Yurt Dışına Veri Aktarımı Kuralları (KVKK 2026 Güncel)
Türkiye’den yurt dışına kişisel veri aktarımı kuralları, 7499 sayılı Kanun ile değiştirilen 6698 sayılı KVKK’nın 9. maddesi kapsamında üç kademeli bir rejime göre yürütülmektedir.
Yeni Aktarım Rejimi (Üç Kademeli Yapı)
- 1. Kademe (Yeterlilik Kararı): Verilerin aktarılacağı ülke, sektör veya uluslararası kuruluş hakkında Kişisel Verileri Koruma Kurulu tarafından yeterlilik kararı verilmişse, açık rıza aranmaksızın veri aktarımı yapılabilir.
- 2. Kademe (Uygun Güvenceler): Yeterlilik kararı bulunmadığı durumlarda; ilgili kişinin haklarını kullanabileceği ve etkili hukuk yollarına erişebileceği uygun güvencelerden biri (standart sözleşme, bağlayıcı şirket kuralları vb.) sağlanarak aktarım gerçekleştirilebilir.
- 3. Kademe (Arızi/İstisnai Haller): Yeterlilik kararı veya uygun güvence olmasa dahi kanunda öngörülen belirli istisnai (arızi) durumlarda yurt dışına veri aktarımı mümkündür.
Standart Sözleşme ve Bildirim Kuralları
- Taraflar arasında standart sözleşme imzalandığında, bu sözleşmenin Kuruma bildirim yükümlülüğü bulunmaktadır.
- Standart sözleşme imzalanmasını takiben 5 iş günü içinde ilgili idari sürece uygun şekilde bildirim yapılması gerekir.
Bu Yazıda Neler Var
- Yurt dışına veri aktarımı nedir? Hukuki dayanağı
- 2024 değişikliği ile ne değişti?
- 1. Kademe: Yeterlilik kararı nedir?
- 2. Kademe: Uygun güvenceler nelerdir?
- 3. Kademe: Arızi ve istisnai haller
- Standart sözleşme ve bildirim kuralları
- Kamu kurumları için özel durum
- Özel nitelikli kişisel verilerin aktarımı
- Veri işleyenin sorumluluğu
- İhlal halinde idari para cezaları
- E-ticaret, SaaS, bulut ve grup şirketlerinde pratik sonuç
- Veri sorumluları için uygulama adımları
- Kısa uygulama özeti
- Sık sorulan sorular
Yurt Dışına Veri Aktarımı Nedir? Hukuki Dayanağı
6698 Sayılı KVKK Madde 9/1 (Değişik: 2/3/2024-7499/34 md.)
Kişisel veriler, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.
Yurt dışına veri aktarımı, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 9. maddesi ile, buna dayanılarak çıkarılan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik çerçevesinde düzenlenir. Bu alan, 2 Mart 2024 tarihli 7499 sayılı Kanun değişikliğiyle köklü biçimde yenilenmiştir.
2024 Değişikliği ile Ne Değişti?
2024 değişikliğinden önce yurt dışı aktarım sistemi daha sınırlı ve uygulamada daha karmaşıktı. Süreç büyük ölçüde açık rıza eksenine sıkışmıştı. 7499 sayılı Kanun ile birlikte sistem, çok daha sistematik ve aşamalı, üç basamaklı bir yapıya kavuştu. Bu değişikliğin pratik sonucu şudur: artık yurt dışına veri aktarmak için yalnızca açık rıza aranmaz. Bunun yerine çok daha ayrıntılı bir güvence mimarisi kurulmuştur.
1. Kademe: Yeterlilik Kararı Nedir?
Yeterlilik kararı, Kurulun belirli bir ülkenin, ülke içindeki bir sektörün veya uluslararası kuruluşun kişisel verileri yeterli düzeyde koruduğuna karar vermesidir. Bu karar varsa, veri sorumlusu ve veri işleyenler, Kanun’un 5 ve 6. maddelerindeki işleme şartlarından biri mevcut olmak kaydıyla aktarım yapabilir.
6698 Sayılı KVKK Madde 9/3 (Yeterlilik Kararında Dikkate Alınan Hususlar)
Kişisel verilerin aktarılacağı ülke ile Türkiye arasında karşılıklılık durumu, ilgili ülkenin mevzuatı ve uygulaması, bağımsız ve etkin bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının bulunması, uluslararası sözleşmelere taraf olma durumu, Türkiye’nin üye olduğu küresel veya bölgesel kuruluşlara üyelik, Türkiye’nin taraf olduğu uluslararası sözleşmeler dikkate alınır.
Yeterlilik kararı Resmî Gazete’de yayımlanır ve en geç dört yılda bir gözden geçirilir. Kurul gerekli gördüğünde kararı değiştirebilir, askıya alabilir veya kaldırabilir. Yeterlilik kararı varsa süreç görece daha kolaydır ancak yine de aktarımın dayanağı olan veri işleme şartı ayrıca bulunmalıdır – yani her durumda otomatik aktarım söz konusu değildir.
2. Kademe: Uygun Güvenceler Nelerdir?
Yeterlilik kararı yoksa aktarım tamamen yasak değildir. Kanun ve yönetmelik “uygun güvenceler” sistemini getirir. İlgili kişinin aktarımın yapılacağı ülkede de haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi kaydıyla, başlıca uygun güvenceler şunlardır:
Standart Sözleşme
Kurul tarafından ilan edilen, veri kategorileri, aktarım amaçları, alıcı grupları ve alınacak teknik/idari tedbirleri içeren standart sözleşmenin taraflarca imzalanması.
Bağlayıcı Şirket Kuralları
Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü olduğu, Kurul tarafından onaylanan kurallar.
Kamu Kurumları Arası Anlaşma
Yurt dışındaki ve Türkiye’deki kamu kurum ve kuruluşları arasında yapılan, uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi.
Yazılı Taahhütname
Yeterli korumayı sağlayacak hükümlerin yer aldığı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.
3. Kademe: Arızi ve İstisnai Haller
Yeterlilik kararı da yoksa ve uygun güvence de sağlanamıyorsa, veri ancak arızi ise (düzenli olmayan, süreklilik arz etmeyen, olağan faaliyet akışı içinde bulunmayan aktarımlarda) ve kanunda sayılan istisnalardan biri varsa aktarılabilir:
- İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla açık rıza vermesi,
- Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası için zorunlu olması,
- Aktarımın, ilgili kişi yararına kurulacak veya ifa edilecek bir sözleşme için zorunlu olması,
- Üstün bir kamu yararı için zorunlu olması,
- Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
- Rızasını açıklayamayacak durumda olan kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olması,
- Kamuya veya meşru menfaati bulunanlara açık bir sicilden, ilgili şartlarla aktarım yapılması.
Önemli sınır: Arızi aktarım, düzenli veri akışı olan iş modelleri için bir “kolay çıkış yolu” değildir. Süreklilik gösteren aktarımlar bakımından esas yöntem, yeterlilik kararı veya uygun güvence kurulmasıdır; arızi istisnalara sürekli dayanmak denetimde risk oluşturur.
Standart Sözleşme ve Bildirim Kuralları
6698 Sayılı KVKK Madde 9/5
Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.
Pratikte en sık kullanılan mekanizma standart sözleşmedir çünkü grup şirketleri arasında, hizmet sağlayıcılar ile veri sorumluları arasında ve bulut/teknik altyapı ilişkilerinde kolay uygulanabilir bir yapıdır. Ancak standart sözleşmenin yalnızca imzalanması yeterli değildir: 5 iş günlük bildirim süresi kaçırılmamalıdır. Güncel uygulamada bu bildirim, Kurumun dijital bildirim modülü üzerinden elektronik olarak yapılmaktadır. Bildirim süresinin kaçırılması, denetimlerde en sık karşılaşılan ihlal sebeplerinden biridir. Sözleşme içeriğinde veri kategorileri, aktarım amaçları, alıcılar, teknik-idari tedbirler ve özel nitelikli veriler için alınan ek önlemler açıkça yer almalıdır. Sözleşme yabancı dilde düzenlenmişse, uyuşmazlık halinde Türkçe metnin esas alınacağının açıkça belirtilmesi önerilir.
Kamu Kurumları için Özel Durum
6698 Sayılı KVKK Madde 9/7
Altıncı fıkranın (a), (b) ve (c) bentleri, kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetlerine uygulanmaz.
Kanun, kamu kurumlarının kamu hukukuna tâbi faaliyetlerinde bazı istisnalar öngörür. Özellikle arızi aktarım bentlerinin bir kısmı (açık rıza, sözleşme ifası, ilgili kişi yararına sözleşme gibi) kamu kurumları bakımından doğrudan uygulanmaz. Bu nedenle kamu kurumlarında aktarım rejimi ayrıca ve dikkatli biçimde analiz edilmelidir.
Özel Nitelikli Kişisel Verilerin Aktarımı
Özel Nitelikli Kişisel Verilerin Aktarımı
Sağlık verileri, biyometrik veriler, ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin veriler, din, mezhep, siyasi görüş gibi hassas nitelikteki veriler bakımından daha sıkı güvence aranır. Bu tür verilerin yurt dışına aktarımında ya yeterlilik kararı bulunmalı ya uygun güvence mekanizması kurulmalı ya da istisnai aktarım şartları eksiksiz oluşmalıdır. Uygulamada bu veri türleri için çoğunlukla ek teknik ve idari tedbirler ile sözleşmesel korumalar gerekir.
Veri İşleyenin Sorumluluğu
Yönetmelik, veri işleyenin de aktarım kurallarına uymasını zorunlu kılar; ancak veri işleyenin yurt dışına aktarımı, veri sorumlusunun sorumluluğunu ortadan kaldırmaz. Veri sorumlusu, sürecin ana sorumlusu olmaya devam eder. Bu, özellikle e-ticaret, SaaS, bulut, muhasebe, CRM, çağrı merkezi ve analiz hizmetlerinde önemlidir; çoğu zaman aktarım veri işleyenler aracılığıyla yapılır. Sözleşmelerde talimat ilişkisi, teknik/idari tedbirler, alt yüklenici zinciri ve sonraki aktarım kısıtlarının açıkça yazılması gerekir.
İhlal Halinde İdari Para Cezaları
6698 Sayılı KVKK Madde 18/1-d (Ek: 2/3/2024-7499/35 md.)
9 uncu maddenin beşinci fıkrasında öngörülen bildirim yükümlülüğünü yerine getirmeyenler hakkında 50.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası verilir.
KVKK m. 18’de öngörülen idari para cezası tutarları, her yıl yeniden değerleme oranına göre güncellenir; bu nedenle uygulamada kesilen cezalar, kanundaki temel tutarların üzerinde, güncel yıla göre artırılmış rakamlar üzerinden hesaplanır. 2024 değişikliğiyle birlikte, m. 9/5’teki standart sözleşme bildirim yükümlülüğünün ihlali için ayrı bir yaptırım alanı da doğmuştur. Veri güvenliğine ilişkin yükümlülüklerin (m. 12) ihlali de ayrıca ve daha ağır şekilde cezalandırılabilir. Bu nedenle yurt dışı aktarımında yalnızca sözleşmesel değil, bildirimsel uyum da kritik hâle gelmiştir; güncel yıla ait tam ceza tutarları için Kişisel Verileri Koruma Kurumu’nun güncel duyurularının kontrol edilmesi önerilir.
E-ticaret, SaaS, Bulut ve Grup Şirketlerinde Pratik Sonuç
Yurt dışına veri aktarımı en sık şu alanlarda gündeme gelir: bulut sunucuları, CRM ve pazarlama yazılımları, e-posta servisleri, analiz araçları, müşteri destek sistemleri, yabancı grup şirketi içi veri paylaşımı, dış kaynak çağrı merkezi, ödeme ve güvenlik altyapıları. Bu alanlarda faaliyet gösteren bir şirketin şu soruları cevaplaması gerekir:
- Verinin çıktığı ülke hangisidir?
- Gittiği ülke için yeterlilik kararı var mıdır?
- Yoksa standart sözleşme mi kullanılacaktır?
- Bağlayıcı şirket kuralı gerekli midir?
- Aktarım arızi midir, süreklilik arz etmekte midir?
- Özel nitelikli veri söz konusu mudur?
- Sonraki aktarım zinciri kontrol edilmekte midir?
- Kuruma bildirim süresi kaçırılacak mıdır?
Veri Sorumluları için Uygulama Adımları
- Veri haritası çıkarın.
- Yurt dışı alıcıları listeleyin.
- Aktarımın hukuki sebebini (KVKK m. 5 veya m. 6) belirleyin.
- İlgili ülke/kuruluş için yeterlilik kararı olup olmadığını kontrol edin.
- Yoksa uygun güvence mekanizmasını (standart sözleşme, BCR vb.) seçin.
- Standart sözleşmeleri imzalayın ve dijital bildirim modülü üzerinden 5 iş günü içinde Kuruma bildirin.
- Özel nitelikli veriler için ek önlem alın.
- Sonraki aktarımları (veri işleyenden üçüncü kişilere aktarım) izleyin.
- Düzenli ihlal ve risk değerlendirmesi yapın.
Kısa Uygulama Özeti: Yurt Dışına Veri Aktarımı İçin Sıra Nasıl İşler?
| Adım | Yapılacak İşlem |
|---|---|
| 1 | KVKK m. 5 veya m. 6’daki işleme şartı var mı kontrol edilir |
| 2 | Ülke/kuruluş için yeterlilik kararı aranır |
| 3 | Yoksa uygun güvence kurulup kurulamadığı değerlendirilir |
| 4 | O da yoksa yalnızca arızi istisnalar incelenir |
| 5 | Standart sözleşme varsa 5 iş günü içinde Kuruma bildirilir |
| 6 | İhlal halinde idari para cezası ve diğer hukuki sonuçlar doğabilir |
Yurt dışına veri aktarımı sürecinizin hukuki sebep, güvence mekanizması ve bildirim yükümlülükleri bakımından doğru kurgulanması, idari para cezası riskini azaltır ve iş sürekliliğinizi korur.
Sık Sorulan Sorular
Yurt dışına veri aktarmak için her zaman açık rıza mı gerekir?
Hayır. 2024 değişikliği sonrasında açık rıza yalnızca arızi ve istisnai hallerden biridir; esas rejim yeterlilik kararı ve uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları gibi) üzerine kuruludur.
Standart sözleşme imzaladıktan sonra ne yapılmalıdır?
Sözleşme, imzalanmasından itibaren 5 iş günü içinde Kuruma bildirilmelidir. Bu bildirim yükümlülüğünün ihlali ayrı bir idari para cezası sebebidir.
Yeterlilik kararı olan bir ülkeye veri aktarırken başka bir şart aranır mı?
Evet, yeterlilik kararı olsa dahi KVKK m. 5 veya m. 6’daki işleme şartlarından birinin ayrıca bulunması gerekir; yeterlilik kararı tek başına otomatik aktarım hakkı vermez.
Bulut hizmeti veya SaaS aracı kullanan her şirket bu kurallara mı tabidir?
Evet, veri fiilen yurt dışındaki bir sunucuya veya sağlayıcıya aktarılıyorsa bu kurallar uygulanır; veri işleyen aracılığıyla yapılan aktarım da veri sorumlusunun sorumluluğunu ortadan kaldırmaz.
Arızi aktarım istisnaları sürekli veri akışı olan işler için kullanılabilir mi?
Hayır, arızi istisnalar düzenli olmayan, tek seferlik aktarımlar içindir. Süreklilik gösteren iş modellerinde esas yöntem yeterlilik kararı veya uygun güvence kurulmasıdır.
Yazar Hakkında
Bu içerik, Av. Melisa Ezgi Aslan tarafından 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 9, 18 (7499 sayılı Kanunla değişik) ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik m. 5, 6 hükümleri esas alınarak hazırlanmıştır. Yurt dışına veri aktarımı süreçleri ve uyum çalışmaları hakkında detaylı ve işletmenize özel bilgi için hukuki danışmanlık alınması önerilir.
Av. Melisa Ezgi Aslan, İzmir merkezli hukuk hizmetlerinin yanı sıra Konak, Karşıyaka, Bornova, Buca, Bayraklı, Çiğli, Gaziemir ve Karabağlar ilçelerinde KVKK uyum süreçleri, yurt dışına veri aktarımı ve bilişim hukuku alanında müvekkillerine hukuki destek sunmaktadır.