İhracatta KVKK ve Yurt Dışına Veri Paylaşımı Kuralları

Açık rıza artık yeterli değil

1 Eylül 2024'e kadar açık rızaya dayalı aktarımlara geçiş süresi tanınmıştı; bu tarihten sonra açık rıza, yurt dışına veri aktarımı için tek başına kullanılabilecek bir yöntem değil. Kanun değişikliğiyle birlikte üç temel alternatif mekanizma getirildi: yeterlilik kararına dayalı aktarım, uygun güvencelere dayalı aktarım (standart sözleşme veya bağlayıcı şirket kuralları) ve arızi hallere dayalı aktarım.

Kişisel Verileri Koruma Kurumu'nun şimdiye kadar hiçbir ülke veya sektör için yeterlilik kararı vermediği belirtiliyor; bu da pratikte ihracat firmalarının büyük çoğunluğu için 'uygun güvenceler' yolunun (özellikle standart sözleşme) asıl kullanılabilir mekanizma olduğu anlamına geliyor.

Standart Sözleşme ve Bağlayıcı Şirket Kuralları Nedir?

KVKK'nın yayımladığı standart sözleşme metinleri, veri aktaran (Türkiye'deki firma) ile veri alan (yurt dışındaki acente, distribütör veya grup şirketi) arasında imzalanıp KVKK'ya bildirilir. Yurt dışında yerleşik grup şirketlerine yapılan aktarımlarda, bağlayıcı şirket kuralları (BŞK) alternatif olarak kullanılabiliyor, ama KVKK'nın yayımladığı Rehber'de bugüne kadar yapılan BŞK başvurularının eksiklik nedeniyle kabul edilmediği not ediliyor — bu da BŞK sürecinin pratikte daha zorlu olduğunu gösteriyor.

Standart sözleşme imzalandıktan sonra KVKK'ya bildirim yapılması gerekiyor; sözleşme süresi dolduğunda veya feshedildiğinde de Kurum'a bilgi verilmesi öneriliyor. Taahhütnameye dayalı aktarımda ise önce KVKK'ya başvuru yapılıp onay alınması, aktarımın ancak onay sonrası başlatılması gerekiyor.

Direct Collection İstisnası Nedir?

Yurt dışındaki bir veri sorumlusunun, veriyi doğrudan ilgili kişiden toplaması (örneğin yurt dışındaki bir alıcının kendi web formunuza bilgi girmesi) ve bu veriyi başka üçüncü kişilerle paylaşmaması durumunda, bu işlem KVKK'nın yurt dışı aktarım kurallarına tabi değil. Ancak bu veri sonradan yurt dışındaki başka bir üçüncü kişiye aktarılacaksa, o aktarım için uygun güvencelerin sağlanması gerekiyor.

İhracat Firması İçin Hangi Pratik Adımlar Atılmalı?

Yurt dışına veri aktarımı yapılan tüm tedarikçi, acente ve grup şirketlerinin güncel bir envanterinin çıkarılması, her biriyle standart sözleşmenin imzalanıp imzalanmadığının kontrol edilmesi ve gerekli bildirimlerin KVKK'ya yapılması, bu yeni rejimde atılması gereken ilk adımlar. Bu süreç, özellikle birden fazla ülkede acente/distribütör ağı olan ihracat firmaları için tek seferlik değil, düzenli takip gerektiren bir uyum çalışmasıdır.

Uyumsuzluğun Olası Sonuçları Nelerdir?

KVKK, yurt dışına veri aktarımı kurallarına uyulmaması durumunda idari para cezası uygulayabiliyor; cezanın büyüklüğü ihlalin niteliğine ve kapsamına göre değişiyor, ama asıl risk çoğu zaman cezanın kendisinden değil, itibar kaybından ve iş ortaklarıyla (özellikle veri koruma konusunda hassas Avrupalı alıcılarla) güven ilişkisinin zedelenmesinden geliyor. Avrupalı bir alıcı, tedarikçisinin veri koruma uyumunu tedarikçi değerlendirme sürecinin bir parçası olarak sorgulayabiliyor; bu noktada düzenlenmiş bir KVKK uyum dosyası, ek bir güven unsuru olarak işlev görebiliyor.

Uyum çalışmasının sorumluluğu genelde tek bir kişiye (veri koruma sorumlusu veya bu rolü üstlenen bir yönetici) verilmeli; dağınık ve sahipsiz bir sorumluluk alanı, zamanla ihmal edilme riskini artırıyor.

İhracat firmalarının günlük işinde en çok karşılaştığı senaryolar

Bir ihracat firması için en yaygın yurt dışı veri aktarım senaryoları şunlardır: yurt dışındaki acenteye alıcı/müşteri iletişim bilgilerinin gönderilmesi, yurt dışında kurulu bir grup şirketine personel bordro/özlük verisinin aktarılması ve bulut tabanlı bir ERP/CRM yazılımının sunucularının yurt dışında olması. Üçüncü senaryo özellikle gözden kaçırılıyor; kullanılan yazılımın veri merkezinin nerede olduğunu bilmeden, firma fark etmeden sürekli bir yurt dışı aktarım yapıyor olabilir.

Bu nedenle, firmanın kullandığı tüm dijital araçların (e-posta pazarlama yazılımı, CRM, muhasebe/ERP, hatta bazı B2B pazaryeri entegrasyonları) veri işleme ve saklama lokasyonlarının bir kez gözden geçirilmesi, hangi noktalarda uygun güvence mekanizmasına ihtiyaç olduğunu netleştirir. Bu konuda belirsizlik yaşanan durumlarda bir KVKK danışmanından veya hukuk danışmanından görüş almak, özellikle kişisel veri hacmi yüksek firmalar için makul bir yatırımdır.

Pratik Uyum Adımları

İhracat sürecinde yurt dışındaki alıcı, forwarder veya banka ile paylaşılan kişisel veriler (örneğin yetkili kişi iletişim bilgileri) KVKK kapsamına girer; bu verilerin yurt dışına aktarımında KVKK'nın belirlediği yöntemlerden (açık rıza, yeterlilik kararı olan ülke, standart sözleşme hükümleri gibi) birinin sağlanması gerekir.

Pratik bir adım olarak, ihracat sözleşmelerine veya genel ticari şartlara kişisel verilerin hangi amaçla ve kimlerle paylaşılacağına ilişkin kısa bir bilgilendirme maddesi eklemek, hem şeffaflığı sağlar hem de olası bir denetimde uyum göstergesi olur.

Son olarak, çalışanların kişisel veri işleme konusunda temel bir farkındalığa sahip olması (hangi bilgiyi kimle paylaşabileceği, hangi bilgiyi paylaşamayacağı) kurumsal uyumun en temel ama en sık atlanan adımıdır; bu farkındalık, büyük bir uyum programından çok, basit bir iç eğitimle bile büyük ölçüde sağlanabilir. Bu basit ama etkili adım, kurumsal uyumu karmaşık bir proje olmaktan çıkarıp günlük iş pratiğinin bir parçası haline getirir. Bu farkındalık kültürü, zamanla firmanın tüm süreçlerine yayılan kalıcı bir uyum disiplinine dönüşür. Bu farkındalık kurumsal uyumun en sağlam temelidir. Bu basit ama sürekli uygulanan disiplin, firmanın hem yasal riskini azaltır hem de müşteri nezdinde güvenilirliğini artırır. Bu yaklaşım, büyük bir uyum projesine girmeden de somut ve ölçülebilir bir fark yaratır. Bu disiplin uzun vadede güven kazandırır. Bu adım küçük ama değerlidir.

Yurt dışı veri aktarımı konusundaki yükümlülükler sadece büyük ölçekli firmaları değil, tek bir yurt dışı acenteye müşteri listesi gönderen küçük bir ihracatçıyı da kapsıyor; ölçek küçük olduğu için bu kuralların geçerli olmadığını düşünmek yaygın ama hatalı bir varsayımdır. KVKK'nın denetim önceliği genelde büyük veri hacmine sahip firmalarda yoğunlaşsa da, bir şikayet veya ihbar durumunda küçük ölçekli bir firma da inceleme kapsamına girebiliyor. Bu nedenle, firma büyüklüğünden bağımsız olarak, yurt dışına hangi verinin, hangi amaçla ve hangi hukuki dayanakla aktarıldığının en azından basit bir listesinin tutulması, hem düzenli bir uyum alışkanlığı oluşturur hem de olası bir denetimde hazırlıksız yakalanma riskini azaltır.

Yurt dışındaki acente veya distribütörle imzalanan ticari sözleşmeye, kişisel verilerin hangi amaçla işleneceğini ve güvence mekanizmasının ne olduğunu belirten kısa bir madde eklemek, hem KVKK uyumunu güçlendiriyor hem de karşı tarafın da veri koruma konusunda beklenen standarda uyacağını yazılı olarak teyit etmesini sağlıyor. Bu madde, büyük bir hukuki metin olmak zorunda değil; birkaç cümlelik, net bir taahhüt yeterli olabiliyor.

Bu uyum çalışmasını yürütürken, firmanın kullandığı pazarlama otomasyonu veya e-posta bülteni araçlarının da genellikle yurt dışı sunucularda veri işlediği unutulmamalı; sadece büyük veri aktarımlarına odaklanıp günlük kullanılan küçük araçları gözden kaçırmak, uyum çalışmasında kör nokta oluşturabilir.

Uyum sürecinin ilerleyişini belgelemek -hangi tarihte hangi adımın atıldığı- da önemlidir; bu kayıt, bir denetim durumunda firmanın konuyu ciddiye aldığını ve sürekli bir iyileştirme çabası içinde olduğunu göstermenin somut bir yoludur.