SCC (Standart Sözleşme Hükümleri) nedir?
Standart Sözleşme Hükümleri (SCC), AB/AEA’dan yeterlilik kararı bulunmayan “üçüncü ülkelere” kişisel veri aktarımını meşrulaştıran önceden onaylanmış AB sözleşme şablonlarıdır (GDPR Madde 46(2)(c)). Mevcut metin, 4 Haziran 2021 tarihli Avrupa Komisyonu Karar (AB) 2021/914‘tür; Schrems II öncesi hükümlerin yerini almıştır. 2021 SCC’leri dört aktarım senaryosunu kapsayan modüler yapı kullanır: veri sorumlusu-veri sorumlusu, veri sorumlusu-veri işleyen, veri işleyen-veri işleyen ve veri işleyen-veri sorumlusu.
SCC modülleri
- Modül 1: Veri sorumlusu-veri sorumlusu aktarımları.
- Modül 2: Veri sorumlusu-veri işleyen (SaaS için en yaygın).
- Modül 3: Veri işleyen-veri işleyen (alt veri işleyen aktarımı).
- Modül 4: Veri işleyen-veri sorumlusu (verinin ithalatçıya iadesi).
Schrems II sonrası: TIA gereksinimi
ABAD C-311/18 (Schrems II) kararı sonrası SCC’ler tek başına yeterli değildir. Veri ihracatçısı, üçüncü ülke hukukunu (özellikle devlet erişim yasalarını) değerlendiren bir Transfer Etki Değerlendirmesi (TIA) yapmalı ve gerekirse ek önlemler uygulamalıdır (teknik: şifreleme, takma adlaştırma; sözleşmesel: taahhütler, bildirim; örgütsel: politikalar, denetimler).
İngiltere muadili: IDTA / UK Addendum
Brexit sonrası İngiltere, Uluslararası Veri Aktarım Anlaşması (IDTA) veya AB SCC’lerine UK Eki kullanır. Çok-yargı bölgeli aktarımlar (örn. AB + İngiltere) tipik olarak AB SCC’leri + UK Eki birlikte kullanır.
KVKK ve SCC
7499 sayılı Kanun’la 2024’te yapılan değişiklikten bu yana KVKK m. 9, yurt dışına aktarımı yeterlilik kararına, bu yoksa uygun güvencelerden birine bağlar: Kurul onaylı bağlayıcı şirket kuralları, Kurul’un ilan ettiği standart sözleşme (imzadan itibaren beş iş günü içinde Kurum’a bildirilir) veya Kurul izniyle yazılı taahhütname. Açık rıza dahil arızi aktarım hâlleri ancak bunların hiçbiri sağlanamıyorsa devreye girer. AB SCC’leri bu yüzden tek başına KVKK aracı değildir; Türkiye’den aktarımda Kurul’un kendi standart sözleşmeleri kullanılır. AB’deki müşterilere hizmet veren Türk veri işleyenler için SCC Modül 2, müşteri DPA’sının standart eki olur.
Yapın: 2021 SCC’lerini kullanın (2001/497/EC ve 2010/87/EU sayılı kararlara dayanan eski hükümleri değil); üçüncü ülke riskini ve ek önlemleri belgeleyen bir TIA ekleyin.
Yapmayın: gözetim ağırlıklı yargı bölgelerine aktarımlar için yalnızca SCC’lere güvenmeyin: Schrems II ek önlemler gerektirir.
Kaynak. (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR); 6698 sayılı Kişisel Verilerin Korunması Kanunu. Kanun bağlantıları mevzuat.gov.tr üzerindeki güncel resmî metinlere gider.