modellerinin ulusal hukuk ve kamu erişimi hükümleri kendi metinlerinden hareketle uygulanır. AB modelindeki ayrıntılı değerlendirme çerçevesi karşılaştırmaya yardım eder; bütün ayrıntılarının Türk kanununda aynı ifadelerle yer aldığı varsayılmamalıdır.⁷⁹

Kamu makamı taleplerinde de metinlerin ayrıntı düzeyi önem taşır. AB modelinin 15. hükmü, bildirimin yanında talebin hukuka uygunluğunun incelenmesini, belirlenen şartlarda talebe karşı başvurulmasını, bu işlemlerin belgelenmesini ve mümkün olan en az bilginin açıklanmasını düzenler. Bildirim yasağıyla karşılaşılması hâlinde yapılacak çabalar da ayrıca belirtilir. Türk modellerindeki bildirim, askıya alma ve fesih hükümleri bu karşılaştırmada ayrı okunmalıdır. Bir yabancı makamın veriyi istediği bilgisi, hangi rejimin hangi koşulda açıklamaya izin verdiğini tek başına cevaplamaz.⁸⁰

İstisna hükümleri de bütünüyle aynı değildir. Türk Kanunu, 9. maddenin altıncı fıkrasındaki hâllerin tamamı için arıziliği açıkça genel şart olarak yazar. GDPR’nin 49. maddesinde ise sayılan özel durumların ardından, diğer yolların kullanılamadığı hâllere özgü ve sıkı koşullara bağlı, veri sorumlusunun zorlayıcı meşru menfaatine dayanan ayrıca bir yol yer alır. Bu son yol; tekrarlanmama, sınırlı sayıda ilgili kişi, değerlendirme ve uygun güvenceler yanında denetim makamını ve ilgili kişiyi bilgilendirmeyi de gerektirir. Aynı yol Türk 9. maddesinde düzenlenmemiştir. Bu nedenle AB metninden alınan bir meşru menfaat değerlendirmesiyle Türk hukukundaki aktarım şartlarına yeni bir bent eklenemez.⁸¹

Birlikte uygulamada yapılacak iş, aynı belgenin iki farklı adı taşımasını sağlamak değildir. Önce hangi akışın hangi düzenlemeye tabi olduğu, ardından her rejimde hangi aktarım aracının kullanılabildiği belirlenmelidir. Taraflar, veri kategorileri, amaçlar ve alıcı zinciri aynı olgulara dayanırken, hukuki dayanak ve usuller farklı kalabilir. Örneğin iki sözleşme setinin birlikte kullanıldığı bir hizmette eklerin farklı alıcılar veya saklama süreleri göstermesi, belge sayısını artırarak çözülmüş bir uyum değil, araştırılması gereken bir kapsam uyuşmazlığıdır. Korumanın devamı, bu belgelerle fiilî işlemenin birbirini karşılamasına bağlıdır.⁸²

İçindekiler · Ayrıntılı kitap planı