Kişisel Verilerin Yurt Dışına Aktarılması Şartları Nelerdir? KVKK m.9 Rehberi 2026

KVKK m.9’un 2024 sonrası yurt dışı aktarım sistemi nasıl çalışır?

6698 sayılı Kanun’un 9. maddesi 2024 yılında köklü biçimde değiştirildi ve yeni yurt dışı aktarım rejimi 1 Haziran 2024 tarihinde yürürlüğe girdi. Eski sistemde açık rıza ve Kurulca yeterli koruma bulunan ülke/taahhütname ekseni hâkimken yeni sistem yeterlilik kararı, uygun güvenceler ve arızi aktarım istisnalarından oluşan kademeli bir yapı kurdu.

İlk aşamada aktarılacak verinin Türkiye’de işlenmesinin hukuka uygun olması gerekir. Genel kişisel veri için KVKK m.5, özel nitelikli kişisel veri için m.6’daki işleme şartlarından biri bulunmalıdır. Türkiye’de hukuka aykırı işlenen verinin yalnız aktarım sözleşmesi yapılarak yurt dışına gönderilmesi hukuka uygun hâle gelmez.

İkinci aşama aktarım mekanizmasının seçimidir. Yeterlilik kararı varsa m.9’daki ilk mekanizma kullanılabilir. Yeterlilik kararı yoksa uygun güvencelerden biri oluşturulur. Uygun güvence de kurulamıyorsa aktarım sürekli ve düzenli olmamak şartıyla yalnız Kanunda belirtilen arızi hâllerden birine dayanabilir.

Bu sıralama önemlidir. Veri sorumlusu düzenli bulut aktarımını “arızi” kabul ederek istisna maddesine dayanamaz. Sürekli kullanılan yabancı sunucu veya SaaS hizmeti kural olarak uygun güvence mekanizması gerektirir.

Yeterlilik kararı nedir?

KVKK m.9, Kişisel Verileri Koruma Kuruluna belirli bir ülke, ülke içindeki sektör veya uluslararası kuruluş hakkında yeterlilik kararı verme yetkisi tanır. Yeterlilik kararı, aktarım yapılan yerde kişisel veriler için yeterli düzeyde koruma bulunduğunun Kurul tarafından değerlendirilmesi anlamına gelir.

Kurul yeterlilik değerlendirmesinde karşılıklılık durumu, aktarım yapılacak yerin kişisel veri mevzuatı ve uygulaması, bağımsız veri koruma otoritesinin varlığı ve etkinliği, ilgili ülke veya uluslararası kuruluşun kişisel veri korumasına ilişkin uluslararası sözleşmelere taraf olması veya uluslararası kuruluşlara üyeliği gibi ölçütleri dikkate alır.

Yeterlilik kararları sürekli ve değişmez değildir. Kanun, kararların en geç dört yılda bir yeniden değerlendirilmesini öngörür. Kurul gelişmelere göre kararı ileriye etkili olarak değiştirebilir, askıya alabilir veya kaldırabilir.

Veri sorumlusu aktarım yaptığı tarihte yeterlilik kararının güncel olup olmadığını kontrol etmelidir. Bir kez verilen kararın süresiz geçerli olduğu varsayılmamalıdır.

Yeterlilik kararı yoksa veri aktarılabilir mi?

Evet. Yeterlilik kararı bulunmadığında m.9 uygun güvence mekanizmaları üzerinden aktarım yapılmasına izin verir. Bunun için öncelikle m.5 veya m.6 işleme şartı bulunmalı; ayrıca ilgili kişinin aktarımın yapılacağı ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması gerekir.

Kanun dört temel uygun güvence mekanizması sayar: kamu kurumları veya uluslararası kuruluşlar arasında bağlayıcı olmayan anlaşma ve Kurul izni; grup şirketleri için Kurulca onaylanan bağlayıcı şirket kuralları; Kurul tarafından ilan edilen standart sözleşme; yeterli korumayı sağlayan hükümleri içeren yazılı taahhütname ve Kurul izni.

Veri sorumlusu aktarım modeline en uygun mekanizmayı seçmelidir. Tek bir yabancı tedarikçiye veri gönderiliyorsa standart sözleşme pratik olabilir; çok uluslu şirket grubu içinde sürekli veri akışı varsa bağlayıcı şirket kuralları daha uygun olabilir.

Uygun güvence belgesi yalnız imzalanıp arşive kaldırılan formalite değildir. Aktarımın gerçek teknik ve organizasyonel yapısını yansıtmalı; veri kategorileri, amaç, taraflar, güvenlik ve ilgili kişi hakları fiilen uygulanmalıdır.

Kamu kurumları veya uluslararası kuruluşlar arası anlaşma nasıl kullanılır?

KVKK m.9, yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum ve kuruluşları ya da kamu kurumu niteliğindeki meslek kuruluşları arasında yapılacak anlaşmayı uygun güvence yöntemi olarak kabul eder.

Bu yöntemde anlaşmanın kişisel veri aktarımına ilişkin yeterli güvence sağlaması gerekir. Ayrıca aktarım için Kişisel Verileri Koruma Kurulunun izni aranır. Yalnız kurumlar arasında genel iş birliği protokolü bulunması otomatik aktarım yetkisi doğurmaz.

Protokolde aktarılacak veri kategorileri, amaç, saklama, güvenlik, ilgili kişi hakları, ihlal bildirimi, sonraki aktarım ve sözleşmenin sona ermesinden sonraki imha gibi konular açık biçimde düzenlenmelidir.

Kamu kurumları da KVKK’ya tabidir ve yurt dışı aktarımında kanundaki kademeli sistemi izlemek zorundadır. Kamu yararı iddiası, m.9 prosedürünü kendiliğinden ortadan kaldırmaz.

Bağlayıcı şirket kuralları nedir?

Bağlayıcı şirket kuralları, ortak ekonomik faaliyette bulunan teşebbüs grubu içindeki şirketler arasında kişisel verilerin sürekli yurt dışı aktarımını düzenleyen iç kurallardır. Bu mekanizma özellikle çok uluslu şirket grupları için tasarlanmıştır.

Kurallar grup içindeki veri akışlarını, veri sahibi haklarını, güvenlik tedbirlerini, sorumluluğu, şikâyet yollarını, denetim ve eğitim sistemini ayrıntılı biçimde göstermelidir. Kuralların yalnız politika belgesi değil, grup şirketleri bakımından bağlayıcı olması gerekir.

Bağlayıcı şirket kuralları Kişisel Verileri Koruma Kurulunun onayına tabidir. Onay alınmadan BCR başlığı taşıyan şirket politikası m.9’daki uygun güvence mekanizması olarak kullanılamaz.

Gruba yeni şirket katıldığında veya veri akışı önemli ölçüde değiştiğinde kuralların kapsamı ve onayın etkisi yeniden değerlendirilmelidir.

KVKK standart sözleşmesi nedir?

2024 değişikliğinin uygulamadaki en önemli araçlarından biri standart sözleşmedir. Kişisel Verileri Koruma Kurulu, yurt dışı aktarımlarda kullanılmak üzere farklı taraf modellerine uygun standart sözleşme metinleri yayımlamıştır. Veri sorumlusu veya veri işleyen, aktarım ilişkisine uygun modeli kullanarak karşı tarafla sözleşme kurabilir.

Standart sözleşmenin Kurulca ilan edilen metninin esaslı hükümleri keyfi biçimde değiştirilmemelidir. Taraf bilgileri, veri kategorileri, aktarım amacı, güvenlik tedbirleri ve ekler somut işleme faaliyetine göre doğru doldurulmalıdır.

Standart sözleşme imzalarının tamamlanmasından sonra Kanun ve ikincil mevzuattaki bildirim yükümlülüğüne uyulmalıdır. Uygulamadaki sistemde standart sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilir. Bildirim süreci sözleşmenin taraf modeline ve Kurumun güncel elektronik sistemine göre yürütülmelidir.

Standart sözleşmenin yapılması, veri aktarımının teknik güvenliğini otomatik sağlamaz. Şifreleme, erişim kontrolü, kayıt tutma, alt işleyen yönetimi ve gerektiğinde ek önlemler ayrıca uygulanmalıdır.

Yazılı taahhütname ve Kurul izni nasıl işler?

Uygun güvencelerden biri, aktarım tarafları arasında yeterli korumayı sağlayacak hükümleri içeren yazılı taahhütnamedir. Bu yöntemin kullanılabilmesi için Kişisel Verileri Koruma Kurulunun izni gerekir.

Taahhütnamede veri kategorileri, amaç, tarafların yükümlülükleri, ilgili kişi hakları, güvenlik tedbirleri, ihlal hâlinde yapılacaklar, sonraki aktarım ve sözleşme sona erdiğinde veri iadesi veya imhası açıkça düzenlenmelidir.

Kurul izni alınmadan fiili aktarım yapılmamalıdır. Başvuru sürecinin uzunluğu iş planında dikkate alınmalı, tedarikçi seçimi sırasında veri lokasyonu baştan sorgulanmalıdır.

Standart sözleşme uygulanabilirken ayrıca taahhütname seçilmesi zorunlu değildir; veri sorumlusu aktarım yapısına göre uygun mekanizmayı belirler.

Uygun güvence yoksa hangi arızi aktarım hâlleri kullanılabilir?

Yeterlilik kararı ve uygun güvence bulunmadığında, aktarımın düzenli olmaması şartıyla KVKK m.9’da sayılan istisnai hâller kullanılabilir. Bu istisnalar sürekli iş modeli kurmak için değil, belirli ve arızi ihtiyaçlar için öngörülmüştür.

İlgili kişinin muhtemel riskler hakkında bilgilendirildikten sonra açık rıza vermesi; ilgili kişi ile veri sorumlusu arasındaki sözleşmenin ifası veya kişinin talebi üzerine sözleşme öncesi tedbirlerin uygulanması için aktarımın zorunlu olması; ilgili kişi yararına veri sorumlusu ile başka gerçek/tüzel kişi arasındaki sözleşmenin kurulması veya ifası; önemli kamu yararı; bir hakkın tesisi, kullanılması veya korunması; fiili imkânsızlık hâlinde hayat veya beden bütünlüğünün korunması bu istisnalar arasındadır.

Ayrıca kamuya veya meşru menfaati bulunan kişilere açık sicillerden Kanundaki erişim şartlarına uygun aktarım belirli koşullarda mümkündür. Ancak sicilin tamamının toplu biçimde aktarılması gibi ölçüsüz uygulamalar bu istisnaya dayandırılamaz.

Bir şirketin her gün yabancı CRM sistemine müşteri verisi göndermesi arızi aktarım değildir. Böyle düzenli aktarımda yeterlilik veya uygun güvence mekanizması kurulmalıdır.

Yabancı bulut hizmeti kullanmak yurt dışı aktarım sayılır mı?

Bulut hizmetinde kişisel verinin yabancı ülkedeki sunucuda tutulması, yabancı sağlayıcının veriye erişebilmesi veya destek ekibinin yurt dışından erişmesi kişisel verinin yurt dışına aktarımı sonucunu doğurabilir. Veri sorumlusu yalnız sağlayıcının şirket merkezine değil, gerçek veri lokasyonu ve erişim noktalarına bakmalıdır.

Microsoft 365, Google Workspace, CRM, insan kaynakları, analiz, çağrı merkezi veya yedekleme hizmeti seçilirken veri lokasyonu sözleşme öncesinde kontrol edilmelidir. “Türkiye’de satış ofisi var” bilgisi verinin Türkiye’de kaldığını göstermez.

Yabancı hizmet sağlayıcıyla standart sözleşme veya başka uygun güvence kurulması gerekebilir. Ayrıca veri işleyen sözleşmesi, alt işleyenler, ihlal bildirimi ve teknik güvenlik hükümleri düzenlenmelidir.

Veri minimizasyonu da önemlidir. Bulut hizmetine ihtiyaç olmayan özel nitelikli veya yüksek riskli verinin aktarılmaması, aktarım kapsamını azaltır ve güvenlik riskini düşürür.

Veri işleyen de yurt dışına veri aktarabilir mi?

Evet, m.9 sistemi veri sorumlularının yanı sıra veri işleyenlerin aktarım ilişkilerini de kapsayabilir. Özellikle yabancı alt işleyen kullanımı ve bulut altyapısında veri işleyen zinciri dikkatle yönetilmelidir.

Veri işleyen, veri sorumlusunun talimatları ve aralarındaki sözleşme kapsamında hareket eder. Kendi kararıyla onaysız şekilde yeni yabancı alt işleyen kullanmamalı veya veriyi başka ülkeye taşımamalıdır.

Standart sözleşme modelleri veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene veya veri işleyenden veri sorumlusuna gibi farklı aktarım rollerine göre seçilir. Yanlış model kullanılması uyum riski yaratır.

Veri sorumlusu tedarikçi denetiminde veri lokasyonu, alt işleyen listesi, güvenlik sertifikaları, erişim kayıtları ve ülke değişikliği prosedürünü kontrol etmelidir.

Yurt dışı aktarım uyum dosyasında hangi belgeler bulunmalıdır?

İlk belge veri akış haritasıdır. Hangi veri kategorisinin hangi ülkedeki hangi alıcıya, hangi amaçla, hangi sistem üzerinden ve ne sıklıkta aktarıldığı gösterilmelidir.

İkinci belge Türkiye’deki işleme hukuki sebebidir. Genel veri için m.5, özel nitelikli veri için m.6 şartı açıkça belirlenmelidir. İşleme hukuka aykırıysa aktarım sözleşmesi sorunu çözmez.

Üçüncü belge yurt dışı aktarım mekanizmasıdır. Yeterlilik kararı, standart sözleşme, BCR, taahhütname/Kurul izni veya arızi istisnanın hangisinin kullanıldığı kayıt altına alınmalıdır.

Dördüncü grup güvenlik ve tedarikçi belgeleridir. Teknik ve idari tedbirler, ihlal prosedürü, alt işleyenler, veri lokasyonu, silme ve sözleşme sona erme hükümleri saklanmalıdır. Aydınlatma metni ve veri envanteri de gerçek aktarım durumunu yansıtmalıdır.

Sık sorulan sorular

KVKK’ya göre yurt dışına veri aktarımı yasak mı?

Hayır. M.9’daki yeterlilik, uygun güvence veya şartları varsa arızi aktarım mekanizmalarıyla yapılabilir.

Yurt dışı aktarım için her zaman açık rıza gerekir mi?

Hayır. Yeni m.9 sistemi açık rızayı tek yol olarak düzenlemez.

Standart sözleşme ne işe yarar?

Yeterlilik kararı olmayan aktarımlarda Kanunun kabul ettiği uygun güvence mekanizmalarından biridir.

Standart sözleşme Kuruma bildirilir mi?

Evet. İmzaların tamamlanmasından sonra güncel usule göre beş iş günü içinde Kuruma bildirim yapılır.

Google veya Microsoft bulut kullanmak yurt dışı aktarım olabilir mi?

Veri lokasyonu veya yabancı erişim söz konusuysa evet. Somut hizmet mimarisi kontrol edilmelidir.

Yabancı grup şirketine veri gönderilebilir mi?

Yeterlilik veya uygun güvence mekanizması kurulmalıdır; çok uluslu grup için bağlayıcı şirket kuralları seçeneklerden biridir.

Arızi aktarım ne demektir?

Düzenli ve sürekli olmayan, Kanunda özel olarak sayılan belirli durumlarda yapılan istisnai aktarımdır.

Düzenli müşteri verisi aktarımı açık rızayla yapılabilir mi?

Yeni sistemde düzenli aktarım için kural olarak yeterlilik veya uygun güvence mekanizması kurulmalıdır; arızi istisnalar sürekli aktarım modeli değildir.

Özel nitelikli veri yurt dışına aktarılabilir mi?

M.6’daki işleme şartı ve m.9’daki aktarım şartları birlikte sağlanırsa aktarılabilir.

Aktarım yapılan ülke değişirse ne yapılır?

Veri akışı ve kullanılan m.9 mekanizması yeniden değerlendirilir; sözleşme ve aydınlatma belgeleri güncellenir.

Resmî kaynak ve bağlantılı içerikler

6698 sayılı Kanun’un güncel m.9 metni ve ilgili yönetmelik için Mevzuat Bilgi Sistemi; standart sözleşmeler, bağlayıcı şirket kuralları ve güncel duyurular için Kişisel Verileri Koruma Kurumu kullanılmalıdır. Genel işleme şartları için KVKK m.5 rehberi, özel nitelikli veriler için KVKK m.6 rehberi incelenebilir.

Hukukçu incelemesi ve E-E-A-T: İçerik 11 Eylül 2026 itibarıyla 1 Haziran 2024’te yürürlüğe giren yeni KVKK m.9 sistemi esas alınarak hazırlanmıştır. Eski “güvenli ülke + açık rıza” anlatımı güncel hukuk gibi kullanılmamış; yeterlilik, uygun güvence ve arızi aktarım sırası açıkça ayrılmıştır.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →