İngiltere’den Türkiye’ye Müşteri Verisi Aktarılır mı? UK GDPR, IDTA ve 2026 Data Protection Test
Kısa ve net cevap
İngiliz şirketin Türkiye’deki ayrı bir çağrı merkezi, yazılım sağlayıcısı veya grup şirketiyle kişisel veri paylaşması UK GDPR kapsamında restricted transfer olabilir. ICO’nun 15 Ocak 2026 güncellemeleri uyarınca Türkiye için UK adequacy bulunmadığından Article 46 uygun güvenceleri, IDTA/Addendum ve data protection test araştırılmalıdır; Türk KVKK m.9 aktarım rejimi de ayrı incelenir.
Bu yazıyla ilgili genel bir sorunuz mu var? Anonim soru sor
| İşlem | Başlıca sonuç |
|---|---|
| Yargı alanı | İngiltere ve Galler hukukuna göre olay bazında kontrol |
| Belge ve delil | Sözleşme, tebliğ, resmî kayıt ve iletişim dökümü |
| Türkiye bağlantısı | Uygulanacak hukuk, belge ve usul ayrıca incelenir |
| İlk başvuru | Hak düşürücü süre ve usul türüne göre karar verilir |
1. İngiltere’den Türkiye’ye veri aktarımı ne demektir?
İngiltere’de kurulu bir şirketin müşteri, çalışan veya tedarikçi bilgilerini Türkiye’deki başka tüzel kişiye göndermesi, erişime açması ya da bulut sisteminde paylaşması UK GDPR açısından uluslararası aktarım değerlendirmesini gerektirebilir. ICO’nun 15 Ocak 2026 tarihinde güncellediği rehber, restricted transfer kavramını yalnız dosya gönderimiyle sınırlamaz; başka ülkedeki ayrı kuruluşa erişim açılması da kapsama girebilir. Bu nedenle İstanbul’daki destek ekibine CRM yetkisi verilmesi teknik olarak veri gönderilmese bile hukuken önemlidir.
İlk analizde veri işleyen şirketin UK GDPR kapsamında olup olmadığı, aktarımı kimin başlattığı ve alıcının ayrı bir hukukî varlık olup olmadığı belirlenir. Çalışanın Türkiye’ye tatilde götürdüğü iş dizüstü bilgisayarı ile İngiliz şirketin Türk hizmet sağlayıcıya sistem erişimi vermesi her zaman aynı üç aşamalı test sonucunu doğurmaz. Her senaryo kendi tarafları ve veri akışı üzerinden incelenir.
2. ICO’nun üç aşamalı restricted transfer testi
ICO rehberinin uluslararası aktarım için açıkladığı test, ilk olarak UK GDPR’nin gönderilen verinin işlenmesine uygulanmasını, ikinci olarak aktarımın Birleşik Krallık dışındaki alıcıya başlatılmasını, üçüncü olarak alıcının gönderenden ayrı bir tüzel varlık olmasını araştırır. Üç koşulun aynı anda bulunması halinde çoğu olayda restricted transfer söz konusu olabilir. Alıcının kendisinin de UK GDPR’ye tabi olması, uluslararası aktarım koşullarını otomatik kaldırmaz.
Örneğin Londra’daki e-ticaret şirketi, müşteri kayıtlarını Mersin’de ayrı şirket olarak faaliyet gösteren çağrı merkezi işletmesine açıyorsa aktarımın sınırları araştırılır. Buna karşılık aynı şirketin başka bir ülkede uzaktan çalışan kendi personelinin erişimi, ayrı alıcı tüzel kişilik koşulu bakımından farklı değerlendirilebilir. İş sözleşmesi, grup organizasyon şeması ve hizmet sözleşmesi bu ayrım için delildir.
3. Türkiye için UK adequacy düzenlemesi var mı?
UK GDPR m.45 kapsamında bazı ülke ve sektörlere ilişkin adequacy regulations, aktarımda ek güvence mekanizmasına duyulan ihtiyacı değiştirebilir. ICO’nun 2026 tarihli ülke listesinde Türkiye, Birleşik Krallık tarafından yeterlilik tanınan ülkeler arasında yer almamaktadır. Bu nedenle Türkiye’deki ayrı kuruluşa restricted transfer planlanıyorsa yalnız “Türkiye’de KVKK var” denilerek UK adequacy varsayımı yapılamaz. Uygun safeguards veya m.49 istisnası gibi farklı yollardan hangisinin geçerli olduğu araştırılmalıdır.
İngiliz şirket, hizmet sağlayıcıdan KVKK uyum sertifikası veya genel gizlilik taahhüdü almış olsa da bu belge tek başına UK GDPR’nin uluslararası aktarım bölümünün gerektirdiği hukuki mekanizma yerine geçmeyebilir. Tarafların hangi ülke hukukuna göre hangi taahhütleri üstlendiği sözleşme içinde açıkça saptanmalıdır.
4. UK GDPR Article 46 safeguards seçenekleri
UK GDPR m.46, yeterlilik kararı dışında kalan restricted transfer işlemlerinde uygun güvenceler sağlayan mekanizmaları düzenler. ICO, bunun için standart veri koruma hükümleri, bağlayıcı şirket kuralları ve mevzuatın izin verdiği diğer araçları açıklar. İngiltere’den Türkiye’ye rutin müşteri verisi aktarımında hukuka uygun bir UK International Data Transfer Agreement veya ilgili Addendum yapısı uygulanabilir; ancak hangi belge tipinin uygun olduğu taraf rolleri ve veri akışına bağlıdır.
Sözleşmenin yalnız başlığı “GDPR compliant” yazdığı için geçerli kabul edilmemesi gerekir. İngiliz ihracatçı veri sorumlusunun kim olduğu, Türk alıcının controller veya processor rolü, veri kategorileri, alt işleyenler, saklama süresi ve güvenlik yükümlülükleri sözleşmeye uyarlanmalıdır. Matbu metnin boş alan bırakılması uygulamada ciddi belirsizlik doğurabilir.
5. UK IDTA ve Addendum arasındaki fark
ICO rehberinde UK International Data Transfer Agreement (IDTA), UK GDPR kapsamındaki uygun koruma şartları için kullanılan standart belge araçlarından biridir. Birleşik Krallık Addendum ise Avrupa Komisyonunun belirli standart sözleşme hükümleriyle birlikte kullanılan İngiliz ekini ifade eder. Türkiye’ye aktarımda AB GDPR ile UK GDPR aynı veri akışında uygulanıyorsa belge seçimi daha da dikkatli yapılmalıdır. Her durumda Avrupa Birliği standart maddesinin tek başına İngiltere’den yapılan tüm aktarımlara otomatik yeterli olduğu varsayılmaz.
Hizmet sağlayıcı birden fazla müşteriye hizmet veriyorsa her müşterinin hangi veri işleme faaliyetleri ve hangi hukukî sıfatla işlem yaptığı belirlenmelidir. UK IDTA’nın ek tablolarında açıklanan transfer amaçları, taraf kimlikleri ve güvenlik önlemleri gerçek iş akışıyla tutarlı olmalıdır. Eski bir sözleşme kalıbını güncel mevzuata bakmadan çoğaltmak risklidir.
6. 2026 Data (Use and Access) Act değişiklikleri
ICO’nun 15 Ocak 2026 güncellemesi, Data (Use and Access) Act ile UK mevzuatında uluslararası aktarımlara ilişkin değerlendirme terminolojisinin değiştiğini belirtir. Önceden transfer risk assessment (TRA) denilen çalışma ilgili mevzuat diliyle data protection test olarak anılmaktadır. Bu, yalnız dosya adının değiştirilmesi değildir; aktarımdaki koruma düzeyinin ve alıcının hukuk ortamının anlamlı biçimde değerlendirilmesini gerektirir.
Örneğin İngiliz fintech şirketi Türk teknoloji sağlayıcısıyla veri aktarma anlaşması imzalarken yalnız eski risk matrisini eklemesi yerine test sonucunu, varsa ek şifreleme tedbirini ve erişim kontrol modelini göstermelidir. Mevzuatın güncel dilinin kullanılması önemlidir; fakat hukuki uygunluk sırf yeni başlığı kullanarak sağlanmış olmaz.
7. Data protection test nasıl yapılır?
ICO, uluslararası aktarımda veri koruma testinin aktarımın özellikleri, verilerin niteliği, alıcının ülkesindeki hukukî koruma ve uygulanacak güvenlik tedbirleri ışığında yapılmasını açıklar. Test, soyut olarak “Türkiye güvenlidir” veya “Türkiye risklidir” biçiminde ülke etiketi yapıştırmak değildir. Alıcının faaliyetleri, olası kamu erişimi, veri sahibinin hak arama imkânı ve sözleşmedeki teknik tedbirler birlikte analiz edilmelidir.
Hizmet sağlayıcının uzaktan erişeceği veri yalnız kargo takip numarası olabilir veya sağlık kayıtlarını içerebilir; iki işlem aynı risk matrisine indirgenemez. Erişim günlükleri, verinin saklandığı fiziksel sunucu, şifreleme anahtarının kimde olduğu ve veri silme prosedürü testte somut gösterilmelidir. Denetim için değerlendirme tarihini ve kullanılan kaynakları kaydetmek gerekir.
8. Controller ve processor rollerinin ayrımı
İngiliz şirketin müşterilerin verilerini hangi amaçla ve araçlarla işleyeceğine karar vermesi onu controller yapabilir. Mersin’deki hizmet sağlayıcı yalnız İngiliz şirketin talimatıyla destek hizmeti sunuyorsa processor niteliğinde olabilir. Ancak Türk şirket verileri kendi pazarlama listesi için kullanmaya karar veriyorsa ayrı controller sorumlulukları gündeme gelebilir. Rolleri sözleşmede keyfî olarak adlandırmak, fiilî işlemeyi değiştirmez.
Rol sınıflandırmasına göre UK GDPR m.28 kapsamındaki veri işleme sözleşmesi ve uluslararası aktarım mekanizması bir arada gerekebilir. Aynı belgeye veri paylaşım yükümlülüklerinin tümünü koymak mümkündür; ancak alıcının alt işlemeye başvurma koşulları ve veri sahibi taleplerini cevaplama sistemi açık olmalıdır.
9. Türk gruptaki farklı tüzel kişilikler
Bir İngiliz limited şirket ile Türkiye’deki iştirak aynı marka altında çalışsa da ayrı tüzel kişiliklerdir. ICO’nun üç aşamalı testindeki ayrı alıcı ölçütü bakımından İngiliz ana şirketin Türkiye’deki bağlı kuruluşa veriyi aktarması çoğunlukla incelenmelidir. Buna karşılık aynı şirketin çalışanının yurt dışından erişimi farklı kurgulanabilir. Şirketler topluluğunda var olan pay sahipliği tek başına uluslararası aktarımın hukukî kurallarından muafiyet sağlamaz.
Grup içi aktarım envanterinde her şirketin tam unvanı, hangi ülkede yerleşik olduğu, kimin controller olduğu ve hangi veri setini aldığı gösterilir. Türk iştirakinin aldığı veriyi başka ülkedeki satış ofisine tekrar aktarması, onward transfer analizini gündeme getirebilir. Zincir aktarım kuralları özel olarak incelenmelidir.
10. Çağrı merkezine uzaktan CRM erişimi
İngiltere’de müşterilere satış yapan Türk girişimci, Türkiye’deki çağrı merkezi çalışanlarının İngiliz müşteri kayıtlarını CRM üzerinde görmesini sağlayabilir. ICO rehberine göre verinin fiziken Türkiye’ye indirilmiyor olması tek başına uluslararası aktarım koşullarını devre dışı bırakmaz; bir ayrı alıcıya erişim sağlanması da restricted transfer olabilir. Bu nedenle sadece dosya paylaşımının kapalı olması değil, kullanıcı izinleri ve hizmet sözleşmesi de denetlenmelidir.
İngiliz controller, çağrı merkezi personelinin hangi müşteri alanlarını görmesi gerektiğini belirlemeli, kimlik doğrulama, loglama, ekran görüntüsü ve yerel kopya alma imkanlarını sınırlamalıdır. Türk hizmet sağlayıcıdan alt yüklenici listesi ve olay müdahale süresi istenebilir. Yüksek erişim yetkisine otomatik olarak tüm veri tabanını açmak veri minimizasyonu ilkesini zedeleyebilir.
11. UK GDPR Article 49 istisnaları ne kadar geniştir?
UK GDPR m.49, bazı özel durumlarda yeterlilik veya uygun safeguards mekanizması bulunmadan aktarım yapılmasına ilişkin istisnaları düzenler. ICO rehberi açık rıza, ilgili kişiyle sözleşme gereği zorunluluk, önemli kamu yararı, hukukî talebin kurulması veya savunulması ve belirli diğer hallerden söz eder. Bu istisnalar rutin ve sistematik şirket veri aktarımını genel bir sözleşme maddesiyle serbest kılan sınırsız alternatifler değildir.
Örneğin her gün binlerce müşteri kaydını Türkiye’ye gönderen bir İngiliz kuruluş, yalnız hizmet sözleşmesini imzaladığı için aktarımın Article 49 istisnasına girdiğini varsaymamalıdır. Aktarımın gerçekten gerekli ve orantılı olduğu somutlaştırılmalı, daha kalıcı ve uygun güvence mekanizmalarının kullanılabilirliği araştırılmalıdır. ICO bu testin belgeye geçirilmesini önerir.
12. Açık rıza tek başına güvenli çözüm mü?
Uluslararası aktarımdaki explicit consent istisnasının uygulanabilmesi için ilgili kişinin aktarımın nerede, hangi amaçla ve hangi olası risklerle gerçekleşeceğini anlayarak özgür biçimde karar vermesi önemlidir. Genel kullanım koşullarının içine saklanan belirsiz “yurt dışına aktarım kabulü” metni her olayda yeterli olmayabilir. İşçi-işveren ilişkisinde rızanın serbest iradeyle verilip verilmediği ayrıca sorgulanabilir.
İngiliz hastane veya işveren çok sayıda kişiyle sürekli işlem yapıyorsa yalnız rızaya dayanarak kalıcı veri transfer modeli kurmak sakıncalı olabilir. Somut veri aktarımı Article 46 güvenceleriyle çözülebiliyorsa, sözleşme ve güvenlik modeli öncelikle buna göre değerlendirilmelidir. Rızanın geri alınması hâlinde uygulanacak işlem de önceden planlanmalıdır.
13. Sağlık, biyometrik ve çocuk verilerinin korunması
UK GDPR m.9 kapsamında özel nitelikli veriler için uluslararası aktarım mekanizmasının yanında ilgili işleme şartı da gerekebilir. İngiliz klinikten Türkiye’deki tıbbi görüş sağlayıcısına hasta kaydı aktarılması, hem veri koruma hem sağlık mahremiyeti yönünden dikkatli analiz ister. İlgili kişinin tedavisi için veri paylaşımının önemli olması, bütün sağlık geçmişinin sınırsız erişime açılmasını haklı kılmaz.
Türk sağlık hizmeti sağlayıcısının kurumsal ve teknik güvenlik kayıtları, hekim yetkileri ve aktarılacak belgelerin kapsamı belirlenmelidir. Çocuğa ilişkin sağlık veya eğitim verileri varsa erişimi kısıtlayan ek tedbirler gerekebilir. İşleme amacı, hukuki dayanak ve aktarım yolu ayrı başlıklarla belgelenmelidir.
14. Müşteri bilgilendirme metni ve şeffaflık
UK GDPR’nin şeffaflık ilkesi, kişisel verilerinin hangi amaçla, kimlerle ve hangi ülkelerde işlendiği konusunda ilgili kişiye anlamlı bilgi sağlanmasını gerektirir. İngiliz e-ticaret sitesinin gizlilik politikasında yalnız “güvenilir iş ortaklarıyla paylaşabiliriz” denilmesi, Türk çağrı merkezi ve diğer ülkelerdeki alt işleyenlerin rollerini somut değerlendirmek için yeterli açıklık sağlamayabilir. Şeffaflık metni gerçek hizmet süreciyle uyumlu tutulmalıdır.
Bir müşteri verisine erişen Türk işletme yeni amaçla pazarlama mesajı göndermeye başlarsa ilk bilgilendirme ve sözleşmedeki amaç sınırı değişmiş olabilir. İngiliz controller, ilgili kişilerin erişim, düzeltme veya silme taleplerini hangi ekip ve sürede karşılayacağını belirlemelidir. Bu talepler için tüm müşteri veri tabanının rastgele dışa aktarılması yeni risk yaratabilir.
15. Teknik önlemler: şifreleme ve erişim kaydı
Uluslararası aktarımın hukuki mekanizması seçildikten sonra teknik güvenlik boş bırakılmamalıdır. Erişimde çok faktörlü kimlik doğrulama, görev temelli yetkilendirme, verinin iletimde ve mümkün olduğunda depolamada şifrelenmesi, veri erişim logları ve yetkisiz dışa aktarmanın önlenmesi önem taşır. Ancak bir kontrolün yalnız sözleşmede yazması uygulamada kurulduğunu kanıtlamaz. Denetim kayıtları ve güvenlik testleri tutulmalıdır.
İngiliz şirket uzaktan destek hesabının bütün çalışanlarca ortak kullanılmasına izin veriyorsa ihlalden kimin sorumlu olduğunu tespit etmek zorlaşır. Kişiye özgü hesaplar, olay kayıtları ve yetki kaldırma süreleri güvenliği artırır. Veri koruma testinde bu kontrollerin aktarım riskini somut olarak ne ölçüde azalttığı açıklanmalıdır.
16. Türk alıcının alt işleyen kullanması
Türkiye’deki hizmet sağlayıcı aldığı İngiliz müşteri verisini başka bir yazılım veya dış kaynak firmasına aktarabilir. Bu durumda sub-processor onayları, yeni ülke bağlantıları ve onward transfer şartları devreye girer. İngiliz controller ilk sözleşmede alt işleyen listesini, yeni tedarikçi bildirim mekanizmasını ve kabul edilmeyen değişikliklerde kullanılacak hakları belirlemelidir. Başka bir ülkede veri saklama, Türkiye’ye aktarımın kendisi kadar önemli bir risk olabilir.
Örneğin müşteri destek görüşmeleri Türkiye’de cevaplanırken ses kayıtları başka ülkedeki buluta kopyalanıyorsa zincirde her aktarımın hukukî niteliği ayrıca incelenir. Sözleşmenin eki olarak veri akışı haritası ve teknik altyapı tablosu tutulmalıdır. Hizmet sağlayıcı tüm verileri kapalı bir alt işlemeye devrederek sorumluluğunu kendiliğinden ortadan kaldıramaz.
17. KVKK m.9 ile İngiliz aktarım rejimi aynı şey değildir
6698 sayılı Kanun m.9, Türkiye’den yurt dışına kişisel veri aktarımı bakımından Türk hukukunda uygulanabilecek şartları düzenler. İngiltere’den Türkiye’ye veri gelmesi olayıyla Türkiye’deki controller’ın aynı veriyi tekrar İngiltere’ye veya başka ülkeye göndermesi farklı veri akışlarıdır. Türk hukukunun uygulanma alanı, controller/processor rolleri ve aktarımın yönü ayrı değerlendirilmeden “İngiliz IDTA imzalandı, KVKK tamamen çözüldü” sonucu çıkarılamaz.
Kişisel Verileri Koruma Kurumu, 2024 değişiklikleri ve standart sözleşme modellerine ilişkin resmî açıklamalar yayımlamıştır. Türk şirket uluslararası bir grup içinde veri yeniden aktarımı yapıyorsa KVKK m.9 araçlarını ve bildirim yükümlülüklerini ayrı incelemelidir. UK belgesi ve Türk standart sözleşmesinin farklı amaçlarını karıştırmak yanlış uygunluk iddiasına yol açabilir.
18. Türkiye’deki şirket için 2024 standart sözleşme modelleri
Türk KVKK tarafından yayımlanan standart sözleşme yapıları, controller-controller, controller-processor, processor-processor ve processor-controller ilişkileri için farklı modellere ayrılmaktadır. Bu ayrım, bir İngiliz şirketin Türkiye’ye yaptığı veri akışıyla daha sonra Türk şirketten yurt dışına yapılacak yeni aktarımların ayrı değerlendirilmesini gerektirir. Her iki ülkenin hukuku gündeme geldiğinde tek belgeyi iki rejimin de şartlarını tamamlar diye varsaymak hatalı olabilir.
Türk controller, yurt dışına yönelik kendi işleminde yeterlilik kararı, uygun güvence veya istisnai aktarım şartlarından hangisine dayandığını somutlaştırmalıdır. Yapılan standart sözleşmenin uygun bildirim gereklilikleri güncel kurum düzenlemeleriyle birlikte kontrol edilmelidir. İmzanın tarihi ve taraf yetkisi önemlidir.
19. Çalışanların Türkiye’den uzaktan çalışması
İngiliz şirketin kendi çalışanı Türkiye’de geçici olarak uzaktan çalışıyorsa ICO’nun ayrı alıcı hukukî varlık şartı nedeniyle restricted transfer testi, Türk dış kaynak firmasına veri açılması ile aynı sonucu otomatik doğurmayabilir. Ancak bu, çalışanın veri güvenliği, siber erişim, iş hukuku ve vergi risklerinden bütünüyle muaf olduğu anlamına gelmez. Şirket, çalışanın hangi sistemlere hangi cihaz ve bağlantıyla eriştiğini ayrı kontrol etmelidir.
Çalışan Türk şirketinde de görevli olup İngiliz müşteri verisini o şirketin ticari amacı için kullanıyorsa alıcının gerçekten kim olduğu yeniden belirlenmelidir. Şirketler grubunda personelin iki farklı hukuki kişi adına hareket etmesi rollerin karışmasına yol açabilir. İş talimatları ve erişim izni bu nedenle önemli delildir.
20. İhlal bildirimi ve olay yönetimi
Türkiye’deki çağrı merkezinden müşteri listesi sızması, hem sözleşmedeki bilgi güvenliği şartlarını hem UK GDPR kapsamında kişisel veri ihlali analizini gündeme getirebilir. Her veri sızıntısının aynı bildirim ve sonuçlara yol açtığı söylenemez; riskin niteliği, hangi kişilerin etkilendiği ve uygulanabilecek raporlama koşulları belirlenmelidir. Verilerin bir kısmının şifreli olması olayın teknik niteliğini etkileyebilir, fakat kurumdan belge saklamayı haklı çıkarmaz.
İngiliz controller ve Türk processor arasında olayın öğrenilmesi üzerine kimin kaç saat içinde kime haber vereceği, ilk inceleme raporunun içeriği, log koruma ve düzeltici işlem planı önceden kararlaştırılmalıdır. Kayıp cihaz, yetkisiz ekran görüntüsü veya e-posta yanlış alıcısı gibi senaryolar için farklı müdahale prosedürleri hazırlanabilir.
21. Denetim hakkı ve hizmet sözleşmesi
İngiliz şirketin Türkiye’deki tedarikçiye veri aktarması, hizmet sözleşmesindeki performans şartları kadar veri işleme ve denetim haklarını da önemli kılar. ICO’nun açıklamaları ışığında UK GDPR m.28, alıcının processor olduğu senaryoda talimatla işleme, gizlilik, güvenlik, alt işleyen ve iş bitiminde verilerin iadesi veya silinmesi gibi yükümlülüklerin açık düzenlenmesini gerektirebilir. Bu sözleşme uluslararası aktarım güvencesinin yerine her durumda tek başına geçmez.
Denetim koşulları yalnız yılda bir genel rapor alınmasına indirgenmeyebilir. Şirket, sistem erişim logları, zafiyet kontrolleri, çalışan eğitimleri ve dış alt yüklenicilerin yerini öğrenebilmelidir. Ticari sır veya orantılılık sorunları ortaya çıktığında denetimin yöntemi ve kapsamı tarafların gerçek ihtiyaçlarına göre yazılmalıdır.
22. İngiltere’de ilgili kişi başvurusunun Türkiye ayağı
Bir İngiliz müşteri subject access request (SAR) yaptığında controller, Türkiye’deki işlemecinin eriştiği ilgili kayıtları bulmak ve yanıtı hukuka uygun oluşturmak zorunda kalabilir. UK GDPR kapsamındaki bireysel haklara cevap verilmesi, uluslararası aktarım sözleşmesindeki işbirliği hükmüyle desteklenmelidir. Türk sağlayıcıdan istenen veriler tüm müşterilerin bilgilerini içermeyen dar kapsamlı bir sorguyla elde edilmelidir.
SAR talebinin geldiği tarih, başvuran kişinin kimlik doğrulaması ve kullanılan veri arama ölçütleri kaydedilir. Türk işlemecinin kayıt saklama ve erişim politikaları bu süreci doğrudan etkiler. Eksik veya aşırı geniş veri sağlama, hem cevap kalitesini hem diğer kişilerin gizliliğini zedeleyebilir.
23. MÖHUK ve HMK açısından uyuşmazlık dosyası
Bir İngiliz şirketin Türk hizmet sağlayıcıya karşı sözleşme ihlali iddiasında bulunması halinde milletlerarası yetki, hukuk seçimi, tazminat ve delil kullanımı ayrı değerlendirilir. 5718 sayılı MÖHUK m.24 sözleşmeye uygulanacak hukuk açısından önem taşıyabilir. Türk mahkemesinin önüne gelen e-postalar, erişim günlükleri ve teknik denetim raporları HMK m.199 kapsamında belge niteliği yönünden incelenebilir.
Bununla birlikte İngiliz veri koruma mevzuatındaki idari yetkiler ile Türk özel hukuk davasının konusu birbiriyle özdeş değildir. Kişisel veri ihlali araştırması da delillerin otomatik olarak bütün davalarda kabul edildiğini göstermez. Tarafların sözleşme, gizlilik ve yargı yeri maddeleri uzman incelemesi gerektirir.
24. İki örnek: e-ticaret ve bordro hizmeti
Birinci senaryoda İngiliz e-ticaret şirketi Mersin’deki çağrı merkeziyle satış sonrası destek yürütür. Türk şirket ayrı legal entity olarak müşteri kimliği ve sipariş geçmişini görür. İlişkide restricted transfer testi, UK Article 46 güvence aracı, processor sözleşmesi ve erişim güvenliği birlikte değerlendirilir. Verilerin yalnız ekran üzerinden görülmesi tek başına sonucu değiştirmez. Çağrıların kayıt altına alınması kapsamı artırabilir.
İkinci senaryoda İngiliz şirket bordro işlemlerini İstanbul’daki ayrı grup şirketine yaptırır. Maaş, banka, kimlik ve devamsızlık kayıtları aktarılabilir. Veri kategorileri farklı olduğu için gerekçelendirme ve erişim kısıtları ayrıntılandırılır. Aynı çalışanın kendi bireysel UK GDPR talebini yanıtlamak için kayıtların güvenli şekilde aranması ayrıca planlanmalıdır.
25. Pratik uygulama sırası ve sonuç
Birleşik Krallık’tan Türkiye’ye veri aktarımında önce üç aşamalı restricted transfer testi yapılmalı, ardından adequacy düzenlemesi olup olmadığı kontrol edilmeli, gerekli ise Article 46 uygun güvenceleri ve data protection test hazırlanmalıdır. Article 49 istisnaları özel ve uygun olaylarda değerlendirilir. Veri sahibi bilgilendirme metni, işlemeci sözleşmesi, alt işleyenler ve teknik güvenlik kuralları ayrıca gözden geçirilmelidir.
Türk şirket aktarımı başka bir ülkeye devam ettiriyorsa KVKK m.9 değerlendirmesi kendi işlemine göre yapılır. Her iki ülke için ayrı sorumluluk haritası hazırlamak ve hukuki araçların amaçlarını karıştırmamak en güvenli inceleme yöntemidir. Somut veri kategorisi, işleme amacı ve taraf rolü görülmeden her şirkete geçerli tek paket çözüm veya cezasızlık garantisi verilemez.
İlgili yayımlanmış yazılar
Resmî mevzuat ve kaynaklar
- ICO international transfers rehberi (15.01.2026)
- ICO restricted transfer tanımı
- ICO appropriate safeguards (15.01.2026)
- ICO data protection test (15.01.2026)
- ICO Article 49 exceptions
- ICO adequacy regulations ülkeler
- KVKK 2024 uluslararası aktarım rehberi
- 5718 sayılı MÖHUK
- 6100 sayılı HMK
Hukukî durum incelemesi: 3 Kasım 2026. Bu içerik belirli bir dosyada verilmiş hukukî görüş veya başarı vaadi değildir.
12 sık sorulan soru
1. İngiltere’den Türkiye’ye müşteri verisi göndermek yasak mı?
Hayır, her durumda yasak değildir. Ancak UK GDPR aktarım kuralları ve uygun güvence/istisna şartları somut olaya göre sağlanmalıdır.
2. Türkiye için UK adequacy kararı var mı?
ICO’nun 2026 yeterlilik listesinde Türkiye yer almıyor; uygun mekanizma ayrıca incelenmelidir.
3. CRM ekranına erişim verilmesi veri transferi sayılabilir mi?
Evet. Ayrı Türk şirketine uzaktan veri erişimi açılması restricted transfer testi kapsamında olabilir.
4. UK IDTA ve Addendum aynı şey mi?
Hayır. UK IDTA bağımsız standart transfer sözleşmesidir; Addendum belirli EU SCC yapısını UK hukukuna uyarlamak için kullanılır.
5. 2026’da TRA’nın adı değişti mi?
ICO’nun 15 Ocak 2026 güncellemesine göre mevzuat dilinde transfer risk assessment için data protection test ifadesi kullanılmaktadır.
6. Türk çağrı merkezi controller mı processor mı?
Fiilen işleme amaçlarını kim belirliyor ve işlem kimin talimatıyla yapılıyor sorularına göre belirlenir.
7. İlgili kişiden açık rıza almak her zaman yeterli mi?
Hayır. UK GDPR Article 49 istisnaları sınırlı ve koşulludur; rutin, sürekli transferler için genel çözüm olarak düşünülmemelidir.
8. İngiliz çalışan Türkiye’den giriş yaparsa transfer olur mu?
Ayrı alıcı tüzel kişilik şartı nedeniyle aynı şirket içi uzaktan erişim farklı değerlendirilebilir; güvenlik ve diğer yükümlülükler sürer.
9. İngiliz veri aktarımı için KVKK standart sözleşmesi yeterli mi?
Tek başına yeterli olduğu söylenemez; UK GDPR aktarımı ile Türkiye’den sonraki aktarımın hukuki rejimleri ayrıdır.
10. Alt işlemeci başka ülkeye veri gönderirse ne olur?
Onward transfer, alt işleyen onayı, uygun güvence ve hukuki roller ayrıca incelenmelidir.
11. Sağlık verileri Türkiye’deki şirkete aktarılabilir mi?
Somut amaç, UK GDPR m.9 işleme şartı, aktarım mekanizması ve sıkı teknik önlemler birlikte değerlendirilmelidir.
12. Türkiye’deki şirket İngiliz SAR başvurusunda ne yapar?
Processor sıfatıyla hareket ediyorsa controller’ın hukuka uygun bilgi taleplerine sözleşme ve talimatlar çerçevesinde yardımcı olmalıdır.
Mersin Ofis Haritası
İstanbul Ofisi – Polaris Plaza, Maslak / Sarıyer
Bakırcı & Keskin Hukuk Bürosu
Maslak Ahi Evran Caddesi, Polaris Plaza No:21, Kat:9, 34475 Sarıyer/İstanbul
İstanbul ve Mersin’deki fiziksel ofislerimizden Türkiye genelindeki dosyalar, görev ve yetki kuralları ile gerekli yerel işlemler dikkate alınarak koordine edilir. Yüz yüze görüşme için randevu sırasında tercih ettiğiniz ofisi belirtiniz.
İstanbul ofisini Google Haritalar’da açın · İletişim ve randevu
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
BAKIRCI & KESKİN HUKUK BÜROSU sitesinden daha fazla şey keşfedin
Son gönderilerin e-postanıza gönderilmesi için abone olun.
