Kişisel Verileri Koruma Kurumu (“Kurum”), 01.09.2023 tarihinde internet sitesinde yayınladığı duyurusunda Kişisel Verileri Koruma Kurulu’nun (“Kurul”) Google Reklamcılık ve Pazarlama Limited Şirketi’nin yurt dışına kişisel veri aktarımı yapılması hakkında taahhütname başvurusunu kabul ettiğini duyurdu. 
Kurul 2021’den bu güne;

• TEB Arval Araç Filo Kiralama Anonim Şirketi
• Amazon Turkey Perakende Hizmetleri Ltd. Şti. ve Amazon Turkey Yönetim Destek Hizmetleri Ltd. Şti.
• Turksport Spor Ürünleri Sanayi Ticaret ve Limited Şirketi (Decathlon Türkiye)
• Türkiye Futbol Federasyonu
• Otokoç Otomotiv Ticaret ve Sanayi Anonim Şirketi

Yukarıda yer alan veri sorumlularına kişisel verilerin aktarılmasına ilişkin izin verdi. Bu kapsamda taahhütname başvurusunda bulunarak izin alan son veri sorumlusu şirket Google Reklamcılık ve Pazarlama Limited Şirketi oldu.
Ancak Google Reklamcılık ve Pazarlama Şirketi bu taahhütname başvurusu kapsamında yalnızca taahhütname imzaladığı ve yabancı ülkede yer alan ilgili veri sorumlusuna kişisel veri aktarabilecek.  Yani Google’a ait diğer şirketler için taahhütname kapsamında verilmiş bir veri aktarım izni bulunmuyor.

Taahhütname Başvurusu Nasıl Yapılır?

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) Kişisel Verilerin Yurt Dışına Aktarılması başlıklı 9. maddesi uyarınca kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamıyor. Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kişisel Verileri Koruma Kurulu’nun bu taahhütname için izninin bulunması dahilinde veriler, ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabiliyor.
Taahhütname başvurusu veri sorumlusundan veri sorumlusuna aktarım ve veri sorumlusundan veri işleyene aktarım olarak hazırlanabiliyor. Ancak veri aktarımı taahhüdünde bulunacak taraflar Kurum’un resmi internet sitesinde yayımlanan taahhütname örneklerinden uygun olanı kullanmalı. Öte yandan, taraflarca taahhütname başvurusunda bulunulurken usule ve esasa ilişkin olarak dikkat edilmesi gereken birtakım hususlar da bulunuyor. Yine aktarım kapsamında taraflarca; veri konusu kişi grupları, veri kategorileri, veri aktarımının amaçları, veri aktarımının hukuki sebebi, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler, veri aktaranın VERBİS bilgileri ve irtibat kişisi iletişim bilgisi hakkında bilgilerin Kurum’a sunulması gerekiyor.

Taahhütname Başvurusu Neden Yapılmalı?

Veri sorumlusu gerçek ve tüzel kişilerin KVKK’da yer alan kişisel verilerin yurt dışına aktarılması maddesine uygun bir biçimde operasyonlarını değerlendirerek kişisel verileri aktarması gerekiyor. KVKK’ya göre kişisel veriler üç şekilde yurt dışına aktarılabiliyor:

1.    İlgili kişinin açık rızasının alınması
2.    Kişisel verinin aktarılacağı ülkenin yeterli korumanın bulunduğu ülkelerden biri olunması ve kişisel veri ile özel nitelikli kişisel veri işleme şartlarından birinin varlığı.
3.    Kişisel verinin aktarılacağı ülkede yeterli koruma yoksa, Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurul’un bu aktarıma izninin bulunması.

Türkiye henüz yeterli korumaya sahip ülkeler listesini belirlemediğinden, veri sorumlularının elinde yalnızca ilgili kişiden açık rıza alınması ve taahhütname başvurusunda bulunulması seçenekleri kalıyor. 
Taahhütname başvurusu yapılması, yurt dışında yer alan veri sorumlusuna yapılacak aktarım bakımından veri sorumlularının yükünü de hafifletiyor. Taahhütname başvurusuyla verilen izin kapsamında kişisel veri ve özel nitelikli kişisel veri işleme şartlarına dayanılarak ve açık rıza alınmadan kişisel veri yurt dışına aktarılabiliyor. Taahhütnamenin veri sorumlularına sağladığı en büyük avantaj operasyonların yürütülmesi bağlamında ortaya çıkıyor. 
Örneğin şirketlerin ilgili kişisel veri aktarım faaliyeti kapsamında binlerce kişiden açık rıza almasına gerek kalmamakla birlikte taahhütname çerçevesinde kişisel verilerin yurt dışına aktarımı daha hızlı ve sistemli bir şekilde gerçekleşiyor.

KVKK kapsamında veri sorumluları yurt dışına kişisel veri aktarılması için taahhütname başvurusunda bulunabiliyor. Taahhütname ile taraflar kişisel veri işleme şartlarının varlığına dayanarak açık rıza alınmaksızın yurt dışına kişisel veri aktarabiliyor. 01.09.2023 tarihinde Kurum’un internet sitesinde yayınlanan duyuru kapsamında artık Google Reklamcılık ve Pazarlama Şirketi de KVKK’da yer alan kişisel veri işleme şartlarına dayanarak taahhütnamenin tarafı olan ve yurt dışında yer alan veri sorumlusuna/veri işleyene kişisel veri aktarabilecek. Açık rıza alınmaksızın yapılacak aktarım şirketin operasyonel yükünün hafifletilmesi için de büyük önem arz ediyor.