Standart sözleşmeler, veri aktaran ile veri alıcısı arasında hukuki bağlayıcılığı haiz olan ve verilerin aktarıldığı ülkede idari veya kazai koruma eksikliğini telafi etmeyi hedefleyen tip metinlerdir. Ancak kanun koyucu, standart sözleşmelerin yalnızca akdedilmesini yeterli görmemiş, söz konusu sözleşmelerin Kişisel Verileri Koruma Kurumuna bildirilmesini emredici bir hukuki yükümlülük olarak düzenlemiştir. Kanun’un 9. maddesinin dokuzuncu fıkrası uyarınca standart sözleşmelerin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi zorunludur. Söz konusu beş iş günlük süre, kanuni nitelikte hak düşürücü bir süre olup uyulmaması halinde ciddi idari para cezalarını tetiklemektedir. Kurumun yayımladığı kamuoyu duyuruları ve rehber ilkeler doğrultusunda standart sözleşme bildirim süreçlerinin hukuki anatomisi, taraf sıfatlarının tespiti, imza yetkilerinin tevsiki ve bildirim usulleri bakımından yetkin bir hukuki yaklaşımla ele alınması gerekmektedir.
Standart Sözleşmelerin Hukuki Niteliği ve Tip Metin Disiplini
Standart sözleşmeler, veri sorumluları veya veri işleyenler tarafından serbestçe kaleme alınabilen ya da üzerinde tarafların dilediğince değişiklik yapabildiği klasik borçlar hukuku sözleşmelerinden niteliği itibarıyla ayrılmaktadır. Kişisel Verileri Koruma Kurulu, 6698 sayılı Kanun’un kendisine verdiği yetkiye dayanarak aktarım senaryolarına göre dört farklı tip standart sözleşme metni ilan etmiştir. Bu metinler: Veri Sorumlusundan Veri Sorumlusuna, Veri Sorumlusundan Veri İşleyene, Veri İşleyenden Veri İşleyene ve Veri İşleyenden Veri Sorumlusuna yapılacak aktarımları düzenlemektedir.
Kurul tarafından ilan edilen bu standart metinlerin temel amacı, aktarılan kişisel verilerin korunmasına ilişkin asgari hukuki ve teknik güvenceleri yeknesak hale getirmektir. Bu doğrultuda, Kurulun kamuoyu duyurularında da sarih bir şekilde ifade edildiği üzere, standart sözleşme metinlerinin gövdesinde yer alan maddeler üzerinde değişiklik yapılması, hükümlerin metinden çıkarılması veya metne aykırı ek maddeler konulması yasaklanmıştır. Taraflar yalnızca Kurulca belirlenen seçimlik alanları doldurabilir ve sözleşmenin ekleri olan Ek-1 (Taraflar ve Aktarımın Detayları), Ek-2 (Teknik ve İdari Tedbirler) ve Ek-3 (Alt Veri İşleyenler) kısımlarını kendi somut veri akış senaryolarına uygun olarak somutlaştırabilirler.
Standart sözleşmelerin tip metin disiplinine aykırı olarak değiştirilmesi, sözleşmenin Kurul nezdinde uygun güvence sağlama niteliğini ortadan kaldırabilir. Şirketlerin uluslararası yazılım sağlayıcıları, bulut bilişim hizmeti veren kuruluşlar veya yurt dışı grup şirketleri ile akdettikleri sözleşmelerde, bu tip metinlerin özüne dokunulmaması kritik önem taşır. Sözleşme metninde yer alan sorumluluk kısıtlaması, uygulanacak hukuk veya yetkili mahkemeye ilişkin standart düzenlemelerin taraflar arasındaki ticari ana sözleşmelerle çelişmemesi için de ayrı bir hukuki analiz yapılması zorunludur. Ticari ana sözleşmede yer alan bir sorumluluk sınırlaması şartı, standart sözleşmedeki veri koruma ihlallerine ilişkin sınırsız sorumluluk esasını bertaraf edemez; çelişki halinde standart sözleşme hükümlerinin üstün geleceği emredici kuraldır.
Beş İş Günü Bildirim Süresi ve Süreç Yönetimi
KVKK m. 9/9 ve ilgili Yönetmelik hükümleri gereğince standart sözleşmenin imzaların tamamlanmasından itibaren 5 iş günü içinde Kuruma bildirilmesi kanuni bir zorunluluktur. Sürenin hesaplanmasında Türk Borçlar Kanunu ve genel mevzuat hükümleri geçerli olup iş günleri esas alınır; resmi tatiller ve hafta sonları bu süreye dahil edilmez. Sürenin başlangıç anı ise sözleşmedeki tüm tarafların geçerli imzalarının tamamlandığı andır. Eğer sözleşme farklı tarihlerde taraflarca imzalanmışsa, son imzanın atıldığı gün sürenin başladığı an olarak kabul edilmektedir.
Sürenin oldukça kısa olması, özellikle uluslararası boyuttaki kurumsal yapılarda operasyonel aksaklıklara yol açabilmektedir. Yurt dışında yerleşik bir veri sorumlusu veya veri işleyenin imza süreçlerinin tamamlanması, yetki belgelerinin temini ve Türkiye’deki tarafa iletilmesi süreçlerinde yaşanacak gecikmeler, 5 iş günlük sürenin kaçırılmasına sebebiyet verebilmektedir. Bu nedenle uyum ekiplerinin ve hukuk birimlerinin imza organizasyonunu önceden planlaması şarttır. İmzaların atıldığı tarih ile Kurum bildiriminin yapıldığı tarih arasındaki zaman dilimi titizlikle belgelenmelidir.
Bildirim süreci güncel uygulamada Kişisel Verileri Koruma Kurumu tarafından faaliyete geçirilen Standart Sözleşme Bildirim Modülü (standartsozlesme.kvkk.gov.tr) üzerinden elektronik ortamda gerçekleştirilmektedir. Alternatif olarak Kayıtlı Elektronik Posta (KEP) veya fiziki evrak teslimi yöntemleri de hukuken mümkün olmakla birlikte, dijital modül kullanımı süreç takibi ve zaman yönetimi açısından birincil yöntem olarak öne çıkmaktadır. Bildirimin geçerli bir şekilde tamamlanmış sayılması için yalnızca sözleşme metninin yüklenmesi yeterli değildir; imza atan kişilerin temsil yetkisini gösteren resmi belgelerin ve varsa Türkçe çevirilerin de sisteme eksiksiz sunulması gerekmektedir.
İmza Yetkisinin Tevsiki, Yabancı Belgeler ve Dil Gereklilikleri
Standart sözleşme bildirimlerinde en çok karşılaşılan ve bildirimin usulden reddedilmesine ya da geçersiz sayılmasına neden olan husus, imza atan kişilerin temsil yetkilerinin tam olarak kanıtlanamamasıdır. Türk Borçlar Kanunu ve Türk Ticaret Kanunu genel ilkeleri uyarınca, tüzel kişiler adına imza atan şahısların şirketi ilzam etmeye yetkili kılındıklarının somut resmi evrakla ortaya konulması icap eder.
Türkiye’de yerleşik taraflar bakımından imza sirküleri veya noter onaylı vekaletnameler yeterli olurken, yurt dışında yerleşik yabancı tüzel kişiler bakımından süreç daha karmaşık bir hal almaktadır. Yabancı şirketi temsil eden kişinin yetkisini gösteren ticaret sicil belgeleri, yetki belgeleri (Certificate of Incumbency, Certificate of Good Standing gibi) veya yönetim kurulu kararlarının sunulması gereklidir. Bu belgelerin hukuki geçerlilik kazanması için alındığı ülkedeki yetkili makamlarca Apostil şerhi ile tasdik edilmesi veya Apostil sözleşmesine taraf olmayan ülkelerde konsolosluk onayından geçirilmesi zorunludur. Ayrıca yabancı dilde düzenlenen yetki belgelerinin yeminli tercüman tarafından Türkçe’ye çevrilerek noter onayından geçirilmesi aranmaktadır.
Kurulun 5 Şubat 2025 tarihli Kamuoyu Duyurusunda da açıkça vurgulandığı üzere, imza yetkisini gösteren belgelerin eksik olması halinde bildirim yükümlülüğü hukuken yerine getirilmiş sayılmayacaktır. Yabancı tarafların imza sirküleri veya yetki belgelerinin apostil ve tercüme süreçleri zaman alabileceğinden, bu belgelerin sözleşme imzalanmadan önce hazırlanması ve imza tarihi itibarıyla hazır bulundurulması 5 iş günlük kanuni sürenin kaçırılmaması adına hayati önem taşımaktadır.
Elektronik imza kullanımı bakımından da dikkat edilmesi gereken hususlar mevcuttur. 5070 sayılı Elektronik İmza Kanunu uyarınca güvenli elektronik imza ile atılan imzalar hukuken ıslak imza ile aynı sonuçları doğurur. Ancak yurt dışındaki tarafların kullandığı DocuSign, Adobe Sign gibi platformlar üzerinden atılan imzaların, Türk hukuku bakımından güvenli elektronik imza şartlarını karşılayıp karşılamadığı her somut olayda ayrı değerlendirilmelidir. Kurum uygulamasında, dijital imza sertifikalarının ve doğrulama raporlarının yetki belgeleri ile birlikte eksiksiz olarak sisteme yüklenmesi zorunludur.
Uygulamada Karşılaşılan Kritik Hukuki Hatalar
Yurt dışına kişisel veri aktarımı süreçlerinde şirketlerin standart sözleşme uygulamalarında düştüğü bazı temel hukuki hatalar, yüksek idari para cezaları ve yaptırım riskleri yaratmaktadır. Bu hataların başında geçmişe etkili yürürlük maddeleri ihdas etmek gelmektedir. Şirketler geçmişte hukuka aykırı olarak başlattıkları yurt dışı veri aktarımlarını geriye dönük olarak meşrulaştırmak amacıyla standart sözleşmelere "işbu sözleşme geçmişteki aktarımları da kapsar" şeklinde hükümler ekleme eğiliminde bulunabilmektedir. Ancak Kurul duyurularında belirtildiği üzere, standart sözleşmeler geleceğe etkili güvence sağlar. Sözleşmeye geçmişe dönük yürürlük tarihi konulması, ilgili tarihten bu yana hukuka aykırı ve güvencesiz veri aktarımı yapıldığının idare nezdinde tespiti niteliğini taşıyabilir ve re'sen soruşturma açılmasına sebebiyet verebilir.
İkinci yaygın hata, tarafların hukuki sıfatlarının yanlış tespit edilmesidir. Veri sorumlusundan veri sorumlusuna yapılması gereken bir aktarımda veri sorumlusundan veri işleyene tip sözleşmesinin imzalanması veya alt veri işleyen süreçlerinde yanlış sözleşme tipinin seçilmesi halinde, akdedilen sözleşme hukuken geçersiz sayılabilir ve aktarım hukuka aykırı hale gelebilir. Bu nedenle sözleşme imzalanmadan önce veri akış şemaları incelenmeli, tarafların kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleme yetkileri analiz edilerek doğru tip sözleşme seçilmelidir.
Üçüncü temel hata ise standart sözleşmenin eklerinin yüzeysel veya boş bırakılarak doldurulmasıdır. Ek-1'de veri kategorilerinin, veri işleme amaçlarının, veri aktarılan alıcı gruplarının muğlak ifadelerle yazılması ya da Ek-2'de alınacak teknik ve idari tedbirlerin genel ifadelerle geçiştirilmesi Kurum incelemelerinde yetersiz bulunmaktadır. Ek-2'de yer alan şifreleme standartları, erişim logları, sızma testleri, fiziksel güvenlik tedbirleri gibi unsurların yurt dışındaki veri alıcısının mevcut altyapısını fiilen yansıtacak detayda yazılması şarttır.
İdari Yaptırım Rejimi ve KVKK Madde 18 Analizi
6698 sayılı Kanun’un 18. maddesi, Kanun’da yer alan yükümlülüklerin ihlali halinde uygulanacak idari para cezalarını düzenlemektedir. 7499 sayılı Kanun ile yapılan düzenlemeler çerçevesinde standart sözleşme bildirim yükümlülüğünün ihlali bağımsız bir kabahat olarak kanuni güvenceye bağlanmıştır. Kanun’un 18. maddesinin birinci fıkrasının (g) bendi uyarınca, 9. maddenin dokuzuncu fıkrasında öngörülen standart sözleşmeyi süresinde Kuruma bildirmeyen veri sorumluları ve veri işleyenler hakkında idari para cezası uygulanması emredilmiştir.
Söz konusu idari para cezaları her yıl Yeniden Değerleme Oranı uyarınca güncellenmekte olup, yüksek tutarlara ulaşan ağır finansal yaptırımları barındırmaktadır. Önemli bir husus da şudur ki; yaptırım yalnızca bildirim yapmama eylemine ilişkin değildir. Eğer standart sözleşme bildirilmemişse veya bildirilen sözleşme usulüne uygun değilse, yapılan yurt dışı veri aktarımı hukuki dayanaktan yoksun hale gelebilir. Bu durumda Kurul, Kanun'un 18/1-(b) maddesi uyarınca veri güvenliğine ilişkin yükümlülüklerin ihlali gerekçesiyle çok daha yüksek tutarlarda idari para cezası kesebileceği gibi, m. 15 uyarınca yurt dışına veri aktarımının durdurulmasına veya verilerin imha edilmesine de karar verebilecektir.
Şirketlerin yönetim kurulu üyeleri ve üst düzey yöneticileri açısından bakıldığında, kanuni bildirim yükümlülüklerinin ihmali sebebiyle şirketin uğrayacağı olası finansal zararlar ve itibar kaybı, Türk Ticaret Kanunu m. 369 uyarınca özen yükümlülüğünün ihlali kapsamında hukuki sorumluluk doğurma potansiyeli taşımaktadır.
Kurumsal Uyum Yol Haritası ve Operasyonel Öneriler
Uluslararası veri aktarımı gerçekleştiren şirketlerin, girişimlerin ve grup şirketlerinin hukuki ve idari yaptırımlarla karşılaşmaması adına operasyonel bir uyum mekanizması kurgulamaları gerekmektedir. Bu çerçevede atılması gereken stratejik adımlar şu şekilde özetlenebilir:
Veri Haritalaması ve Envanter Güncellemesi: Şirket bünyesinde kullanılan tüm yazılımlar, SaaS sistemleri, bulut altyapıları, e-posta sunucuları ve alt yükleniciler taranmalı; kişisel verilerin Türkiye sınırları dışına çıkıp çıkmadığı tespit edilmelidir. Yurt dışı merkezli sunucularda tutulan her türlü veri aktarım kapsamındadır.
Sözleşme Tiplerinin Belirlenmesi ve Aktarım Senaryoları: Her bir veri akışı için tarafların sıfatları net bir şekilde ayrıştırılmalı ve Kurulun ilan ettiği dört tip standart sözleşmeden hangisinin kullanılacağı belirlenmelidir.
İmza Organizasyonu ve Ön Onay Mekanizması: Yurt dışındaki taraf ile sözleşme müzakere edilirken imza tarihi önceden takvime bağlanmalıdır. Yabancı tarafın imza yetkisini gösteren Apostil onaylı temsil belgeleri ve yeminli tercüme metinleri, sözleşme imzalanmadan önce hazır edilmelidir.
Beş İş Günü Alarm Sistemi: İmzaların tamamlandığı gün 1. gün sayılarak hukuki uyum ekibi tarafından Kurum Dijital Modülü üzerinden başvuru başlatılmalıdır. İç süreçlerde yaşanabilecek bürokratik gecikmeleri önlemek amacıyla şirket içi yetkilendirmeler önceden tanımlanmalıdır.
Sürekli İzleme ve Alt İşleyen Yönetimi: Yurt dışındaki veri alıcısının alt veri işleyen değiştirmesi durumunda standart sözleşmedeki taahhütlerin güncellenmesi ve yeni aktarım zincirlerinin hukuki güvenceye kavuşturulması takip edilmelidir.
Kişisel verilerin yurt dışına aktarımı, yalnızca teknik bir uyum süreci değil, aynı zamanda şirketlerin hukuki risk yönetiminin ayrılmaz bir parçasıdır. KVKK m. 9 kapsamında standart sözleşme bildirimlerinin 5 iş günlük kanuni süreye ve Kurul esaslarına uygun olarak yürütülmesi, idari yaptırım risklerinin yönetilmesi ve veri aktarım süreçlerinin hukuki güvenceye kavuşturulması bakımından kritik bir gerekliliktir.