MADDE 14- (1) Veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşme vasıtasıyla uygun güvence sağlanabilir.

(2) Standart sözleşme, Kurul tarafından belirlenerek ilan edilir.

(3) Standart sözleşme metninin, üzerinde herhangi bir değişiklik yapılmaksızın kullanılması zorunludur. Standart sözleşmenin yabancı dilde de akdedilmesi hâlinde Türkçe metin esas alınır.

(4) Standart sözleşme, kişisel veri aktarımının tarafları arasında akdedilir. Standart sözleşmenin, aktarımın taraflarınca veya tarafları temsile ve imzaya yetkili kişilerce imzalanması zorunludur.

(5) Standart sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde fiziki olarak veya kayıtlı elektronik posta (KEP) adresi ya da Kurul tarafından belirlenen diğer yöntemlerle Kuruma bildirilir. Aktarım tarafları standart sözleşmede, bildirim yükümlülüğünün kimin tarafından yerine getirileceğini belirleyebilir. Eğer bu konuda bir belirleme yapılmamışsa standart sözleşme veri aktaran tarafından Kuruma bildirilir.

(6) Yapılacak bildirime, standart sözleşmeyi imzalayanların yetkili olduğuna dair tevsik edici belgeler ile yabancı dildeki her belgenin noter onaylı çevirisi eklenir.

(7) Kurulca ilan edilen standart sözleşme metninde değişiklik yapılması veya standart sözleşmede aktarım taraflarından biri veya her ikisinin geçerli imzasının bulunmaması hâlinde Kanunun 15 inci maddesi uyarınca Kurul tarafından inceleme yapılır.

(8) Standart sözleşme taraflarında veya standart sözleşme içeriğinde taraflarca yer verilen bilgi ve açıklamalarda bir değişiklik olması veya standart sözleşmenin sona ermesi hâlinde beşinci fıkrada belirtilen usule uygun olarak Kuruma bildirim yapılır.

Taahhütnameyle uygun güvencenin sağlanması

MADDE 15- (1) Aktarım tarafları arasında akdedilecek yazılı bir taahhütnamede yer verilecek kişisel verilerin korunmasına yönelik hükümler vasıtasıyla uygun güvence sağlanabilir.

(2) Taahhütnamede yer verilecek kişisel verilerin korunmasına yönelik hükümler özellikle aşağıdaki hususları içerir:

a) Kişisel veri aktarımının amacı, kapsamı, niteliği ve hukuki sebebi.

b) Kanun ve ilgili mevzuata uygun olarak temel kavramlara ilişkin tanımlar.

c) Kanunun 4 üncü maddesinde belirtilen genel ilkelere uyum sağlanacağına yönelik taahhüt.

ç) İlgili kişilerin taahhütname ve taahhütname kapsamında yapılacak kişisel veri aktarımı hakkında aydınlatılmasına ilişkin usul ve esaslar.

d) Kişisel verileri aktarılan ilgili kişilerin Kanunun 11 inci maddesinde belirtilen haklarının kullandırılmasına yönelik taahhüt ve bu hakların kullanımı amacıyla yapılacak başvuruya ilişkin usul ve esaslar.

e) Uygun veri güvenliği düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirlerin alınacağına yönelik taahhüt.

f) Özel nitelikli kişisel verilerin aktarılması hâlinde Kurul tarafından belirlenen yeterli önlemlerin alınacağına yönelik taahhüt.

g) Kişisel verilerin sonraki aktarımına yönelik kısıtlamalar.

ğ) Taahhütnamenin ihlali hâlinde ilgili kişinin başvurabileceği hak arama yöntemleri.

h) Veri alıcısının aktarıma konu kişisel verilerin işlenmesi hususunda Kurulun karar ve görüşlerine uyacağına yönelik taahhüt.

ı) Veri alıcısının taahhütnameye uygunluk sağlayamamasına neden olacak ulusal düzenlemenin bulunmadığına ve buna yol açabilecek muhtemel bir mevzuat değişikliğini veri aktarana en kısa sürede bildireceğine dair taahhüt ile bu durumda veri aktaranın veri aktarımını askıya alma ve taahhütnameyi feshetme hakkına sahip olacağına yönelik düzenleme.

i) Veri alıcısının taahhütnameye uygunluk sağlayamaması hâlinde veri aktaranın veri aktarımını askıya alma ve taahhütnameyi feshetme hakkına sahip olacağına yönelik düzenleme.

j) Veri alıcısının taahhütnamenin feshedilmesi veya yürürlük süresinin sona ermesi hâlinde, veri aktaranın tercihine bağlı olarak, aktarıma konu kişisel verileri yedekleri ile birlikte veri aktarana geri göndereceğine ya da kişisel verileri tamamen yok edeceğine yönelik taahhüt.

k) Taahhütnamenin Türk hukukuna tabi olduğuna ve bir uyuşmazlık hâlinde Türk mahkemelerinin görevli ve yetkili olduğuna yönelik düzenleme ile veri alıcısının Türk mahkemelerinin yargı yetkisini tanımayı kabul ettiğine yönelik taahhüt.

(3) Taahhütnameye dayanılarak kişisel verilerin yurt dışına aktarılabilmesi için veri aktaran tarafından Kurula izin başvurusunda bulunulur. Yapılacak başvuru kapsamında taahhütname metni ve Kurul tarafından yapılacak değerlendirme için gerekli diğer bilgi ve belgeler Kurula sunulur. Taahhütnamenin yabancı dilde de akdedilmesi hâlinde Türkçe metin esas alınır. Kişisel veri aktarımına, Kurul tarafından izin verilmesinden sonra başlanır.