Güncelleme: Ocak 2027 · Gündem Masası · Denetleyen: Dilek Lök
12 Mart 2024 tarihli Resmî Gazete’de yayımlanan 7499 sayılı Kanun, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun yurt dışına aktarımı düzenleyen 9. maddesini değiştirdi. Yeni düzen 1 Haziran 2024’te yürürlüğe girdi; uygulama esasları 10 Temmuz 2024 tarihli Resmî Gazete’de yayımlanan Yönetmelik ile belirlendi. Artık aktarım üç kademeye dayanıyor: yeterlilik kararı, uygun güvenceler ve arızi aktarım. Standart sözleşme kullanılırsa, imzadan itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirilmesi gerekiyor.
Bu değişiklik kurumsal fotoğrafla doğrudan ilgili, çünkü tanınabilir çalışan fotoğrafı kişisel veridir ve birçok şirketin fotoğraf arşivi sunucuları yurt dışında olan bulut hizmetlerinde duruyor. Bu yazıda değişikliğin fotoğraf arşivi için altı sonucunu özetliyoruz. Hukuki değerlendirme yerine geçmez; kendi durumunuz için hukuk danışmanınıza başvurun.
Ne değişti?
Eski düzende yurt dışına aktarım çoğu zaman ilgili kişinin açık rızasına dayanıyordu. 7499 sayılı Kanun ile 9. madde yeniden yazıldı. Yeni düzende önce Kurul’un yeterlilik kararı aranıyor. Yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları ya da taahhütname gibi uygun güvencelerden biri kullanılıyor. İkisi de yoksa yalnız istisnai durumlarda arızi aktarım mümkün oluyor.
Kaynak
Kanun ve Yönetmelik metinleri Mevzuat Bilgi Sistemi üzerinden, Kurul duyuruları ve standart sözleşme metinleri KVKK sitesinden okunabilir.
Geçiş dönemi
Açık rızaya dayalı eski aktarım hükmü, 1 Eylül 2024 tarihine kadar yeni düzenle birlikte uygulandı. Bu tarihten sonra yeni düzen tek başına geçerli.
Kısa cevap
2024’te KVKK’nın yurt dışı aktarım maddesi değişti. Aktarım artık yeterlilik kararı, uygun güvenceler ya da arızi aktarım kademelerine dayanıyor; standart sözleşme beş iş günü içinde Kurum’a bildiriliyor.
Sonuç 1: Çalışan fotoğrafı bu kapsamda mı?
Evet. 6698 sayılı Kanun, kimliği belirli ya da belirlenebilir kişiye ilişkin her bilgiyi kişisel veri sayıyor. Ekip sayfası portresi, basın kiti karesi ya da çalışırken çekilmiş tanınabilir bir fotoğraf bu tanıma giriyor. Dolayısıyla bu fotoğrafların sunucuları yurt dışında olan bir hizmette saklanması, aktarım kuralları açısından değerlendirilmesi gereken bir durum olabiliyor.
Rıza tarafı
Çalışan fotoğrafında rızanın genel çerçevesi KVKK ve fotoğrafta rıza yazısında.
Tanınabilirlik
Yüzü görünmeyen, yalnız eller ya da ortam gösteren kareler çoğu zaman bu tartışmanın dışında kalır. Alternatif kareler bu yüzden de değerlidir.
Sonuç 2: Bulut arşivin konumu artık sorulmalı
Birçok şirket fotoğraflarını bir bulut depolama hizmetinde tutar ve sunucunun nerede olduğunu hiç sormaz. Yeni düzende ilk soru budur: arşiv hangi ülkede duruyor? Hizmet sağlayıcının sözleşmesi ve veri işleme ekleri bu bilgiyi verir. Konum öğrenilmeden aktarımın hangi dayanakla yapıldığı da belirlenemez.
Sözleşme ekleri
Bulut hizmetlerinin veri işleme ekleri sunucu bölgesini ve alt işleyenleri listeler. Bu belge arşivin künye dosyasına eklenir.
Arşiv düzeni
Arşivin katmanları ve iki kopya kuralı kurumsal fotoğraf arşivi yazısında.
Sık yapılan hata
Arşivin yerini bilmeden “bulutta duruyor” demek. Sunucu ülkesi bilinmeden aktarım dayanağı seçilemez ve aydınlatma metni doğru yazılamaz.
Sonuç 3: Açık rıza tek başına yol olmaktan çıktı
Eski düzende pek çok şirket, çalışanlardan yurt dışı aktarım için açık rıza alarak işi çözüyordu. Yeni düzende açık rıza, arızi aktarım hâllerinden biri olarak kaldı; yani düzenli ve süreklilik taşıyan aktarımlar için ana yol değil. Sürekli kullanılan bir bulut arşivi için yeterlilik kararı ya da uygun güvencelerden birinin değerlendirilmesi gerekiyor.
Arızi ne demek
Arızi aktarım, düzenli olmayan, bir ya da birkaç kez gerçekleşen istisnai aktarım için kullanılıyor. Sürekli arşiv bu tanıma uymuyor.
Rıza formları
Eski rıza formları gözden geçirilir. Fotoğraf çekimi için alınan onay ile yurt dışı aktarım dayanağı ayrı konulardır.
Sonuç 4: Standart sözleşme ve beş iş günü bildirimi
Yeterlilik kararı yoksa en sık kullanılan uygun güvence standart sözleşmedir. Kurul’un yayımladığı metin kullanılır ve sözleşme imzalandıktan sonra beş iş günü içinde Kurum’a bildirilir. Bulut hizmet sağlayıcısının bu sözleşmeyi imzalayıp imzalamadığı, şirketin hukuk ya da bilgi teknolojileri birimiyle birlikte kontrol edilir.
Kim yapar
Bu iş fotoğrafçının değil, şirketin veri sorumlusu sıfatıyla yürüttüğü bir iştir. Fotoğrafçı yalnız teslimin nereye yapıldığını bilmelidir.
Kaynak
Standart sözleşme metinleri ve bildirim usulü KVKK sitesinde yayımlanıyor.
Sonuç 5 ve 6: Teslim kanalı ve aydınlatma metni
Beşinci sonuç teslim kanalıyla ilgili. Fotoğrafçının dosyaları yurt dışı sunuculu bir aktarım servisiyle göndermesi de aynı soruyu doğurabilir; teslim kanalı çekimden önce konuşulur. Altıncı sonuç aydınlatma metniyle ilgili: çalışanlara verilen bilgilendirmede fotoğrafların nerede saklandığı ve yurt dışına aktarılıp aktarılmadığı güncel bilgiyle yer almalı.
Teslim kanalı
Teslim biçimleri fotoğraf teslim süreci yazısında.
Aydınlatma
Aydınlatma metni çekim duyurusuyla birlikte çalışanlara iletilir. Metin değişirse yeni hâli yeniden paylaşılır.
Basın kiti
Basına ve iş ortaklarına verilen kareler de aynı soruyu doğurabilir. Basın kitinin hangi kanalla paylaşıldığı basın kiti fotoğrafları yazısındaki klasör düzeniyle birlikte düşünülür.
Sizin için ne anlama geliyor?
Fotoğraf arşivinizi yurt dışı sunuculu bir bulutta tutuyorsanız üç şeyi kontrol edin: sunucu ülkesi, aktarımın dayanağı ve çalışanlara verilen aydınlatma. Bu üç soruya cevap yoksa hukuk danışmanınızla görüşün. Arşivi yurt içinde tutmak da bir seçenektir; karar maliyet, erişim ve güvenlik birlikte düşünülerek verilir.
Fotoğrafların kullanım yerleri ve geçerli hukuki kaynaklar kurumsal fotoğraf kullanım alanları yazısında; genel çerçeve kurumsal fotoğraf çekimi nedir sayfasında.
Sık sorulan sorular
7499 sayılı Kanun 12 Mart 2024’te yayımlandı, değişiklik 1 Haziran 2024’te yürürlüğe girdi.
Tanınabilir bir fotoğraf, kimliği belirlenebilir kişiye ilişkin bilgi olduğu için kişisel veri tanımına girer.
Sunucular yurt dışındaysa değerlendirilmesi gereken bir durum olabilir; kesin karar için hukuk danışmanına başvurun.
Yeni düzende açık rıza arızi aktarım hâllerinden biridir; düzenli aktarım için ana yol değildir.
İmzadan itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu’na.
Teslim kanalını şirketle önceden konuşmalı; aktarım dayanağı şirketin sorumluluğundadır.
Bu sayfadan aklınızda kalsın
- KVKK’nın yurt dışı aktarım maddesi 2024’te değişti
- Yeni düzen üç kademeli: yeterlilik, uygun güvence, arızi aktarım
- Tanınabilir çalışan fotoğrafı kişisel veridir
- Bulut arşivin sunucu ülkesi öğrenilmelidir
- Standart sözleşme beş iş günü içinde bildirilir
- Aydınlatma metni arşivin yerini doğru söylemelidir
Kısa sözlük
Yeterlilik kararı: Kişisel Verileri Koruma Kurulu’nun bir ülkenin ya da sektörün yeterli koruma sağladığına dair verdiği karar için kullanılan terimdir.
Standart sözleşme: Kurul’un yayımladığı metne uygun olarak yurt dışı aktarımda uygun güvence sağlamak için imzalanan sözleşme için kullanılan terimdir.
Arızi aktarım: Düzenli olmayan, istisnai durumlarda yapılan ve kanunda sayılan hâllere dayanan yurt dışı aktarım için kullanılan ifadedir.
Teslim ve arşiv düzenini birlikte konuşalım
Fotoğraflarınızı nerede sakladığınızı yazın; teslim kanalını ve arşiv düzenini çekimden önce birlikte netleştirelim.
Gündem Masası
AINEO destekli masa · Gelişme, güncelleme ve “ne anlama geliyor”
İlk paragraf tüm haberi verir. Kaynak zorunlu, spekülasyon yok; sonda sizin için anlamı. AINEO destekli masa · Denetleyen editör: Dilek Lök
