Yeni KVKK m. 9 uyarınca yurt dışına veri aktarımı için 'yeterlilik kararı' verilmesi, o ülkeye yapılacak tüm veri aktarımlarını otomatik olarak hukuka uygun hale getirir mi? Veri sorumlusunun başka bir yükümlülüğü kalır mı?

Hayır, otomatik olarak hukuka uygun hale getirmez. Yeterlilik kararı, yurt dışı aktarım için gerekli olan 'aktarım mekanizması' sorununu çözer, ancak aktarımın temelindeki 'işleme şartı' sorununu çözmez. Yeni KVKK m. 9/1, yurt dışı aktarımın öncelikle '5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı' koşuluna bağlamıştır. Bu demektir ki, veri sorumlusu, veriyi yurt dışına aktarmadan önce, bu aktarımın KVKK m. 5'teki genel işleme şartlarından (açık rıza, kanunda öngörülme, sözleşmenin ifası, meşru menfaat vb.) veya m. 6'daki özel nitelikli veri işleme şartlarından birine dayandığını ispatlamak zorundadır. Yeterlilik kararı, sadece bu temel hukuka uygunluk şartı sağlandıktan sonra, verinin güvenli bir ülkeye aktarılabileceğini teyit eden ikinci bir aşamadır. Dolayısıyla, veri sorumlusunun, aktarımın hukuki sebebini (işleme şartını) belirleme ve ilgili kişiyi aydınlatma gibi temel yükümlülükleri devam eder.