KVKK Yeterlilik Kararı Nedir? Yurt Dışına Veri Aktarımında m.9/1-3 | 2026

KVKK’nın yurt dışına veri aktarım sistemi 2024 yılında köklü biçimde değişti. Yeni sistemde ilk basamak yeterlilik kararıdır. Yeterlilik kararı, Türkiye’den veri aktarılacak yabancı ülkenin tamamının, o ülke içindeki belirli bir sektörün veya bir uluslararası kuruluşun kişisel veriler bakımından yeterli koruma sağladığının Kurul tarafından resmen kabul edilmesidir.

Bu mekanizma, veri sorumlusuna her aktarım için ayrı standart sözleşme veya taahhütname kurma zorunluluğu doğmadan veri aktarımı yapma imkânı sağlayabilir. Ancak yeterlilik kararının varlığı, kişisel verinin sınırsız aktarılabileceği anlamına gelmez. Aktarım için ayrıca KVKK m.5 veya özel nitelikli kişisel veriler bakımından m.6’daki işleme şartlarından biri bulunmalı; genel ilkeler, aydınlatma, veri güvenliği ve amaçla sınırlılık yükümlülükleri devam etmelidir.

• Yeterlilik kararı nedir?
• Kanuni dayanak nedir?
• Kararı kim verir?
• Hangi ülke, sektör veya kuruluşlar için verilebilir?
• Kurul hangi ölçütleri inceler?
• Karar ne kadar süreyle geçerlidir?
• Karar değiştirilebilir veya kaldırılabilir mi?
• Yeterlilik kararı varsa başka güvence gerekir mi?
• Özel nitelikli veri nasıl aktarılır?
• Yeterlilik kararı yoksa ne yapılır?
• Şirketlerin uyum dosyasında ne bulunmalıdır?

1. KVKK Yeterlilik Kararı Nedir?

Yeterlilik kararı, kişisel verilerin aktarılacağı yabancı ülkenin tamamı, o ülke içindeki belirli sektör veya uluslararası kuruluş bakımından kişisel veri koruma seviyesinin Kurul tarafından yeterli kabul edilmesidir. Karar, veri aktarımının tarafları arasında özel bir sözleşme değil, Kurulun genel nitelikteki düzenleyici değerlendirmesidir.

KVKK m.9/1’e göre veri sorumluları ve veri işleyenler, m.5 ve m.6’da belirtilen şartlardan birinin bulunması ve aktarımın yapılacağı ülke, ülke içerisindeki sektör veya uluslararası kuruluş hakkında yeterlilik kararı bulunması hâlinde kişisel verileri yurt dışına aktarabilir.

Bu düzenleme ile Türkiye’deki sistem, veri aktarımında ülke veya belirli alan bazlı koruma seviyesi değerlendirmesine dayanan bir yapıya geçmiştir. Ancak aktarımın hukuki sebebi ile yeterlilik kararı birbirinden farklıdır. Yeterlilik kararı yalnız yurt dışı aktarım katmanını karşılar.

2. Yeterlilik Kararının Kanuni Dayanağı Nedir?

Yeterlilik kararı KVKK m.9’un ilk üç fıkrasında düzenlenir. Birinci fıkra aktarım imkânını, ikinci fıkra kararın Kurul tarafından verilerek Resmî Gazete’de yayımlanmasını ve değerlendirme periyodunu, üçüncü fıkra ise Kurulun karar verirken öncelikle dikkate alacağı ölçütleri belirler.

Bu hükümler 7499 sayılı Kanun ile 6698 sayılı Kanun’un 9. maddesinde yapılan değişiklik sonucunda 1 Haziran 2024 tarihinde yürürlüğe giren yeni sistemin parçasıdır. Şirketlerin 2024 öncesi yurt dışı aktarım dokümanlarını güncel m.9’a göre yeniden değerlendirmesi gerekir.

3. Yeterlilik Kararını Kim Verir ve Nerede Yayımlanır?

KVKK m.9/2 uyarınca yeterlilik kararı Kişisel Verileri Koruma Kurulu tarafından verilir ve Resmî Gazete’de yayımlanır. Kurul gerekli görürse ilgili kurum ve kuruluşların görüşünü alabilir.

Şirketlerin bir ülkenin kendi veri koruma mevzuatına bakarak “bu ülke yeterlidir” şeklinde tek taraflı karar vermesi hukuken yeterlilik kararı oluşturmaz. KVKK m.9 anlamındaki yeterlilik için Kurulun resmî kararı gerekir.

Bu nedenle veri aktarım envanterinde “ülke güvenli kabul edilmiştir” gibi şirket içi notlar yerine, varsa Resmî Gazete’de yayımlanmış Kurul kararının tarih ve sayısı kayıt altına alınmalıdır.

4. Yeterlilik Kararı Sadece Bir Ülkenin Tamamı İçin mi Verilir?

Hayır. KVKK m.9, yeterlilik kararının bir ülke, o ülke içindeki sektörler veya uluslararası kuruluşlar hakkında verilebilmesini öngörür. Dolayısıyla kararın kapsamı mutlaka devletin tüm ekonomik ve idari alanlarını içermek zorunda değildir.

Sektörel yeterlilik kararı verilmişse, kararın yalnız kapsadığı sektördeki veri alıcıları için uygulanması gerekir. Veri alıcısının gerçekten bu kapsamda bulunup bulunmadığı belgelenmelidir. Uluslararası kuruluş bakımından verilen karar da yalnız ilgili kuruluş ve karar kapsamındaki aktarımlar için sonuç doğurur.

Bu nedenle yeterlilik kararının yalnız başlığına bakmak yerine kapsam, koşul, sınırlama ve varsa geçiş hükümleri incelenmelidir.

5. Kurul Yeterlilik Kararı Verirken Hangi Ölçütlere Bakar?

KVKK m.9/3 Kurulun öncelikle dikkate alacağı ölçütleri sayar. Bunların başında Türkiye ile kişisel verilerin aktarılacağı ülke, o ülke içindeki sektör veya uluslararası kuruluş arasındaki karşılıklılık durumu gelir.

Ayrıca ilgili ülkenin kişisel verilerin işlenmesine ilişkin mevzuatı ve uygulaması, meslek kuralları, güvenlik tedbirleri, ilgili kişinin haklarını ve etkili kanun yollarını kullanabilme imkânı ile veri koruma otoritesinin varlığı ve etkinliği değerlendirilir. Uluslararası kuruluş bakımından kuruluşun tabi olduğu kurallar ve bağımsız denetim mekanizması önem taşır.

Kurul, Türkiye’nin taraf olduğu uluslararası sözleşmeleri ve kişisel veri koruma alanında taraf olunan uluslararası kuruluşlarla ilişkileri de dikkate alır. Değerlendirme tek bir kanun metnine indirgenmez; fiilî koruma ve hak arama kapasitesi birlikte incelenir.

6. Karşılıklılık Neden Önemlidir?

KVKK m.9/3-a, kişisel verilerin Türkiye ile ilgili ülke, sektör veya uluslararası kuruluş arasındaki aktarımı bakımından karşılıklılık durumunu açıkça değerlendirme ölçütlerinden biri olarak sayar. Bu, Türkiye’den giden verinin korunmasının yanı sıra Türkiye’ye yönelik veri akışındaki yaklaşımın da dikkate alınabileceğini gösterir.

Karşılıklılık tek başına yeterlilik kararı için yeterli değildir; diğer koruma ve hukuk yolu ölçütleriyle birlikte değerlendirilir. Bu nedenle şirketler “o ülke AB tarafından yeterli kabul edildi” veya “o ülkede veri koruma kanunu var” diyerek KVKK bakımından yeterlilik sonucu çıkaramaz.

7. Yeterlilik Kararı Ne Kadar Süreyle Geçerlidir?

KVKK m.9/2’ye göre yeterlilik kararı en geç dört yılda bir değerlendirilir. Bu hüküm, kararın süresiz ve değişmez olmadığını açıkça ortaya koyar. Kurul değerlendirme sonucunda veya gerekli gördüğü diğer hâllerde kararı ileriye etkili olmak üzere değiştirebilir, askıya alabilir veya kaldırabilir.

Şirket bu nedenle bir kez yeterlilik kararına dayandıktan sonra aynı kontrolü hiç yapmadan yıllarca devam edemez. Aktarım envanterinde dayanak kararın güncel durumu periyodik olarak kontrol edilmelidir.

Kurulun kararı askıya alması veya kaldırması hâlinde yeni aktarımlar için uygun başka bir m.9 mekanizmasına geçilmesi gerekir. Süreç sahipleri, hukuk ve bilgi güvenliği ekipleri bu değişikliği teknik sistemlere yansıtmalıdır.

8. Yeterlilik Kararı Varsa Standart Sözleşme Gerekir mi?

Aktarımın kapsamı geçerli bir yeterlilik kararına giriyorsa, KVKK m.9/1 çerçevesinde ayrıca m.9/4’teki uygun güvence yöntemlerinden birini kurmak zorunlu değildir. Ancak bunun için veri alıcısı ve aktarımın gerçekten yeterlilik kararının kapsamına girmesi gerekir.

Yeterlilik kararının kapsamadığı bir ülke, sektör veya alıcı bakımından standart sözleşme, bağlayıcı şirket kuralları, taahhütname veya Kanundaki diğer yöntemler değerlendirilir. Standart sözleşme kullanılıyorsa imzadan itibaren beş iş günlük bildirim zorunluluğu için standart sözleşme bildirim rehberi incelenebilir.

9. Yeterlilik Kararı İşleme Şartının Yerine Geçer mi?

Hayır. KVKK m.9/1 açık biçimde m.5 ve m.6’daki şartlardan birinin bulunmasını ayrıca arar. Örneğin müşteri verisinin sözleşmenin ifası için işlenmesi m.5/2-c’ye dayanıyorsa, yurt dışına aktarım için de bu işleme şartının somut veri akışı bakımından geçerli olması ve yeterlilik kararının aktarım tarafını kapsaması gerekir.

Yeterlilik kararı, amaçsız veya gereğinden fazla veri aktarımına izin vermez. KVKK m.4’teki genel ilkeler, veri minimizasyonu, saklama süresi, doğruluk ve amaçla bağlantılılık devam eder.

10. Özel Nitelikli Kişisel Veriler Nasıl Aktarılır?

Sağlık, biyometrik, genetik ve Kanunda özel nitelikli kabul edilen diğer verilerin aktarımında KVKK m.6’daki işleme şartları ve Kurulca belirlenen ek güvenlik önlemleri dikkate alınmalıdır. Yeterlilik kararı yalnız yurt dışına aktarım katmanını sağlar; özel nitelikli verinin işlenmesine ilişkin koşulları ortadan kaldırmaz.

Özel nitelikli verilerin gereksiz biçimde topluca aktarılması, yeterlilik kararı bulunsa dahi hukuka uygun değildir. Veri kategorisi ve aktarım amacı arasında zorunlu bağlantı kurulmalıdır.

11. Yeterlilik Kararı Yoksa Ne Yapılır?

Yeterlilik kararı bulunmuyorsa KVKK m.9/4’teki uygun güvence yolları değerlendirilir. Bunlar arasında uluslararası sözleşme niteliğinde olmayan anlaşma ve Kurul izni, Kurulca onaylanan bağlayıcı şirket kuralları, standart sözleşme ve taahhütname ile Kurul izni yer alır.

Bu uygun güvencelerin de sağlanamadığı durumda ancak aktarım arıziyse KVKK m.9/6’daki istisnai hâller gündeme gelebilir. Ayrıntılı şartlar için arızi yurt dışı veri aktarımı rehberi incelenebilir.

12. Şirketlerin Yeterlilik Kararı Kontrol Listesi

• Veri alıcısının bulunduğu ülkeyi belirleyin.
• Sunucu, uzaktan erişim ve alt işleyen ülkelerini ayrıca çıkarın.
• Geçerli bir Kurul yeterlilik kararı olup olmadığını kontrol edin.
• Kararın ülke mi sektör mü kuruluş bazlı olduğunu belirleyin.
• Alıcının karar kapsamına girdiğini belgeleyin.
• KVKK m.5 veya m.6 işleme şartını kaydedin.
• KVKK m.4 genel ilkelerine uygunluğu kontrol edin.
• Özel nitelikli veri varsa ek güvenlik önlemlerini uygulayın.
• Kararın askıya alınma/değişiklik durumunu periyodik izleyin.
• Aktarım envanteri ve aydınlatma metinlerini güncel tutun.

13. Sık Yapılan Hatalar

En önemli hata, yabancı ülkenin güçlü veri koruma mevzuatına sahip olmasını otomatik olarak KVKK yeterlilik kararı saymaktır. İkinci hata, yeterlilik kararının varlığını kişisel veriyi işleme hukuki sebebi yerine kullanmaktır. Üçüncü hata ise kararın kapsamındaki sektör veya kuruluş sınırlamasını kontrol etmeden tüm aktarımları aynı dayanağa bağlamaktır.

Bir diğer hata, kararın güncelliğini kontrol etmemektir. Kanun kararı en geç dört yılda bir değerlendirme ve gerektiğinde değiştirme, askıya alma veya kaldırma yetkisini açıkça Kurula vermiştir.

14. Site İçindeki İlgili Rehberler

Yurt dışına veri aktarımı ve uyum konuları için Kişisel Veriler Hukuku, teknik güvenlik için Siber Güvenlik Hukuku, sözleşmesel yapı için Ticaret ve Sözleşmeler Hukuku ve genel uygulama yazıları için Hukuk Rehberleri kullanılabilir.

15. Resmî Kaynaklar

• KVKK – Yurt Dışına Aktarım
• KVKK – Yurt Dışına Aktarım Rehberi
• KVKK – İlgili Yönetmelik
• 6698 sayılı KVKK

16. Sık Sorulan Sorular

Yeterlilik kararı ne işe yarar?

Karar kapsamındaki ülke, sektör veya uluslararası kuruluşa veri aktarımının KVKK m.9/1 üzerinden yapılmasına imkân verir.

Kararı şirket kendi verebilir mi?

Hayır. KVKK yeterlilik kararını Kişisel Verileri Koruma Kurulu verir.

Yeterlilik kararı nerede yayımlanır?

Resmî Gazete’de yayımlanır.

Karar sadece ülke için mi verilir?

Hayır. Ülke içindeki belirli sektör veya uluslararası kuruluş hakkında da verilebilir.

Karar süresiz midir?

Karar en geç dört yılda bir değerlendirilir ve gerektiğinde ileriye etkili olarak değiştirilebilir, askıya alınabilir veya kaldırılabilir.

Yeterlilik varsa açık rıza gerekir mi?

Aktarım için ayrıca KVKK m.5 veya m.6’daki uygun işleme şartı bulunmalıdır. Her durumda açık rıza zorunlu değildir.

Standart sözleşme de imzalanmalı mı?

Geçerli yeterlilik kararı kapsamındaki aktarımda ayrıca m.9/4 uygun güvencesi zorunlu değildir.

Yeterlilik kararı yoksa aktarım yasak mı?

Hayır. KVKK m.9/4’teki uygun güvenceler veya şartları varsa m.9/6’daki arızi istisnalar kullanılabilir.

Özel nitelikli veri yeterlilik kararıyla aktarılabilir mi?

KVKK m.6 şartları ve ek güvenlik tedbirleri ayrıca sağlanmalıdır.

Kararın kapsamı neden kontrol edilmeli?

Sektör veya kuruluş bazlı karar, ülkenin tüm alıcılarını kapsamayabilir.

17. Uygulamada İzlenecek Net Yol

Şirket önce yurt dışı veri akışını ülke, alıcı ve sistem bazında haritalamalı; her aktarım için KVKK m.5 veya m.6 işleme şartını belirlemelidir. Ardından Resmî Gazete ve Kurum kaynaklarından yeterlilik kararının varlığı ve kapsamı kontrol edilmelidir. Karar yoksa uygun güvence mekanizmasına geçilmelidir.

Bakırcı & Keskin Hukuk Bürosu, KVKK uyumu ve yurt dışına veri aktarım mekanizmalarını somut veri akışları üzerinden incelemektedir. Türkiye genelindeki çalışmalar Mersin’deki tek fiziksel ofisten koordine edilir.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →