Sınır Ötesi Veri Aktarımı Düzenlemeleri: Uluslararası Veri Akışlarında Gezinme

Küresel işletmelerin %85'i kişisel verileri sınırlar ötesine aktarıyor, ancak yalnızca %34'ü belgelenmiş aktarım mekanizmalarına sahip. Schrems II'nin 2020'de AB-ABD Gizlilik Kalkanı'nı geçersiz kılmasının ardından, sınır ötesi veri aktarımları, veri koruma hukukunun en karmaşık alanlarından biri haline geldi. AB-ABD Veri Gizliliği Çerçevesi, ABD aktarımları için yasal kesinliği kısmen geri getirdi ancak küresel veri aktarımı kısıtlamalarının daha geniş kapsamı genişlemeye devam ediyor.

Bu kılavuz, sınır ötesi veri aktarımı düzenlemelerinin mevcut durumunun haritasını çıkarır ve uluslararası faaliyet gösteren işletmeler için pratik uygulama kılavuzu sağlar.

Önemli Çıkarımlar

• AB yalnızca 15 ülkenin "yeterli" veri koruması sağladığını kabul ediyor -- diğer tüm aktarımlar ek mekanizmalara ihtiyaç duyuyor
• Standart Sözleşme Maddeleri (SCC'ler) en yaygın transfer mekanizmasıdır ancak artık ek Transfer Etki Değerlendirmeleri gerektirmektedir
• Veri yerelleştirme gereksinimleri artıyor: Çin, Rusya, Hindistan ve Suudi Arabistan belirli verilerin ülkeden çıkmasını kısıtlıyor
• AB-ABD Veri Gizliliği Çerçevesi, kendi kendini sertifikalandıran ABD şirketleri için bir aktarım mekanizması sağlar

---

Transfer Mekanizması Hiyerarşisi

GDPR uyarınca, kişisel veriler AEA'dan yalnızca şu mekanizmalardan birini (basitlik sırasına göre) kullanarak çıkabilir:

1. Yeterlilik Kararları

Avrupa Komisyonu şu ülkelerin yeterli koruma sağladığını belirledi:

Verileriniz yeterli bir ülkeye gidiyorsa: Ek bir aktarım mekanizmasına gerek yoktur. Bunu AEA içi transfer gibi işleyin.

Listede yoksa: Aşağıdaki mekanizmalardan birine ihtiyacınız vardır.

2. Standart Sözleşme Maddeleri (SCC'ler)

En sık kullanılan transfer mekanizması. SCC'ler, veri içe aktarıcıyı GDPR'ye eşdeğer korumalara bağlayan önceden onaylanmış sözleşme şablonlarıdır.

Dört modül (ilgili olanı kullanın):

Uygulama adımları:

1. AEA dışındaki tüm veri aktarımlarını tanımlayın
2. Her aktarım için uygun SCC modülünü seçin
3. Ekleri doldurun (veri kategorileri, güvenlik önlemleri, alt işleyiciler)
4. Her alıcı ülke için bir Transfer Etki Değerlendirmesi (TIA) yapın
5. SCC'leri veri içe aktarıcıyla imzalayın
6. TIA'da tanımlanan ek önlemleri uygulayın

3. Bağlayıcı Şirket Kuralları (BCR'ler)

Grup kuruluşları arasında veri aktarımı yapan çok uluslu şirketler için. BCR'ler, önde gelen bir denetim otoritesi tarafından onaylanır ve küresel olarak grup içi transferler için bir çerçeve sağlar.

Avantajları: Onaylandıktan sonra tüm grup varlıklarını ve tüm transfer senaryolarını kapsar Eksileri: 12-24 aylık onay süreci, önemli maliyet (100.000$+), yalnızca grup kuruluşları için

4. AB-ABD Veri Gizliliği Çerçevesi (DPF)

ABD şirketleri, yeterlilik benzeri bir transfer mekanizması sağlayarak DPF kapsamında kendi kendilerini sertifikalandırabilirler:

1. Şirket ABD Ticaret Bakanlığı'na kayıtlıdır
2. Şirket, DPF uyumlu bir gizlilik politikası yayınlar
3. Şirket, DPF ilkelerine (bildirim, seçim, ileriye yönelik aktarım, güvenlik, veri bütünlüğü, erişim, başvuru) uymayı taahhüt eder
4. Yıllık yeniden sertifikasyon gerekli

Sınırlama: Yalnızca DPF sertifikalı şirketlere yapılan aktarımları kapsar. Bu mekanizmaya güvenmeden önce DPF listesini kontrol edin.

---

Transfer Etki Değerlendirmeleri (TIA'lar)

Gerektiğinde

Schrems II'den sonra, yeterli olmayan ülkelere yapılan tüm SCC bazlı transferler için TIA'lar gerekli olacaktır. TIA, alıcı ülkenin yasalarının SCC'lerdeki korumaları zayıflatıp zayıflatmadığını değerlendirir.

TIA Çerçevesi

TIA Sonuç Karar Ağacı

Does the receiving country have an adequacy decision?
  Yes --> No TIA needed
  No --> Conduct TIA
    |
    Does the receiving country have laws enabling
    disproportionate government access to personal data?
      No --> SCCs sufficient
      Yes --> Can supplementary measures effectively prevent access?
        Yes --> Implement measures + proceed with SCCs
        No --> Transfer cannot proceed

Tamamlayıcı Önlemler

---

Veri Yerelleştirme Gereksinimleri

Veri Yerelleştirme Yasalarına Sahip Ülkeler

Bulut Mimarisine Etkisi

Veri yerelleştirmesi bulut altyapısı kararlarını etkiler:

---

Yaygın Senaryolar İçin Pratik Uygulama

Senaryo 1: ABD SaaS Kullanan AB Şirketi

Aktarım mekanizması: Öncelikle satıcının DPF sertifikalı olup olmadığını kontrol edin. Cevabınız evet ise, DPF temeli sağlar. Değilse, SCC'leri uygulayın (Modül 2: Denetleyiciden İşlemciye).

Senaryo 2: Merkezi İK'ya Sahip Küresel Şirket

Aktarım mekanizması: Grup içi aktarımlar için BCR'ler veya her varlık çifti arasındaki SCC'ler. Yüksek riskli ülkelere transferler için TIA'ları uygulayın.

Senaryo 3: AB Müşterilerine ABD Altyapısından Hizmet Veren e-Ticaret

Aktarım mekanizması: AB kuruluşunuz (veya AB temsilciniz) ile ABD altyapınız arasındaki SCC'ler. Müşteri verilerini AB'de tutulan anahtarlarla şifreleyin.

Senaryo 4: Çok Ülkeli Operasyonlar için Odoo ERP

Aktarım mekanizması: AB'de barındırılıyorsa aktarımlar şu durumlarda gerçekleşir: (1) AB dışı ülkelerdeki çalışanlar sisteme eriştiğinde (uzaktan erişim bir aktarımdır), (2) veriler AB dışı yedekleme konumlarına kopyalandığında, (3) AB dışı ülkelerdeki destek personeli müşteri/çalışan verilerine eriştiğinde. Her erişim noktası için SCC'ler uygulayın ve coğrafyaya göre veri görünürlüğünü sınırlamak için Odoo erişim gruplarını kullanın.

---

Uyumluluk Kontrol Listesi

• Tüm sınır ötesi veri aktarımlarının haritasını çıkarın (hangi veri, nereye, kime, neden)
• Her alıcı ülkenin yeterlilik durumunu doğrulayın
• Yeterli olmayan ülkeler için uygun transfer mekanizmasının (SCC'ler, DPF, BCR'ler) uygulanması
• SCC bazlı transferler için Tam Transfer Etki Değerlendirmeleri
• TIA'ların riskleri tanımladığı durumlarda ek önlemlerin uygulanması
• Uluslararası aktarımları ifşa etmek için gizlilik politikalarını güncelleyin
• Satıcı DPA'larına transfer hükümlerini dahil edin
• Transfer mekanizmalarını yıllık olarak veya ülke kanunlarında değişiklik olduğunda gözden geçirin
• Tüm transfer değerlendirmelerinin ve kararlarının dokümantasyonunu sürdürün

---

Sıkça Sorulan Sorular

AB-ABD Veri Gizliliği Çerçevesine güvenmek güvenli midir?

DPF şu anda geçerlidir ve sertifikalı ABD şirketlerine yapılan transferler için yasal bir temel oluşturmaktadır. Ancak Safe Harbor ve Privacy Shield'ı geçersiz kılanlara benzer bir hukuki zorlukla (La Quadrature du Net) karşı karşıyadır. İhtiyatlı kuruluşlar DPF'yi kullanır ancak aynı zamanda yedek aktarım mekanizması olarak SCC'lere de sahiptir. DPF geçersiz kılınırsa veri akışını kesintiye uğratmadan SCC'lere geri dönebilirsiniz.

Verileri geçerli bir mekanizma olmadan aktarırsak ne olur?

Yetkisiz transferler doğrudan bir GDPR ihlalidir ve 20 milyon Euro'ya veya küresel yıllık cironun %4'üne kadar para cezalarına tabidir. Denetleyici makamlar, para cezalarının ötesinde, iş operasyonlarını kesintiye uğratabilecek veri aktarımlarının askıya alınması emrini verebilir. Meta, izinsiz AB-ABD transferleri nedeniyle 2023'te 1,2 milyar Euro para cezasına çarptırıldı; bu şimdiye kadarki en büyük GDPR para cezasıydı.

SCC'ler her türlü veri aktarımını kapsıyor mu?

SCC'ler, dört modül aracılığıyla ticari veri aktarım senaryolarının çoğunu kapsar. Ancak SCC'ler, kamu yetkilerini kullanarak hareket eden kamu otoriteleri tarafından yapılan devirlere uygun değildir. Bu durumlarda, uluslararası anlaşmalar veya 49. Madde kapsamındaki özel istisnalar geçerli olabilir.

Sınır ötesi gereksinimler Odoo dağıtımımızı nasıl etkiler?

Odoo örneğiniz AB'de barındırılıyorsa ve AB dışındaki çalışanlar veya ortaklar tarafından erişiliyorsa, her uzaktan erişim noktası bir veri aktarımı anlamına gelir. AB dışındaki kullanıcıların yalnızca ihtiyaç duydukları verileri görebilmelerini sağlamak için Odoo erişim gruplarını uygulayın. Şifreli uzaktan erişim için VPN bağlantılarını kullanın. Odoo'yu AB dışında barındırıyorsanız, barındırma sağlayıcısıyla SCC'leri uygulayın ve veritabanı şifrelemesini sağlayın. ECOSIRE'ın Odoo altyapı hizmetleri uyumluluğa duyarlı dağıtım yapılandırmaları içerir.

---

Sırada Ne Var?

Sınır ötesi aktarım uyumluluğu, veri yönetimi yapbozunun bir parçasıdır. Bunu, uluslararası tedarikçilerle DPA'ler için veri yönetimi temelleri, satıcı sözleşme yönetimi ve iş gücü veri aktarımları için çalışan veri gizliliği ile birleştirin.

Sınır ötesi uyumluluk danışmanlığı ve uluslararası veri akışı haritalaması için ECOSIRE ile iletişime geçin.

---

ECOSIRE tarafından yayınlandı - işletmelerin verileri güvenle ve uyumlulukla sınırların ötesine taşımasına yardımcı oluyor.