KVKK Yurt Dışına Veri Aktarımı 2026: m.9 Standart Sözleşme ve BŞK
Kişisel verinin yurt dışına aktarılması ne demektir?
Kişisel verinin Türkiye dışındaki bir alıcıya gönderilmesi, yabancı ülkedeki sunucuya yüklenmesi, yurt dışındaki ana şirketin erişimine açılması veya yabancı bulut hizmetinde işlenmesi yurt dışına veri aktarımı oluşturabilir. Aktarım yalnız e-posta ile dosya göndermekten ibaret değildir; uzaktan erişim ve sistem mimarisi de değerlendirilir.
Örneğin Türkiye’deki şirketin çalışan verilerini Almanya’daki ana şirketin insan kaynakları sistemine aktarması, ABD merkezli SaaS hizmetinde müşteri verisi tutması veya yabancı çağrı merkeziyle paylaşması m.9 bakımından ayrı aktarım değerlendirmesi gerektirir.
Verinin yurt dışında fizikî sunucuda bulunması tek başına bütün hukuki sonucu belirlemez; veri akışının kimler arasında gerçekleştiği, alıcının veri sorumlusu mu veri işleyen mi olduğu ve hangi ülke/uluslararası kuruluşun söz konusu olduğu tespit edilmelidir.
2024’te KVKK m.9 nasıl değişti?
7499 sayılı Kanunla KVKK m.9 yeniden yazıldı ve yeni sistem 1 Haziran 2024’te yürürlüğe girdi. Eski düzenlemede açık rıza, yeterli korumaya sahip ülke ve taahhütname temelli daha dar bir sistem vardı. Güncel m.9 Avrupa Birliği veri koruma sistemine yaklaşan çok katmanlı bir aktarım mekanizması kurdu.
Yeni sistemde önce yeterlilik kararı olup olmadığına bakılır. Yeterlilik kararı yoksa uygun güvencelerden biri kullanılabilir. Uygun güvence de kurulamıyorsa yalnız arızi — sürekli olmayan — aktarımlar bakımından m.9/6’daki istisnalar değerlendirilebilir.
Bu nedenle 2024 öncesi hazırlanmış internet içeriklerinde yer alan “açık rıza varsa her durumda yurt dışına aktarım yapılır” veya “taahhütname olmadan aktarılamaz” şeklindeki genellemeler 2026 itibarıyla güncel m.9 sistemini yansıtmaz.
Yurt dışına aktarım için m.5 veya m.6 şartı da gerekli mi?
Evet. Yurt dışı aktarım iki aşamalı hukuki değerlendirme gerektirir. Önce verinin işlenmesi için KVKK m.5’teki genel kişisel veri şartlarından veya özel nitelikli veriyse m.6’daki şartlardan biri bulunmalıdır. Bunun üzerine ayrıca m.9’daki aktarım şartı kurulmalıdır.
Örneğin çalışan sağlık verisinin yurt dışındaki grup şirketine gönderilmesinde m.6 kapsamında özel nitelikli veri işleme şartı bulunması tek başına yeterli değildir. Aktarım için m.9 mekanizması da ayrıca uygulanmalıdır.
Benzer şekilde standart sözleşme imzalamak, başlangıçtaki veri işlemenin hukuka aykırı olmasını düzeltmez. Standart sözleşme yalnız yurt dışı aktarım için uygun güvence sağlar; temel işleme hukuki sebebi ayrı kalır.
Yeterlilik kararı nedir?
KVKK m.9/1, m.5 veya m.6 şartlarından birinin bulunması ve aktarımın yapılacağı ülke, ülke içindeki sektör veya uluslararası kuruluş hakkında Kişisel Verileri Koruma Kurulunca yeterlilik kararı verilmiş olması halinde yurt dışı aktarımına izin verir.
Yeterlilik kararı ülkenin tamamı hakkında olabileceği gibi belirli sektör veya uluslararası kuruluş bakımından da verilebilir. Kurul karar verirken karşılıklılık, ilgili ülkenin kişisel veri mevzuatı ve uygulaması, bağımsız denetim makamı, veri sahibi hakları, etkin idari/yargısal başvuru yolları ve taraf olunan uluslararası sözleşmeler gibi ölçütleri değerlendirir.
Yeterlilik kararları Resmî Gazete’de ve Kurumun internet sitesinde yayımlanır; en geç dört yılda bir yeniden değerlendirilir. Veri sorumlusu aktarım öncesinde güncel yeterlilik durumunu kontrol etmelidir.
Yeterlilik kararı yoksa hangi uygun güvenceler kullanılabilir?
m.9/4 dört uygun güvence yolu düzenler. Birincisi Türkiye’deki kamu kurum/kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları ile yabancı ülkedeki kamu kurum/kuruluşları ya da uluslararası kuruluşlar arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşma ve Kurul iznidir.
İkincisi, ortak ekonomik faaliyette bulunan teşebbüs grupları içindeki şirketler bakımından Kurulca onaylanan bağlayıcı şirket kurallarıdır. Üçüncüsü, Kurul tarafından ilan edilen standart sözleşmedir. Dördüncüsü ise yeterli korumayı sağlayacak hükümleri içeren yazılı taahhütname ve Kurulun aktarım iznidir.
Bu mekanizmalardan biri seçilirken veri akışının tarafları doğru belirlenmelidir. Veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna aktarımlar için standart sözleşmenin farklı modülleri kullanılabilir.
Standart sözleşme nedir?
Standart sözleşme, Kurul tarafından ilan edilen ve yurt dışındaki alıcı ile Türkiye’deki aktaran arasında uygun güvence sağlayan sözleşme metnidir. Tarafların veri koruma yükümlülüklerini, ilgili kişinin haklarını, güvenlik önlemlerini ve ihlal halinde uygulanacak mekanizmaları düzenler.
Standart sözleşmenin Kurul tarafından yayımlanan metninin esaslı hükümleri keyfi biçimde değiştirilmemelidir. Taraflar seçenekli alanları ve ekleri veri akışına uygun doldurur; ek ticari hükümler standart sözleşmeyle çelişmemelidir.
Hangi standart sözleşme tipinin kullanılacağı aktaran ve alıcının veri sorumlusu/veri işleyen sıfatlarına göre belirlenir. Yanlış modül kullanımı uygun güvence kurulamaması sonucunu doğurabilir.
Standart sözleşme kaç gün içinde Kuruma bildirilir?
KVKK m.9 ve Yurt Dışına Aktarım Yönetmeliği uyarınca standart sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna bildirilmelidir.
Beş iş günlük süre sözleşmenin ilk taslak tarihinden değil, tarafların imzalarının tamamlanmasından itibaren hesaplanır. Bildirimin Kurumun belirlediği elektronik veya fiziki yöntemle yapılması ve teslim kaydının saklanması gerekir.
Standart sözleşmede değişiklik yapılması veya sözleşmenin sona ermesi halinde Yönetmelikteki bildirim yükümlülükleri ayrıca yerine getirilir. Bildirim yapılmaması KVKK m.18 kapsamında idari para cezası riski doğurabilir.
Bağlayıcı şirket kuralları (BŞK) nedir?
Bağlayıcı şirket kuralları, ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketler arasında düzenli ve tekrarlayan yurt dışı veri aktarımlarında kullanılan uygun güvence mekanizmasıdır. BŞK Kurulun onayına tabidir.
Kurallar, grup şirketlerinin kişisel veri koruma yükümlülüklerini bağlayıcı hale getirir; ilgili kişilerin hakları, şikâyet mekanizmaları, eğitim, denetim, güvenlik ve sorumluluk yapısını düzenler.
Tek seferlik veya sınırlı aktarım yapan küçük bir işletme için BŞK pratik olmayabilir; çok uluslu şirket gruplarında ise sürekli veri akışları bakımından standart sözleşmeleri tek tek yönetmeye alternatif olabilir.
Kurul onaylı taahhütnameyle aktarım
Yeterlilik kararı bulunmayan ülkeye aktarımda taraflar, yeterli korumayı sağlayacak hükümleri içeren yazılı taahhütname hazırlayabilir ve Kuruldan izin alabilir. Aktarım, Kurulun izin vermesinden sonra gerçekleştirilebilir.
Taahhütname, verinin niteliği, aktarım amacı, alıcı, güvenlik tedbirleri, ilgili kişi hakları, ihlal bildirimi ve Türkiye’deki hukuki koruma mekanizmalarını içermelidir. Kurul gerekli görürse ek güvence isteyebilir.
Taahhütname yolu ile standart sözleşme farklıdır. Standart sözleşme imzalanıp beş iş günü içinde bildirilirken, taahhütname yolu Kurulun önceden izin vermesini gerektirir.
Arızi yurt dışı aktarım hangi hallerde mümkündür?
Yeterlilik kararı bulunmuyor ve uygun güvence de sağlanamıyorsa m.9/6 yalnız arızi olmak kaydıyla belirli istisnalar öngörür. İlgili kişinin muhtemel riskler hakkında bilgilendirilmesi ve açık rıza vermesi bunlardan biridir.
Ayrıca ilgili kişi ile veri sorumlusu arasındaki sözleşmenin ifası veya sözleşme öncesi tedbirler için aktarımın zorunlu olması; ilgili kişi yararına veri sorumlusu ile başka kişi arasındaki sözleşme için zorunluluk; üstün kamu yararı; bir hakkın tesisi, kullanılması veya korunması; rıza açıklayamayan kişinin hayatı/beden bütünlüğü; meşru menfaati olan kişilere açık sicilden kanuni şartlarla aktarım gibi istisnalar vardır.
Bu istisnalar sürekli ve rutin veri aktarım sisteminin dayanağı yapılamaz. “Arızi” olma şartı, aktarımın düzenli, sistematik ve süreklilik arz etmemesini gerektirir. Sürekli bulut hizmeti veya her ay bordro aktarımı için m.9/6 istisnasına dayanmak yerine uygun güvence kurulmalıdır.
Yabancı bulut hizmeti kullanmak yurt dışı aktarımı mıdır?
Bulut sağlayıcının veri merkezleri, alt işleyenleri veya uzaktan erişim ekipleri yurt dışındaysa kişisel verinin yurt dışına aktarımı gündeme gelebilir. Hizmet sağlayıcının Türkiye’de fatura kesmesi veya Türkçe arayüz sunması tek başına verinin Türkiye’de kaldığını göstermez.
Veri sorumlusu sözleşme öncesinde veri lokasyonu, alt işleyenler, destek erişimleri, yedekleme ülkeleri ve güvenlik koşullarını tespit etmelidir. Uygun standart sözleşme modülü ve ek güvenlik tedbirleri veri akışına göre kurulmalıdır.
E-posta, CRM, insan kaynakları, muhasebe, video konferans, analitik ve dosya depolama hizmetleri bu nedenle m.9 envanterine dahil edilmelidir.
Yurt dışına hukuka aykırı veri aktarımında ne yapılır?
İlgili kişi KVKK m.11 kapsamındaki haklarını kullanarak verilerinin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri öğrenebilir. m.13 kapsamında veri sorumlusuna başvurarak aktarımın hukuki dayanağını sorabilir, şartları varsa aktarımın durdurulmasını ve verinin silinmesini/yok edilmesini talep edebilir.
Başvurunun reddi veya yetersizliği halinde m.14 kapsamındaki 30/60 günlük sürelerde Kurula şikâyet edilebilir. Kurul, telafisi güç veya imkânsız zarar ve açık hukuka aykırılık tespitinde veri işlemenin veya yurt dışına aktarımın durdurulmasına karar verebilir.
İlgili rehberler: veri sorumlusuna başvuru, Kurula şikâyet ve özel nitelikli veriler.
Türkiye geneli ve Mersin uygulaması
KVKK m.9 Türkiye’deki bütün veri sorumluları ve veri işleyenler bakımından veri akışı gerçekleştiği ölçüde uygulanır. Mersin’deki bir şirketin yabancı CRM, bulut veya grup şirketi kullanması da aynı yurt dışı aktarım kurallarına tabidir.
Bakırcı & Keskin Hukuk Bürosu Mersin’deki tek fiziksel ofisten Türkiye genelindeki KVKK uyum, başvuru ve uyuşmazlık süreçlerini görev ve yetki kurallarına göre takip eder.
KVKK yurt dışına veri aktarımı hakkında sık sorulan sorular
Yurt dışına veri aktarımı için açık rıza şart mı?
Hayır. Güncel m.9 yeterlilik kararı, uygun güvence ve arızi aktarım mekanizmalarını düzenler.
Standart sözleşme Kurul onayı gerektirir mi?
Önceden Kurul onayı gerektirmez; usulüne uygun imzalanır ve 5 iş günü içinde Kuruma bildirilir.
Standart sözleşme kaç iş günü içinde bildirilir?
İmzaların tamamlanmasından itibaren 5 iş günü içinde.
BŞK nedir?
Teşebbüs grubu içindeki yurt dışı aktarımlar için Kurulca onaylanan bağlayıcı şirket kurallarıdır.
Taahhütname ile aktarımda Kurul izni gerekir mi?
Evet. Yazılı taahhütname Kurul tarafından onaylanmalı ve aktarım izninden sonra yapılmalıdır.
Bulut hizmeti yurt dışı aktarım sayılır mı?
Veri veya erişim yurt dışına çıkıyorsa m.9 kapsamında aktarım olabilir.
Arızi aktarım sürekli kullanılabilir mi?
Hayır. m.9/6 istisnaları yalnız arızi aktarımlar içindir.
Özel nitelikli veri aktarılırken m.6 da uygulanır mı?
Evet. Önce m.6 işleme şartı, ayrıca m.9 aktarım şartı gerekir.
Yeterlilik kararı ne sıklıkla gözden geçirilir?
Kanun uyarınca en geç dört yılda bir yeniden değerlendirilir.
Hukuka aykırı aktarıma karşı ne yapılır?
Önce veri sorumlusuna başvuru, ardından süresinde Kurula şikâyet ve koşulları varsa yargı yolu kullanılabilir.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
