Saat gece 01.32. İzmir’de e-ihracat yapan bir şirketin operasyon müdürü Meltem Hanım, günün son müşteri kaydını sisteme girer ve bilgisayarı kapatır. Ekran kararır; ama veri uyumaz. O kayıt birkaç saniye içinde Frankfurt’taki bir sunucuya yazılır, Dublin’de yedeklenir, sabaha karşı Kaliforniya’daki bir analitik motorunun tablolarına düşer. Meltem Hanım evine varmadan, müşterisinin adı, adresi ve sipariş geçmişi üç sınır geçmiştir. Pasaportsuz, damgasız, sessizce.
Geçen yazıdaki Nadir Bey’in «tamamlandı» klasöründe bu yolculuğun tek satırlık kaydı bile yoktur; çünkü o klasör hazırlanırken kimse şu soruyu sormamıştır: Verilerimiz geceleri nerede uyuyor?
Bu yazının peşine düştüğü üç soru şu:
– Sıradan bir müşteri kaydı, siz farkında olmadan kaç sınır geçer?
– Sekiz yılda tek bir güvenli ülke ilan etmeyen eski rejim, herkesi neden hukuken kırılgan bir yola mahkûm etti?
– Beş iş günlük bir bildirim süresi, nasıl başlı başına bir ceza sebebine dönüştü?
Eski Rejim: Kâğıt Üzerinde Kapı, Fiilen Duvar
KVKK’nın ilk hâlindeki 9. madde, yurt dışına aktarım için özünde iki yol tanıyordu: ya ilgili kişinin açık rızası ya da Kurulca güvenli ilan edilmiş bir ülke yahut taahhütname üzerine verilmiş bir Kurul izni. Sorun şuydu ki Kurul, sekiz yıl boyunca tek bir ülkeyi dahi güvenli ilan etmedi; taahhütname izinleri ise istisna olarak kaldı.
Kapı kâğıt üzerinde vardı, fiilen duvardı. Piyasa da tek çıkışa yığıldı: açık rıza. Oysa açık rıza her an geri alınabilir bir beyandır; on binlerce müşterinin rızası üzerine kurulan bir bulut altyapısı, hukuken kumdan bir kaledir. Herkes bunu biliyordu; kimse başka çare bulamıyordu.
Yeni Mimari: Üç Basamaklı Merdiven
7499 sayılı Kanun, 1 Haziran 2024 itibarıyla 9. maddeyi baştan yazdı ve GDPR’dan tanıdık, üç basamaklı bir merdiven kurdu.
Birinci basamak yeterlilik kararı: Kurul artık bir ülkeyi, ülke içindeki belirli bir sektörü veya uluslararası kuruluşu yeterli ilan edebiliyor. İkinci basamak uygun güvenceler: kamu kurum ve kuruluşları arasındaki anlaşmalar, Kurul onaylı bağlayıcı şirket kuralları, Kurulca yayımlanan standart sözleşme ve Kurul izniyle geçerlilik kazanan taahhütnameler. Üçüncü basamak ise arızi hâller: süreklilik taşımayan, tek seferlik durumlar. Açık rıza da artık burada, yani kural değil istisna olarak yaşıyor.
Geçici 3. madde uyarınca açık rızaya dayalı eski usul 1 Eylül 2024’te kapandı; o tarihten sonra rızaya yaslanmaya devam eden aktarımlar, dayanağını kaybetti.
Uygulamanın ağırlığı ise beklendiği gibi standart sözleşmeye kaydı. Kurulun yayımladığı metin olduğu gibi kullanılmak zorunda; pazarlık edilemez, budanamaz. Kurumun duyuruları iki tuzağa ayrıca işaret ediyor:
İmzalar mutlaka Türkçe metin üzerinde bulunmalı ve sözleşmeye geriye dönük yürürlük kaydı düşülemez.
Beş İş Günü ve Yeni Kabahat
Merdivenin en sivri çivisi bir usul hükmünde saklı: Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmek zorunda; bildirim fiziki olarak, KEP üzerinden veya Kurumun çevrim içi modülüyle yapılabiliyor.
Bildirmemenin kendisi, 18. maddeye eklenen yepyeni bir kabahat: 2024’te 50.000 ila 1.000.000 TL bandında ihdas edilen ve her yıl yeniden değerleme oranıyla büyüyen bir idari para cezası. Daha da kritik olan şu:
Bu ceza yalnızca veri sorumlusuna değil, veri işleyene de kesilebiliyor; Türk veri koruma hukukunda veri işleyenin doğrudan idari para cezasının muhatabı yapıldığı ilk hâl bu.
Nasılsa kimse fark etmez diyenlere hatırlatalım: Bir veri ihlali veya tek bir çalışan şikâyeti geldiğinde Kurulun ilk bakacağı yer, bu bildirim kayıtlarıdır.
Aktarım Haritası: Savunmanın İlk Delili
Meltem Hanım’ın şirketi için yapılacak ilk iş sözleşme imzalamak değil, harita çıkarmaktır: Hangi veri, hangi sistem üzerinden, hangi ülkeye gidiyor ve hangi hukuki dayanağa yaslanıyor? Bulut ofis yazılımları, CRM, insan kaynakları sistemi, e-posta altyapısı, hatta kurumsal yazışmaların döndüğü mesajlaşma uygulamaları; her biri potansiyel bir aktarım kanalıdır.
Harita çıkınca tercihler netleşir: Grup şirketleri arasında bağlayıcı şirket kuralları mı, tekil tedarikçilerle standart sözleşme mi? Ardından veri işleyen sözleşmeleri elden geçirilir, aydınlatma metinlerine aktarımın ülkesi ve dayanağı işlenir, beş iş günlük bildirim için içeride bir sistem kurulur. Gün geldiğinde bu harita, Kurul önünde şirketin ilk ve en güçlü delili olur.
Veriler geceleri uyumaz; sınırları sessizce geçerler.
Hukukun sorusu artık şu: Her birinin cebinde imzalı bir sözleşme var mı?
Kaynakça
6698 sayılı Kanun m. 9 ve geçici m. 3 (7499 sayılı Kanun ile değişik).
7499 sayılı Kanun (RG 12.03.2024, S. 32487).
Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (RG 10.07.2024, S. 32598).
Kişisel Verileri Koruma Kurumu, Standart Sözleşmeler ve ilgili duyurular, www.kvkk.gov.tr.
