KVKK ve GDPR Uyumlu Veri İşleme ve Aktarım Sözleşmesi

Türkiye ile İtalya arasındaki dış ticaret, e-ticaret, lojistik ve çok uluslu şirket operasyonlarında müşteri, çalışan ve iş ortağı verilerinin uluslararası dolaşımı katı yasal standartlara tabidir. Avrupa Birliği'nin 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR) ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca akdedilen veri işleme sözleşmesi (İtalyanca: accordo di trattamento dati personali - DPA) ile standart sözleşme maddeleri (İtalyanca: clausole contrattuali tipo - SCC), sınır ötesi veri akışını hukuka uygun hale getiren temel metinlerdir.

GDPR ve KVKK Kapsamında Veri Sorumlusu ve Veri İşleyen Ayrımı

GDPR sisteminde veri sorumlusu (titolare del trattamento), kişisel verilerin hangi amaçla ve hangi vasıtalarla işleneceğini belirleyen ana aktördür. Veri işleyen (responsabile del trattamento) ise sorumlunun verdiği talimatlar doğrultusunda verileri teknik olarak işleyen kuruluştur. Türk ve İtalyan şirketleri arasındaki ticari ilişkilerde rollerin doğru tanımlanması, tarafların sorumluluk paylaşımı açısından esastır.

Veri işleme ilişkisi fason imalat ve tedarik sözleşmesi veya bulut hizmet alımı gibi temel bir ticari akde bağlı olarak yürütülür. Şirket içi verilerin korunmasında ticari gizlilik sözleşmesi şartları ile veri koruma maddeleri birbirini tamamlar. Veri işleyenin alt veri işleyen (sub-responsabile) ataması mutlaka veri sorumlusunun yazılı onayına bağlı kılınmalıdır.

Sınır Ötesi Veri Aktarımı ve Standart Sözleşme Maddeleri (SCC)

Avrupa Birliği mevzuatı açısından Türkiye, kişisel verilerin korunmasında yeterli korumaya sahip ülkeler listesinde yer almamaktadır. Bu sebeple İtalya'daki bir veri sorumlusundan Türkiye'deki bir şirkete veri aktarılabilmesi için GDPR'ın 46'ncı maddesinde düzenlenen uygun güvencelerin sağlanması zorunludur. Uygulamada en yaygın kullanılan mekanizma, Avrupa Komisyonu tarafından yayımlanan standart sözleşme hükümleridir (clausole contrattuali tipo - SCC).

Standart sözleşme maddeleri taraflarca değiştirilmeksizin imzalanmalı ve aktarımın teknik ayrıntılarını gösteren eklerle donatılmalıdır. Veri kategorileri, saklama süreleri ve aktarım amaçları açıkça belirtilir. Resmi bildirim usulleri İtalyan Veri Koruma Otoritesi Garante Privacy teslim kuralları çerçevesinde yürütülür.

Veri Güvenliği Tedbirleri ve İhlal Bildirim Süreci

Veri işleme sözleşmesinin ekinde yer alan teknik ve idari tedbirler (misure tecniche e organizzative), verilerin siber saldırılara, yetkisiz erişimlere ve veri kayıplarına karşı korunmasını güvence altına alır. Şifreleme (cifratura), takma adlılaştırma (pseudonimizzazione) ve erişim yetkilendirme sistemleri sözleşmede taahhüt edilen asgari güvenlik seviyeleridir.

Sistemde herhangi bir güvenlik ihlali (violazione dei dati personali - data breach) yaşandığında, veri işleyen durumu makul bir gecikme olmaksızın ve azami 48 ila 72 saat içinde veri sorumlusuna bildirmekle yükümlüdür. Olası idari denetimlerde bu protokollerin yazılı olarak tevsik edilmesi yüksek idari para cezalarını engeller.

Uluslararası Veri Protokolleri, Apostil ve Yeminli Çeviri

Türk ve İtalyan şirketleri arasındaki sınır aşan veri aktarım protokolleri, gizlilik sözleşmeleri ve denetim raporları idari ve adli mercilere sunulurken tasdik zincirine tabi tutulur. İtalya'da tanzim edilen noter onaylı veri protokolleri ve imza sirküleri Procura della Repubblica tarafından apostil edilir. İtalyan resmi kurumlarının verdiği idari izin ve tescil belgeleri ise Prefettura makamının apostil şerhiyle resmiyet kazanır.

Türkiye'de düzenlenen taahhütnamelerin, Kurul izinlerinin ve şirket yetki belgelerinin noter onaylı tercümeleri herhangi bir il ya da ilçedeki valilik veya kaymakamlık makamlarınca apostil edilir (Noterlik Kanunu m.199). Türk yargı organlarından alınan tespit kararlarının aslı ise adalet komisyonu apostil şerhine tabidir. Türkiye'deki yasal düzenlemeler uyarınca tercümanın yemin zaptı noterlik makamında akdedilir. Kabul garantisi verilmez; veri işleme sözleşmelerinin ve aktarım güvencelerinin yeterliliği İtalyan Veri Koruma Otoritesi Garante Privacy ile ilgili denetim makamlarının takdirindedir. Büromuz, GDPR ve KVKK uyumlu sınır ötesi veri işleme sözleşmelerini, SCC maddelerini ve teknik güvenlik şartnamelerini iki dilli uzmanlıkla tercüme etmektedir.

Sık Sorulan Sorular

İtalya'dan Türkiye'ye veri aktarımında SCC imzalanması mecburi midir?

Evet, Türkiye AB nezdinde yeterli koruma seviyesine sahip ülke statüsünde bulunmadığından, İtalyan şirketinin Türkiye'ye veri aktarabilmesi için Avrupa Komisyonu standart sözleşme hükümlerini (SCC) imzalaması yasal bir zorunluluktur.

Veri ihlali durumunda veri işleyen sorumluyu ne kadar sürede bilgilendirmelidir?

Veri işleyen, ihlali tespit ettiği andan itibaren gecikmeksizin ve sözleşmede öngörülen bildirim süresi içinde (uygulamada genellikle 48 ila 72 saat) veri sorumlusuna yazılı bildirim yapmak zorundadır.