KVKK yurt dışına veri aktarımı, kişisel verinin Türkiye sınırları dışındaki bir tarafa, örneğin yurt dışındaki bir bulut sağlayıcıya veya grup şirketine aktarılmasını düzenleyen kurallar bütünüdür. Yasa koyucunun buradaki temel kaygısı şudur: veri ülke dışına çıktığında, Türkiye’deki koruma düzeyinin gideceği yerde de sürdürüldüğünden emin olunmalıdır.

Yurt dışına aktarım, verinin koruma seviyesinin sınırı geçtikten sonra da devam etmesini güvence altına alma çabasıdır.

Aktarım Hangi Şartlarda Yapılır?

KVKK kademeli bir yaklaşım benimser. Öncelik, verinin gideceği ülkenin yeterli korumaya sahip olduğunun Kurul tarafından ilan edilmesidir. Böyle bir yeterlilik yoksa, taraflar arasında yazılı taahhütnameler veya bağlayıcı şirket kuralları gibi uygun güvencelerin bulunması ve gereken hallerde Kurul iznine başvurulması gerekir. Bu güvencelerin hiçbiri yoksa aktarım ancak istisnai ve sınırlı hallerde mümkün olur.

Bu yapı, aktarımı yasaklamak değil, koşula bağlamak üzere kuruludur. Amaç, verinin gittiği yerde de veri sahibinin haklarını kullanabileceği ve bir sorun halinde hukuki başvuru yolunun açık kalacağı bir zeminin sözleşmeyle kurulmasıdır.

Aydınlatma ve Şeffaflık

Bir veriyi yurt dışına aktaran kurum, bunu veri sahibinden gizleyemez. Aktarımın yapıldığı, hangi ülkeye ve hangi amaçla gerçekleştiği, aydınlatma yükümlülüğü ve açık rıza kapsamında kişiye önceden bildirilir. Şeffaflık, aktarımın meşruiyetinin ayrılmaz bir parçasıdır.

Bu bildirimleri doğru yapabilmek için kurumun hangi verinin nereye aktığını net bilmesi gerekir. Güncel bir kişisel veri işleme envanteri olmadan, aydınlatma metnine hangi aktarımların yazılacağı da belirsiz kalır; envanter ile aktarım kaydı birbirini besler.

Bulut ve Uluslararası Standartlar

Yurt dışına aktarımların büyük bölümü bulut hizmetleri üzerinden gerçekleşir. Bulut sağlayıcının kişisel veriyi nasıl işlediğini uluslararası bir çerçeveye oturtan ISO/IEC 27018 bulutta kişisel veri sertifikası, sağlayıcının koruma taahhütlerini değerlendirmede somut bir referans sağlar; ancak sertifika tek başına yasal güvencenin yerini tutmaz.

Aktarımın gerçekten güvenli olup olmadığı ise yalnızca sözleşmeyle değil, teknik mimariyle belirlenir: verinin nereye replike edildiği, hangi bölgelerde yedeklendiği çoğu zaman gözden kaçar. Altyapı ve mimari gözden geçirme hizmetimiz ile veri akışlarının fiziksel ve mantıksal olarak hangi ülkelere ulaştığını haritalandırıyor, hukuki taahhütlerle sistemin gerçekliğini karşılaştırıyoruz.