Türkiye’den Yurt Dışındaki Şirkete Müşteri ve Çalışan Verisi Nasıl Aktarılır? KVKK m.9 | 2026

Kısa ve Net Cevap

6698 sayılı KVKK m.9 uyarınca Türkiye’den yurt dışına kişisel veri aktarımı için yalnız veri sahibinden genel bir “açık rıza” almak yeterli bir standart yöntem değildir. Önce aktarılacak veri bakımından KVKK m.5 veya özel nitelikli verilerde m.6’daki işleme şartlarından birinin bulunması gerekir. Ardından m.9’daki yurt dışı aktarım mekanizması ayrıca kurulmalıdır.

Aktarım yapılacak ülke, ülke içindeki sektör veya uluslararası kuruluş hakkında Kurulca yeterlilik kararı varsa m.9’daki şartlarla aktarım yapılabilir. Yeterlilik kararı yoksa ilgili kişinin haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi imkânının bulunduğu kabul edilerek uygun güvence sağlanmalıdır. Uygun güvence; kamu kurumları arasındaki bağlayıcı olmayan düzenleme ve Kurul izni, Kurulca onaylanan bağlayıcı şirket kuralları, Kurulun ilan ettiği standart sözleşme veya yeterli korumayı sağlayan yazılı taahhüt ve Kurul izni yöntemlerinden biriyle kurulabilir. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmelidir. Düzenli aktarım için yeterlilik veya uygun güvence mekanizması kurulmadan arızi hâllere dayanmak doğru değildir.

KVKK m.9’un Güncel Yurt Dışı Aktarım Sistemi

KVKK’nın yurt dışına veri aktarımı sistemi 2024 yılında önemli ölçüde değiştirildi ve yeni düzen, yeterlilik kararı, uygun güvenceler ve arızi aktarım hâlleri üzerine kuruldu. Bu nedenle eski içeriklerde görülen “Kurulun güvenli ülke listesi veya açık rıza” biçimindeki iki seçenekli yaklaşım güncel sistemin tamamını yansıtmaz.

Bir aktarımın hukuka uygun olması için iki ayrı katman vardır. Birinci katman, kişisel verinin Türkiye’de işlenmesini hukuka uygun kılan KVKK m.5 veya m.6 şartıdır. İkinci katman ise verinin Türkiye dışına çıkarılmasını hukuka uygun kılan KVKK m.9 mekanizmasıdır. Birinci katmanın bulunması ikinciyi gereksiz hâle getirmez.

Örneğin çalışan bordro verisinin iş sözleşmesi veya hukuki yükümlülük nedeniyle işlenebilmesi, verinin otomatik olarak yabancı grup şirketine veya yabancı bulut sağlayıcısına aktarılabileceği anlamına gelmez. Yurt dışı aktarım için m.9 ayrıca uygulanır.

İlk Şart: KVKK m.5 veya m.6’daki İşleme Sebebi

Aktarılan veri sıradan kişisel veri ise KVKK m.5; özel nitelikli kişisel veri ise m.6 kapsamındaki işleme şartlarından en az biri bulunmalıdır. Veri sorumlusu önce hangi veri kategorisinin hangi amaçla işlendiğini ve hangi hukuki sebebe dayandığını belirlemelidir.

Bir müşteri e-posta adresinin sözleşmenin kurulması veya ifası için işlenmesi ile pazarlama profili oluşturmak için işlenmesi aynı hukuki sebebe dayanmayabilir. Çalışanın kimlik ve bordro verisi ile sağlık verisi de farklı şartlara tabidir. Bu ayrım yurt dışı aktarım mekanizması seçilmeden önce yapılmalıdır.

“Standart sözleşme imzaladık, artık her veriyi gönderebiliriz” yaklaşımı hukuken yanlıştır. Standart sözleşme aktarım için güvence sağlar; veri işleme faaliyetinin m.5 veya m.6’daki maddi hukuka uygunluk şartını yaratmaz.

Yeterlilik Kararı Nedir?

KVKK m.9, Kişisel Verileri Koruma Kurulunun bir ülke, ülke içindeki bir veya daha fazla sektör ya da uluslararası kuruluş hakkında yeterlilik kararı verebilmesine imkân tanır. Yeterlilik kararı bulunan hedef bakımından, m.5 veya m.6’daki işleme şartı da varsa aktarım yapılabilir.

Yeterlilik kararı verilirken kişisel verilerin korunmasına ilişkin mevzuat ve uygulama, bağımsız denetim otoritesi, uluslararası taahhütler ve karşılıklılık gibi kanunda sayılan ölçütler dikkate alınır. Karar yalnız ülke düzeyinde değil belirli sektör veya uluslararası kuruluş düzeyinde de verilebilir.

Veri sorumlusu aktarım öncesinde güncel Kurul kararlarını kontrol etmelidir. Hedefin yeterli koruma sağladığının şirket tarafından tek taraflı değerlendirilmesi, Kurulun yeterlilik kararının yerine geçmez.

Yeterlilik Kararı Yoksa Hangi Uygun Güvenceler Kullanılır?

Yeterlilik kararı bulunmayan hedefe düzenli aktarımda KVKK m.9’da sayılan uygun güvence yollarından biri kurulmalıdır. Ayrıca ilgili kişinin Türkiye’deki haklarını kullanabilmesi ve aktarım yapılan ülkede etkili kanun yollarına başvurabilmesi imkânının bulunması gerekir.

Kanun dört temel uygun güvence modeli öngörür: kamu kurum ve kuruluşları veya uluslararası kuruluşlar arasındaki düzenleme ve Kurul izni; grup şirketleri için Kurulca onaylanan bağlayıcı şirket kuralları; Kurul tarafından ilan edilen standart sözleşme; yeterli korumayı sağlayan yazılı taahhüt ve Kurul izni.

Özel sektör şirketlerinin önemli bölümünde en pratik yöntem standart sözleşmedir. Çok uluslu şirket gruplarında sürekli ve çok yönlü veri akışı varsa bağlayıcı şirket kuralları daha yapısal bir çözüm olabilir.

Standart Sözleşme Nasıl Kullanılır?

KVKK m.9, Kurul tarafından ilan edilen standart sözleşmenin veri kategorileri, aktarım amaçları, alıcı ve alıcı grupları, veri alıcısının alacağı teknik ve idari tedbirler, özel nitelikli veriler için alınan ek önlemler gibi unsurları içermesini öngörür. Kurul farklı aktarım senaryoları için standart sözleşme metinleri yayımlamıştır.

Veri sorumlusu-veri sorumlusu, veri sorumlusu-veri işleyen ve diğer aktarım rolleri doğru tespit edilmelidir. Yanlış sözleşme modülünün kullanılması, tarafların veri koruma rollerinin gerçeğe uymaması sonucunu doğurur.

Kurulun ilan ettiği standart sözleşme metninin zorunlu hükümleri keyfî biçimde değiştirilmemelidir. Somut aktarımın veri kategorileri, amaçları, saklama ve güvenlik önlemleri eklerde doğru ve ayrıntılı gösterilmelidir.

Standart Sözleşmede Beş İş Günlük Bildirim Süresi

KVKK m.9 ve Yurt Dışına Kişisel Veri Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilir. Bu süre sözleşmenin hazırlanmasından değil imzalanmasından başlar.

Bildirim yükümlülüğü ayrı bir uyum adımıdır. Taraflar kendi aralarında standart sözleşmeyi imzalayıp dosyalamış olsa bile Kuruma süresinde bildirim yapılmaması mevzuata tam uyum anlamına gelmez.

Şirket içinde sözleşmenin imza tarihi, bildirim sorumlusu, bildirim kanalı ve değişikliklerin izlenmesi için kayıt sistemi kurulmalıdır. Çok sayıda tedarikçiyle çalışan şirketlerde beş iş günlük sürenin takvimsiz yönetilmesi hata riskini artırır.

Bağlayıcı Şirket Kuralları Ne Zaman Kullanılır?

Bağlayıcı şirket kuralları, ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketler arasında yurt dışına düzenli veri aktarımı için tasarlanmış uygun güvence yöntemidir. Kurallar Kişisel Verileri Koruma Kurulunun onayına tabidir.

BCR yapısı yalnız kısa bir grup içi politika değildir. Veri koruma ilkeleri, ilgili kişi hakları, sorumluluk paylaşımı, şikâyet mekanizması, denetim, eğitim, veri güvenliği ve grup üyelerinin bağlayıcılığı gibi kapsamlı unsurlar içermelidir.

Tek bir yabancı tedarikçiye veri gönderen şirket için BCR genellikle uygun yapı değildir. BCR özellikle çok sayıda ülkede faaliyet gösteren şirket gruplarındaki devamlı aktarım akışları için değerlendirilir.

Yazılı Taahhüt ve Kurul İzni

Yeterlilik kararı bulunmayan ülkeye aktarımda veri aktarım taraflarının yeterli korumayı sağlayacak hükümleri içeren yazılı taahhüt vermesi ve Kuruldan aktarım izni alması da mümkündür. Bu yöntemde yalnız tarafların imzası yeterli değildir; Kurul izni aranır.

Taahhüt metni aktarım konusu veriyi, amaçları, tarafların yükümlülüklerini, güvenlik önlemlerini ve ilgili kişi haklarının korunmasını somutlaştırmalıdır. İzin alınmadan yalnız taahhütnameye dayanarak aktarım başlatılmamalıdır.

Standart sözleşme ile yazılı taahhüt yöntemi karıştırılmamalıdır. Standart sözleşmede kanunun öngördüğü sistem bildirim esaslıdır; yazılı taahhütte Kurulun izni gereklidir.

Arızi Yurt Dışı Aktarım Hâlleri

Yeterlilik kararı ve uygun güvencenin bulunmadığı durumda KVKK m.9 belirli arızi hâllerde aktarım imkânı tanır. Kanun bu yöntemi düzenli ve tekrarlayan veri akışının kalıcı hukuki temeli olarak tasarlamamıştır.

Arızi hâller arasında ilgili kişinin muhtemel riskler hakkında bilgilendirildikten sonra açık rıza vermesi, ilgili kişi ile veri sorumlusu arasındaki sözleşmenin ifası veya sözleşme öncesi talep üzerine alınan tedbirler için aktarımın zorunlu olması, ilgili kişi yararına üçüncü kişiyle sözleşmenin kurulması veya ifası, üstün kamu yararı, bir hakkın tesisi/kullanılması/korunması ve fiilî imkânsızlık hâlinde hayat veya beden bütünlüğünün korunması gibi kanunda sayılan durumlar yer alır.

Şirketin her gün yabancı CRM sistemine müşteri verisi göndermesi “arızi” değildir. Düzenli bulut, bordro, insan kaynakları veya müşteri veri akışında yeterlilik veya uygun güvence modeli kurulmalıdır.

Yabancı Bulut ve SaaS Hizmeti Kullanmak Yurt Dışı Aktarım mıdır?

Kişisel verilerin yurt dışındaki sunucuda tutulması, yabancı veri işleyen tarafından erişilebilmesi veya Türkiye dışındaki destek ekibinin veriye erişim sağlaması yurt dışı aktarım niteliği taşıyabilir. Hizmet sağlayıcının Türkiye’de fatura kesmesi tek başına verinin Türkiye’de kaldığını göstermez.

Şirket, bulut sağlayıcısının veri merkezlerini, alt veri işleyenlerini, teknik destek lokasyonlarını ve yedekleme bölgelerini tespit etmelidir. “Global cloud” ifadesi hangi ülkelere aktarım yapıldığını göstermez.

Standart sözleşme kullanılacaksa gerçek veri alıcısı, veri işleyen rolü, alt işleyen zinciri ve veri güvenliği önlemleri doğru yazılmalıdır. Ayrıca KVKK m.12 kapsamındaki teknik ve idari güvenlik tedbirleri sürdürülmelidir.

Çalışan Verisi Yurt Dışındaki Merkeze Nasıl Aktarılır?

Çok uluslu şirketlerde çalışanların özlük, performans, ücret, seyahat, erişim ve eğitim verileri yabancı merkez veya grup şirketiyle paylaşılabilir. Her veri kategorisi için m.5 veya m.6 işleme şartı ayrı belirlenmelidir.

Çalışanlardan işe girişte alınan geniş kapsamlı “tüm verilerimin yurt dışına aktarılmasına rıza veriyorum” metnini kalıcı tek hukuki dayanak yapmak doğru yaklaşım değildir. İş ilişkisindeki güç dengesi ve açık rızanın özgür iradeye dayanması şartı ayrıca önem taşır.

Düzenli grup içi aktarımda standart sözleşme veya şartları varsa bağlayıcı şirket kuralları değerlendirilir. Sağlık, biyometrik ve diğer özel nitelikli veriler bakımından m.6 şartları ile ek güvenlik önlemleri ayrıca uygulanır.

Müşteri, CRM ve Pazarlama Verisi

Yabancı CRM, e-posta pazarlama, analitik veya destek platformuna müşteri adı, e-posta, telefon, sipariş geçmişi veya davranış verisi gönderilmesi yurt dışı aktarım oluşturabilir. Önce her işleme amacı için hukuki sebep belirlenmelidir.

Siparişin yerine getirilmesi için gereken veri ile reklam profili oluşturmak için kullanılan veri aynı amaç değildir. Aydınlatma metninde aktarım amacı, alıcı grubu ve hukuki sebep gerçeğe uygun gösterilmelidir.

Yurt dışı aktarım mekanizması kurulması, elektronik ticari ileti için gereken 6563 sayılı Kanun ve ilgili İleti Yönetim Sistemi yükümlülüklerini ortadan kaldırmaz. KVKK uyumu ile ticari ileti izni ayrı hukuki başlıklardır.

Yurt Dışındaki Ana Şirket veya Grup Şirketine Aktarım

Aynı şirket grubunda olmak kişisel verilerin serbestçe paylaşılmasını sağlamaz. Türkiye’deki şirket ile yabancı grup şirketi ayrı veri sorumluları veya veri sorumlusu-veri işleyen ilişkisi içinde olabilir. Gerçek roller fiilî veri işleme faaliyetlerine göre belirlenir.

Grup içi raporlama, merkezi insan kaynakları, finans, bilgi güvenliği veya müşteri yönetimi amacıyla düzenli aktarım varsa m.9’daki uygun güvence yöntemi kurulmalıdır. Grup içi sözleşme tek başına standart sözleşme veya onaylı BCR’ın yerine geçmez.

Veri minimizasyonu uygulanmalı; yabancı merkezin ihtiyaç duymadığı ayrıntılı kimlik, sağlık veya finans verileri rutin olarak aktarılmamalıdır.

Yurt Dışı Aktarım Envanteri Nasıl Hazırlanır?

Şirket, yurt dışı aktarımı sağlayıcı bazında değil veri akışı bazında çıkarmalıdır. Her satırda veri kategorisi, ilgili kişi grubu, işleme amacı, m.5/m.6 hukuki sebebi, alıcı, alıcının ülkesi, veri sorumlusu/veri işleyen rolü, aktarım sıklığı ve m.9 mekanizması yer almalıdır.

Bulut sağlayıcının alt işleyenleri ve destek lokasyonları da dikkate alınmalıdır. Sadece ana tedarikçinin merkez ülkesini yazmak gerçek veri hareketini göstermeyebilir.

Envanter; aydınlatma metinleri, VERBİS kaydı gereken şirketlerde sicil bilgileri, veri işleme sözleşmeleri, standart sözleşmeler, saklama-imha politikaları ve bilgi güvenliği kayıtlarıyla tutarlı olmalıdır.

Yurt Dışı Aktarım Kurallarına Uyulmamasının Sonuçları

KVKK’ya aykırı veri aktarımı, Kurul incelemesi, hukuka aykırılığın giderilmesi talimatı ve kanunda öngörülen idari para cezalarıyla sonuçlanabilir. İhlalin niteliğine göre veri güvenliği yükümlülükleri ve diğer KVKK hükümleri de birlikte gündeme gelir.

Standart sözleşmenin süresinde Kuruma bildirilmemesi ayrıca mevzuata aykırılık riski yaratır. Şirketin standart sözleşmeyi imzalaması, aktarım amaç ve kapsamının sözleşmeye uygun olması ve bildirim yükümlülüğünün yerine getirilmesi birlikte takip edilmelidir.

Kişisel verinin hukuka aykırı biçimde aktarılması özel hukuk ve ceza hukuku sonuçları da doğurabilir. Her olay bakımından kişisel verilerin hukuka aykırı kaydedilmesi veya verilmesi gibi Türk Ceza Kanunu hükümlerinin şartları ayrıca değerlendirilir.

Resmî ve İlgili Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu – m.5, m.6, m.9 ve m.12
• KVKK – Yurt Dışına Kişisel Verilerin Aktarılması Rehberi
• KVKK – Standart Sözleşmeler ve Bağlayıcı Şirket Kuralları

Sık Sorulan Sorular

Hukukçu İncelemesi ve E-E-A-T

Hazırlayan: Av. Halil BAKIRCI – Mersin Barosu Sicil No: 3472
Hukukî inceleme: Bakırcı & Keskin Hukuk Bürosu.

Bu rehber 6698 sayılı KVKK’nın güncel m.9 sistemi, Yurt Dışına Kişisel Veri Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile Kişisel Verileri Koruma Kurumunun güncel rehber ve standart sözleşmeleri esas alınarak hazırlanmıştır.

KVKK ve Yurt Dışı Veri Aktarımı İçin İletişim

Son mevzuat kontrolü: 12 Eylül 2026.

Hukuki konu hakkında iletişim

İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.

Telefonla AraWhatsAppİletişim Bilgileri

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →