Türkiye'de faaliyet gösteren ve verisini yurt dışındaki merkezine, bulut sağlayıcısına veya grup şirketine aktaran her işletme, 2 Mart 2024 tarihli 7499 sayılı Kanun'dan sonra farklı bir rejime tabidir. Kişisel Verilerin Korunması Kanunu'nun 9. maddesi tamamen yeniden yazıldı; 18. maddeye yeni bir ceza bendi eklendi ve cezalara karşı gidilecek mahkeme değişti.
Bu yazı, değişikliğin operasyonel karşılığını anlatıyor: hangi kademede olduğunuz, hangi bildirimi kaç günde yapmanız gerektiği, ve ceza gelirse nereye başvuracağınız.
Aktarımın üç kademesi
m.9, yurt dışına aktarımı bir hiyerarşi hâlinde kurar. Her kademeye ancak bir üsttekinin yokluğunda inilir.
Birinci kademe: yeterlilik kararı
m.9/1: kişisel veriler, m.5 ve m.6'daki şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması hâlinde, veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.
m.9/2: yeterlilik kararı Kurul tarafından verilir ve Resmî Gazete'de yayımlanır. Kurul ihtiyaç hâlinde ilgili kurum ve kuruluşların görüşünü alır. ⏱ Karar en geç dört yılda bir değerlendirilir; Kurul değerlendirme sonucunda veya gerekli gördüğü diğer hâllerde kararı ileriye etkili olmak üzere değiştirebilir, askıya alabilir veya kaldırabilir.
Bu son cümle bir süreklilik riskidir: bugün yeterlilik kararına dayanan bir aktarım, kararın askıya alınması veya kaldırılmasıyla dayanaksız kalabilir.
m.9/3, yeterlilik kararı verilirken öncelikle dikkate alınacak hususları sayar: aktarım yapılacak ülke ile Türkiye arasındaki karşılıklılık durumu, o ülkenin ilgili mevzuatı ve uygulaması, bağımsız ve etkin bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının bulunması, ülkenin veya kuruluşun kişisel verilerin korunmasıyla ilgili uluslararası sözleşmelere taraf ya da uluslararası kuruluşlara üye olma durumu, Türkiye'nin üye olduğu küresel veya bölgesel kuruluşlara üyelik, ve Türkiye'nin taraf olduğu uluslararası sözleşmeler.
İkinci kademe: uygun güvenceler
m.9/4: yeterlilik kararının bulunmaması durumunda; m.5 ve m.6'daki şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, aşağıdaki uygun güvencelerden birinin taraflarca sağlanması hâlinde aktarım yapılabilir:
- (a) Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye'deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan, uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi,
- (b) Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına ilişkin hükümler içeren ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı,
- (c) Kurul tarafından ilan edilen; veri kategorileri, aktarımın amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları içeren standart sözleşmenin varlığı,
- (ç) Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.
🔑 İki güvence Kurul iznine bağlıdır ((a) ve (ç)), biri Kurul onayına ((b) bağlayıcı şirket kuralları), biri ise izne bağlı değildir ((c) standart sözleşme). Standart sözleşmenin uygulamada tercih edilmesinin sebebi budur — ama karşılığında bir bildirim yükümlülüğü getirir.
🔴 Standart sözleşmede beş iş günü
m.9/5: "Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir."
Bu, 2024 değişikliğinin en kolay kaçırılan operasyonel yükümlülüğüdür — ve aşağıda görüleceği gibi kendi ceza bendine sahiptir.
Üçüncü kademe: arızi hâller
m.9/6: veri sorumluları ve veri işleyenler, yeterlilik kararının bulunmaması ve dördüncü fıkradaki uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak kaydıyla sadece maddede sayılan hâllerden birinin varlığı hâlinde aktarım yapabilir. Bunların başında ilgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla aktarıma açık rıza vermesi ve aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası ya da ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması gelir.
⚠ "Arızi olmak kaydıyla" ibaresi belirleyicidir: bu kademe düzenli, sistematik veri akışları için bir dayanak değildir. Sürekli aktarım yapan bir yapı, açık rızaya dayanarak bu kademede kalamaz.
| Kademe | Dayanak | Kurul katılımı |
|---|---|---|
| 1 | Yeterlilik kararı (m.9/1-3) | Kurul verir, RG'de yayımlanır, 4 yılda bir gözden geçirilir |
| 2 | Uluslararası anlaşma (a) | Kurul izni |
| 2 | Bağlayıcı şirket kuralları (b) | Kurul onayı |
| 2 | Standart sözleşme (c) | İzin yok — ama 5 iş günü içinde bildirim |
| 2 | Taahhütname (ç) | Kurul izni |
| 3 | Arızi hâller (m.9/6) | — (yalnız arızi aktarım) |
Geçiş: 1 Eylül 2024
Geçici Madde 3/1 (7499 ile eklenmiştir): m.9'un değiştirilmeden önceki birinci fıkrası, maddenin yürürlüğe giren değişik hâliyle birlikte 1/9/2024 tarihine kadar uygulanmaya devam olunur.
Yani eski ve yeni rejim bir süre birlikte işledi; 1 Eylül 2024'ten sonra yalnızca yeni m.9 uygulanır. Bu tarihten önce kurulmuş aktarım yapılarının yeni kademelerden birine oturtulmuş olması gerekir.
Cezalar — ve yeni eklenen bent
m.18/1 kabahatleri ve idari para cezası aralıklarını sayar:
| Aykırılık | Dayanak | İdari para cezası |
|---|---|---|
| Aydınlatma yükümlülüğü | m.10 | 5.000 – 100.000 TL |
| Veri güvenliği yükümlülükleri | m.12 | 15.000 – 1.000.000 TL |
| Kurul kararlarını yerine getirmeme | m.15 | 25.000 – 1.000.000 TL |
| VERBİS kayıt ve bildirim | m.16 | 20.000 – 1.000.000 TL |
| 🔴 Standart sözleşme bildirimi (2024'te eklendi) | m.9/5 | 50.000 – 1.000.000 TL |
⚠ Bu tutarlar Kanun metnindeki tutarlardır. İdari para cezaları, 5326 sayılı Kabahatler Kanunu'nun 17. maddesinin yedinci fıkrası uyarınca her takvim yılı başından geçerli olmak üzere yeniden değerleme oranında artırılarak uygulanır; cari yıl tutarı bu nedenle metindeki tutardan yüksektir ve ayrıca teyit edilmelidir.
🔑 Kim sorumlu (m.18/2, 2024'te değiştirildi): (a), (b), (c) ve (ç) bentlerindeki cezalar veri sorumlusu hakkında; (d) bendindeki ceza ise veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.
Bu, veri işleyeni doğrudan idari para cezasının muhatabı hâline getiren ilk düzenlemedir. Hizmet sağlayıcı konumundaki şirketler için sözleşmesel sorumluluğun ötesinde doğrudan bir kamusal yükümlülük doğar.
m.18/4: birinci fıkradaki eylemler kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenirse, Kurulun bildirimi üzerine ilgili görevliler hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir.
Değişen dava yolu: artık idare mahkemesi
🔴 m.18/3 (2024'te eklenmiştir): "Kurulca verilen idari para cezalarına karşı, idare mahkemelerinde dava açılabilir."
Bu, dosyanın gideceği mahkemeyi değiştiren yapısal bir değişikliktir. Geçici Madde 3/2 geçiş kuralını verir: "1/6/2024 tarihi itibarıyla sulh ceza hâkimliklerinde görülmekte olan başvurular, bu hâkimliklerce görülmeye devam olunur."
Yani 1 Haziran 2024'te sulh ceza hâkimliğinde derdest olan dosyalar orada kalır; yeni cezalara karşı ise idare mahkemesi yoluna gidilir. Ceza tebliğ edildiğinde ilk belirlenmesi gereken şey, dosyanın hangi rejime düştüğüdür.
İlgili kişinin yolu: 30 gün, sonra 30 ve 60 gün
Şikâyet mekanizması iki basamaklıdır ve sırası atlanamaz.
Veri sorumlusuna başvuru (m.13/2): veri sorumlusu, başvurudaki talepleri talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırır. İşlem ayrıca bir maliyet gerektiriyorsa Kurulca belirlenen tarifedeki ücret alınabilir.
Kurula şikâyet (m.14/1): başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâllerinde ilgili kişi; veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir.
🔑 m.14/2: "13 üncü madde uyarınca başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz." Doğrudan Kurula yapılan şikâyet, önce veri sorumlusuna başvurulmadıysa bu engelle karşılaşır.
m.14/3: kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır. İdari süreç, tazminat yolunu kapatmaz.
Veri ihlali bildirimi: Kanun ne diyor
m.12/5: "İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir."
⚠ Kanun metni burada bir saat veya gün sayısı vermez; ölçüt "en kısa süre"dir. Uygulamadaki sayısal süre Kurul'un kendi kararlarından gelir; bu nedenle bildirim takvimi kurgulanırken kanun metni değil, Kurul'un yürürlükteki kararı esas alınmalıdır.
Grup şirketleri arasındaki veri akışlarında bağlayıcı şirket kuralları gündeme gelir; hâkimiyet ilişkisi ve grup içi yükümlülükler için şirketler topluluğunda hâkimiyet ve bildirim yazımıza bakınız. Türkiye'de yatırım yapan yabancı şirketlerin genel hukuki güvenceleri için yabancı yatırımcının kanuni güvenceleri yazımız ilgilidir.
Bu dosyayı nasıl açıyoruz
İlk çıktımız bir görüşme değil, yazılı bir hukuki değerlendirmedir. Bize şunları gönderirsiniz: yurt dışına aktarılan veri kategorileri ve alıcı ülkeler, aktarımın hangi dayanağa oturduğu (yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları, taahhütname veya açık rıza), imzalanmış standart sözleşmeler ve imza tarihleri, VERBİS kayıt durumunuz, aydınlatma metinleriniz, veri işleyenlerle sözleşmeleriniz, ve ceza tebliğ edildiyse karar ile tebliğ tarihi.
Karşılığında kapsamı önceden belirlenmiş bir çalışma alırsınız: her aktarım akışının m.9'daki hangi kademeye düştüğü ve o kademenin şartlarının fiilen sağlanıp sağlanmadığı, standart sözleşme imzalanmışsa beş iş günlük bildirimin yapılıp yapılmadığı ve yapılmadıysa m.18/1-d riski, düzenli aktarımların arızi hâllere dayandırılıp dayandırılmadığı, veri işleyen konumundaysanız 2024 değişikliğiyle doğrudan muhatap hâline geldiğiniz ceza bendi, ve ceza tebliğ edilmişse dosyanın idare mahkemesi yoluna mı yoksa Geçici m.3/2 kapsamında sulh ceza hâkimliğine mi düştüğü.
Ücretsiz danışma vermiyoruz. Bu dosya türünde ilk saat satış değil aktarım envanterinin çıkarılmasıdır; hangi kademede olduğunuz belirlenmeden ceza riskinin büyüklüğü hesaplanamaz.
Sınırımızı açıkça yazalım: sonucu önceden taahhüt etmiyoruz. Kanun, yeterlilik kararlarının Kurulca askıya alınabileceğini veya kaldırılabileceğini (m.9/2) açıkça öngörmektedir; bugün geçerli bir dayanak, ileride tek başına yeterli olmayabilir.
