KVKK Yurt Dışına Veri Aktarımında Arızi Haller Nelerdir? m.9/6 | 2026
Yurt dışına veri aktarımında en sık yapılan hatalardan biri, KVKK m.9/6’daki istisnai aktarım hâllerini sürekli kullanılan bir veri aktarım yöntemi gibi görmektir. Oysa Kanun ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, arızi aktarımı dar bir alan olarak düzenler. Bir aktarımın istisnai hâllerden birine girmesi yetmez; aynı zamanda düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içinde bulunmayan nitelikte olması gerekir.
Bu ayrım özellikle yabancı bulut hizmetleri, sürekli kullanılan e-posta veya CRM altyapıları, yurt dışındaki grup şirketlerinin düzenli erişimi, global insan kaynakları sistemleri ve sürekli dış kaynak hizmetlerinde önemlidir. Bu tür devamlı veri akışlarında “ilgili kişiden açık rıza alındı” denilerek m.9/6’nın arızi istisnasına dayanılması, aktarımın fiilî niteliği arızi değilse hukuken yeterli değildir.
- Arızi aktarım nedir?
- KVKK m.9/6 ne zaman uygulanır?
- Açık rıza ile arızi aktarım
- Sözleşmenin ifası için zorunlu aktarım
- İlgili kişi yararına sözleşme için aktarım
- Üstün kamu yararı için zorunlu aktarım
- Bir hakkın tesisi, kullanılması veya korunması
- Hayati menfaat nedeniyle aktarım
- Kamuya açık sicilden aktarım
- Düzenli aktarım neden arızi sayılmaz?
- Şirketlerin belgelemeyi nasıl yapması gerekir?
1. Arızi Veri Aktarımı Nedir?
Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, arızi aktarım kavramını somut ölçütlerle açıklar. Düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içinde bulunmayan aktarımlar arızi niteliktedir. Bu tanım, m.9/6 istisnalarının sınırını belirleyen temel kuraldır.
Örneğin Türkiye’deki bir şirketin sürekli olarak yabancı ülkedeki grup şirketine çalışan verisi göndermesi arızi değildir. Buna karşılık tek bir uluslararası uyuşmazlıkta yabancı mahkemeye sunulması zorunlu belirli belgelerin bir defaya mahsus aktarılması, diğer şartlar da varsa arızi aktarım kapsamında değerlendirilebilir.
Arızi olup olmadığı aktarımın adıyla değil fiilî yapısıyla belirlenir. İşlem sözleşmede “istisnai” olarak adlandırılmış olsa dahi haftalık veya aylık tekrar eden, sistematik ve işletmenin normal iş modeline yerleşmiş aktarım arızi değildir.
2. KVKK m.9/6 Ne Zaman Uygulanabilir?
KVKK m.9/6 doğrudan ilk tercih değildir. Önce kişisel veri veya özel nitelikli kişisel veri bakımından KVKK m.5 veya m.6’daki işleme şartlarından biri bulunmalıdır. Ardından yurt dışına aktarım bakımından yeterlilik kararı incelenir. Yeterlilik kararı yoksa m.9/4’teki uygun güvence yöntemlerinin bulunup bulunmadığı değerlendirilir.
Standart sözleşme, Kurul tarafından onaylanan bağlayıcı şirket kuralları, taahhütname ve Kurul izni ile Kanundaki diğer uygun güvence yolları sağlanamıyorsa ancak o zaman m.9/6’daki istisnai aktarım alanına geçilir. Bu sıralama, arızi aktarımın olağan yöntem olmadığını gösterir.
Dolayısıyla sürekli bir yabancı SaaS hizmeti kullanan veri sorumlusunun, uygun güvence kurmaktan kaçınmak için m.9/6’ya dayanması doğru değildir. Sürekli hizmet, doğası gereği olağan faaliyet akışının parçasıdır.
3. Riskler Hakkında Bilgilendirilmiş Açık Rıza
KVKK m.9/6-a kapsamında ilgili kişi, muhtemel riskler hakkında bilgilendirilmek kaydıyla aktarıma açık rıza verebilir. Buradaki açık rıza, genel KVKK açık rızasından farklı olarak yurt dışı aktarımının doğurabileceği muhtemel riskler konusunda özel bir bilgilendirme gerektirir.
Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan irade beyanı olmalıdır. Hizmetin sunulması için hukuken gerekli olmayan aktarım bakımından rızanın zorunlu şart gibi sunulması, özgür irade unsurunu zedeler. Ayrıca m.9/6 kapsamında rızaya dayanılabilmesi için aktarımın arızi niteliği devam etmelidir.
Bu nedenle şirketin her gün kullandığı yabancı yazılım için bütün çalışanlardan veya müşterilerden açık rıza toplaması, aktarımı kendiliğinden m.9/6 kapsamında hukuka uygun hâle getirmez. Süreklilik varsa uygun güvence mekanizmasına geçilmelidir.
4. İlgili Kişi ile Veri Sorumlusu Arasındaki Sözleşmenin İfası
KVKK m.9/6-b, aktarımın ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması hâlini düzenler. Buradaki anahtar kelime “zorunlu”dur. Aktarım yalnız daha pratik veya daha ucuz olduğu için bu istisna kullanılamaz.
Örneğin ilgili kişinin talep ettiği belirli bir yurt dışı seyahat veya uluslararası hizmet organizasyonunda, hizmetin kurulabilmesi için zorunlu sınırlı aktarım bu bent kapsamında değerlendirilebilir. Buna karşılık şirketin genel operasyon tercihi nedeniyle tüm müşteri verisini sürekli yabancı sunucuda tutması bu istisnanın kapsamına girmez.
Aktarılacak veri, sözleşmenin ifası için gerçekten gerekli olanla sınırlandırılmalıdır. Veri minimizasyonu ilkesi burada da uygulanır.
5. İlgili Kişi Yararına Yapılacak Sözleşme
KVKK m.9/6-c uyarınca aktarımın, ilgili kişi yararına veri sorumlusu ile başka bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması da istisnai aktarım nedenidir. Burada sözleşmenin tarafı ilgili kişi değildir; ancak sözleşme onun yararına kurulmakta veya ifa edilmektedir.
Bu bent de sınırsız bir aktarım yetkisi vermez. Aktarımın sözleşmenin kurulması veya ifası için zorunlu olması ve arızi nitelikte kalması gerekir. Sürekli kullanılan genel tedarik veya altyapı sözleşmeleri bu bent üzerinden otomatik olarak meşrulaştırılamaz.
6. Üstün Kamu Yararı İçin Zorunlu Aktarım
KVKK m.9/6-ç kapsamında üstün bir kamu yararı için aktarımın zorunlu olması hâlinde arızi yurt dışı aktarımı yapılabilir. Kamu yararı kavramı geniş yorumlanarak her kurumsal çıkar bu kapsama sokulamaz. Üstün kamu yararı, aktarımın kamuya ilişkin önemli bir amacı gerçekleştirmek için zorunlu olmasını gerektirir.
Bu gerekçe kullanıldığında kamu yararının ne olduğu, aktarımın neden zorunlu bulunduğu, hangi verilerin aktarıldığı ve neden başka bir yöntemle amaca ulaşılamadığı dosyada açıkça belgelenmelidir.
7. Bir Hakkın Tesisi, Kullanılması veya Korunması
KVKK m.9/6-d, bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin yurt dışına aktarılmasının zorunlu olduğu arızi durumları kapsar. Uluslararası uyuşmazlık, yabancı mahkeme veya tahkim süreci, yabancı idari makam önündeki savunma ya da hukuki talebin ileri sürülmesi buna örnek olabilir.
Ancak aktarım, hakkın korunması için gerekli belgelerle sınırlı tutulmalıdır. Bir uyuşmazlık dosyası gerekçe gösterilerek ilgisiz çalışan veya müşteri verilerinin topluca aktarılması ölçülülük ilkesine aykırı olur. Avukat-müvekkil ve sır saklama yükümlülükleri de ayrıca gözetilmelidir.
8. Hayati Menfaat Nedeniyle Aktarım
KVKK m.9/6-e kapsamında, ilgili kişinin veya başka kişilerin hayatı ya da beden bütünlüğünün korunması için kişisel veri aktarımının zorunlu olması ve ilgili kişinin fiilî imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunması veya rızasına hukuki geçerlilik tanınmaması hâlinde aktarım yapılabilir.
Bu bent acil ve sınırlı durumlara yöneliktir. Sağlık hizmeti, kaza, afet veya benzeri olağanüstü olaylarda, kişinin hayati çıkarını korumak için gerekli bilgi yabancı sağlık kuruluşuna veya yetkili birime aktarılabilir. Aktarımın kapsamı zorunlu veriyle sınırlı olmalıdır.
9. Kamuya Açık Sicilden Aktarım
KVKK m.9/6-f, kamuya veya meşru menfaati bulunan kişilere açık bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılmasını düzenler. Bu hüküm kamuya açık her internet bilgisini sınırsız aktarma yetkisi vermez.
Sicilin hangi mevzuata göre açık olduğu, erişim şartlarının karşılanıp karşılanmadığı ve talepte bulunan kişinin meşru menfaati somutlaştırılmalıdır. Ayrıca tüm sicilin topluca aktarımı yerine talep ve amaçla sınırlı veri esas alınmalıdır.
10. Düzenli Aktarım Neden Arızi Sayılmaz?
Yönetmeliğin açık tanımına göre süreklilik arz eden ve olağan faaliyet akışı içindeki aktarım arızi değildir. Bu nedenle her personel işe girişinde, her satışta, her siparişte veya her sistem kullanımında tekrar eden veri aktarımı düzenli aktarım niteliğindedir.
Teknik olarak veri yalnız kullanıcı işlem yaptığında yurt dışına gidiyor olsa bile sistem sürekli kullanılıyorsa aktarımın işletme modelindeki devamlılığı dikkate alınır. “Her aktarım ayrı bir olaydır” denilerek sürekli sistem arızi aktarıma dönüştürülemez.
Düzenli aktarımlar için yeterlilik kararı veya m.9/4’teki uygun güvencelerden biri kurulmalıdır. Standart sözleşme hakkında 5 iş günü bildirim rehberi, grup içi veri akışları için Bağlayıcı Şirket Kuralları rehberi incelenebilir.
11. Arızi Aktarım Dosyasında Hangi Belgeler Tutulmalıdır?
- Aktarımın tarih ve amacı,
- Veri alıcısı ve ülke bilgisi,
- Aktarılan veri ve ilgili kişi kategorileri,
- KVKK m.5 veya m.6 işleme şartı,
- Yeterlilik ve uygun güvence değerlendirmesi,
- Aktarımın neden arızi olduğuna ilişkin açıklama,
- Dayanılan m.9/6 bendi,
- Zorunluluk ve ölçülülük analizi,
- Açık rıza kullanılıyorsa risk bilgilendirmesi ve rıza kaydı,
- Aktarımın tek veya sınırlı sayıda gerçekleştiğini gösteren kayıtlar.
Belgeleme, sonradan “bu aktarım neden standart sözleşmeyle yapılmadı?” sorusuna açık cevap verebilmelidir. Arızi nitelik yalnız sözlü değerlendirmeye bırakılamaz.
12. Açık Rıza ile Aydınlatma Ayrı Olmalıdır
Kişisel Verileri Koruma Kurulunun 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı, aydınlatma metni ile açık rıza metninin ayrı ayrı düzenlenmesi gerektiğini açık biçimde vurgulamıştır. Arızi yurt dışı aktarımında açık rıza alınacaksa, aydınlatma yükümlülüğü ile rıza beyanı tek bir belirsiz metinde birleştirilmemelidir.
Ayrıca ilgili kişi, m.9/6-a gereğince muhtemel riskler hakkında bilgilendirilmelidir. “Verileriniz yurt dışına aktarılabilir” şeklindeki soyut ifade, aktarımın niteliğini ve risklerini açıklamaya yetmez.
13. Site İçindeki İlgili Rehberler
Konuyla bağlantılı içerikler için Kişisel Veriler Hukuku, teknik güvenlik boyutu için Siber Güvenlik Hukuku, sözleşmesel yapı için Ticaret ve Sözleşmeler Hukuku ve diğer uygulama yazıları için Hukuk Rehberleri kullanılabilir.
14. Resmî Kaynaklar
- KVKK – Yurt Dışına Aktarım
- KVKK – Kişisel Verilerin Yurt Dışına Aktarılması Rehberi
- KVKK – Yurt Dışına Aktarım Yönetmeliği
- Kurul 2026/347 İlke Kararı Duyurusu
- 6698 sayılı KVKK
15. Sık Sorulan Sorular
Arızi aktarım ne demektir?
Düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışında bulunmayan aktarımdır.
Arızi aktarımda standart sözleşme gerekir mi?
m.9/6, yeterlilik kararı ve uygun güvencelerin sağlanamadığı durumda istisnai ve arızi aktarım alanıdır. Düzenli aktarım için uygun güvence kurulmalıdır.
Açık rıza sürekli yurt dışı aktarımı için yeterli midir?
KVKK m.9/6-a arızi aktarımı düzenler. Sürekli ve olağan iş akışındaki veri hareketi bu istisna üzerinden yürütülemez.
Risk bilgilendirmesi zorunlu mudur?
m.9/6-a bakımından evet; ilgili kişi muhtemel riskler hakkında bilgilendirilmelidir.
Yabancı mahkemeye belge göndermek arızi olabilir mi?
Bir hakkın tesisi, kullanılması veya korunması için zorunlu, sınırlı ve süreklilik taşımayan aktarım m.9/6-d kapsamında değerlendirilebilir.
Her sözleşme arızi aktarım sağlar mı?
Hayır. Kanun sözleşmenin ifası için aktarımın zorunlu olmasını ve aktarımın arızi kalmasını arar.
Yurt dışı bulut hizmeti arızi sayılır mı?
Sürekli kullanılan bulut altyapısındaki düzenli veri akışı arızi değildir.
Arızi aktarım kayıt altına alınmalı mı?
Evet. Dayanak, zorunluluk, veri kapsamı ve arızi nitelik denetlenebilir biçimde belgelenmelidir.
Özel nitelikli veri arızi aktarılabilir mi?
KVKK m.6’daki işleme şartı ve gerekli ek önlemler sağlanmalı; ayrıca m.9/6 şartları bulunmalıdır.
Aydınlatma ve açık rıza aynı metinde alınabilir mi?
Kurulun 2026/347 sayılı İlke Kararı uyarınca aydınlatma ve açık rıza metinleri ayrı düzenlenmelidir.
16. Uygulamada İzlenecek Net Yol
Şirket önce aktarımın düzenli mi arızi mi olduğunu belirlemelidir. Aktarım düzenliyse m.9/6’ya geçilmeden yeterlilik ve uygun güvence mekanizmaları kurulmalıdır. Gerçekten arızi aktarım varsa, Kanunda sayılan istisnai hâllerden hangisine dayanıldığı ve zorunluluk şartının nasıl karşılandığı yazılı olarak ortaya konulmalıdır.
Bakırcı & Keskin Hukuk Bürosu, yurt dışına veri aktarımı, standart sözleşme, BŞK ve KVKK uyum süreçlerini somut veri akışı üzerinden incelemektedir. Türkiye genelindeki çalışmalar Mersin’deki tek fiziksel ofisten koordine edilir.
Av. Halil Bakırcı
Mersin Barosu, Sicil 3472
Bakırcı & Keskin Hukuk Bürosu
Bu içerik 15.09.2026 tarihinde yürürlükteki 6698 sayılı KVKK m.9, Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Yönetmelik ve Kurumun güncel rehberleri esas alınarak hazırlanmıştır.
(E-İMZALIDIR)
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
