Yurt Dışına Kişisel Veri Aktarımında Dikkat Edilmesi Gereken Hususlar

Bulut hizmetleri, grup şirketleri arasındaki paylaşımlar, yurt dışı merkezli yazılım ve destek hizmetleri; bugün pek çok şirketin günlük işleyişi kişisel verilerin yurt dışına aktarılmasını içermektedir. Bu alan, 2024 yılında 6698 sayılı Kanun’un 9. maddesinde yapılan değişiklikle yeniden kurgulanmış ve uygulaması ikincil mevzuatla ayrıntılandırılmıştır.¹

Kademeli yapı: hangi sırayla ilerlenir?

Yeni rejim, birbirini izleyen üç basamak öngörür. Bir aktarımın hukuka uygunluğu değerlendirilirken bu sıranın korunması gerekir:

1. Yeterlilik kararı: Kurul tarafından, aktarımın yapılacağı ülke, uluslararası kuruluş veya ülke içindeki sektörler hakkında verilen karar. Böyle bir karar varsa aktarım, 5. ve 6. maddedeki şartlara uyulmak kaydıyla yapılabilir.
2. Uygun güvenceler: yeterlilik kararı yoksa taraflar, Kanun’da sayılan güvencelerden birini sağlamak zorundadır.
3. Arızi aktarım hâlleri: ilk iki basamağın bulunmadığı durumlarda, yalnızca Kanun’da sınırlı sayıda sayılan ve “arızi olmak” şartına bağlanan hâllerde aktarım mümkündür.

Uygulamadaki en kritik nokta şudur: Kurul, bugüne kadar herhangi bir ülke veya kuruluş hakkında yeterlilik kararı yayımlamamıştır. Bu nedenle ilk basamak fiilen işlememekte, aktarımların büyük bölümü ikinci basamak üzerinden yürütülmektedir.²

Uygun güvenceler nelerdir?

Kanun’un 9. maddesinin ikinci fıkrası dört güvence öngörür: yurt dışındaki kamu kurum ve kuruluşları ile uluslararası kuruluşlar arasındaki anlaşmalar, bağlayıcı şirket kuralları, Kurul tarafından ilan edilen standart sözleşme ve yazılı taahhütname. Bunlardan yalnızca standart sözleşme, Kurul’un ayrıca izni aranmaksızın kullanılabilir; anlaşma, bağlayıcı şirket kuralları ve taahhütname bakımından Kurul izni gerekir.

Standart sözleşme: dört modül ve beş iş günlük bildirim

Kurul, tarafların sıfatına göre dört ayrı standart sözleşme metni yayımlamıştır: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. Uygulamada en çok kullanılan tip, hizmet alımlarında karşımıza çıkan veri sorumlusu–veri işleyen modülüdür. Metinler, yalnızca seçimlik hükümler bakımından değiştirilebilir; zorunlu hükümlerde yapılan değişiklikler sözleşmeyi geçersiz kılar.

Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi zorunludur.

Bu bildirimin yapılmaması, Kanun’un 18. maddesinin birinci fıkrasının (ç) bendi uyarınca ayrı bir kabahat olarak yaptırıma bağlanmıştır; 2026 yılı için öngörülen ceza aralığı 90.308 TL ile 1.806.177 TL arasındadır.³ Bildirim yükümlülüğü hem veri sorumlusu hem veri işleyen bakımından doğabileceğinden, sözleşmede bildirimi hangi tarafın yapacağının açıkça kararlaştırılması yararlıdır.

Açık rıza her aktarımı çözer mi?

Hayır. Açık rıza, üçüncü basamakta yer alan arızi aktarım hâllerinden yalnızca biridir ve “arızilik” şartına tabidir. Düzenli olarak tekrarlanan, süreklilik arz eden aktarımlar — örneğin yurt dışındaki bir bulut sunucusunda tutulan müşteri veri tabanı, grup şirketine düzenli raporlama veya yurt dışı merkezli bir insan kaynakları yazılımının kullanımı — bu kapsamda değerlendirilemez. Bu tür aktarımlar için uygun güvencelerden birinin sağlanması gerekir.

Açık rızaya dayanılabilen hâllerde dahi, ilgili kişinin aktarımın muhtemel risklerine ilişkin olarak bilgilendirilmesi ve rızanın bu aktarıma özgü olarak alınması gerekir. Genel bir üyelik sözleşmesine eklenen tek cümlelik yurt dışı aktarım onayı, bu şartı karşılamaz.

Uyum için izlenebilecek adımlar

1. Aktarım envanteri çıkarın: hangi veri, hangi ülkeye, hangi tedarikçi üzerinden, hangi amaçla ve ne sıklıkta aktarılıyor?
2. Her aktarım için tarafların sıfatını belirleyin; standart sözleşmenin doğru modülü buna göre seçilir.
3. Sürekli aktarımlar ile arızi aktarımları ayırın; süreklilik arz edenler için güvence mekanizması kurgulayın.
4. Standart sözleşmeleri imzalayın ve beş iş günlük bildirim takvimini sorumlu bir birime bağlayın.
5. Aydınlatma metinlerini güncelleyin; aktarımın yapıldığı ülkeler ve amaçlar burada görünmelidir.
6. Tedarikçi sözleşmelerine alt yüklenici, güvenlik, ihlal bildirimi ve denetim hükümlerini ekleyin.

Uygulamada sık yapılan hatalar

• Yurt dışı merkezli bir yazılımın kullanılmasının “aktarım” sayılmadığının düşünülmesi; verinin yurt dışındaki bir sunucuda tutulması da aktarımdır.
• Sürekli aktarımların açık rızaya dayandırılması.
• Tedarikçinin sunduğu Avrupa Birliği standart sözleşmesinin (GDPR eki) Türk hukuku bakımından da yeterli sayılması; Kurul’un ilan ettiği metin ayrıca imzalanmalıdır.
• Standart sözleşmenin imzalanıp beş iş günlük bildirimin unutulması veya bildirimin hangi tarafça yapılacağının belirsiz bırakılması.
• Zorunlu hükümlerde değişiklik yapılması ya da sözleşmeye geçmişe etkili yürürlük tarihi konulması.
• Grup içi aktarımların “şirket içi işlem” sayılarak hiçbir güvence mekanizmasına bağlanmaması.

Hukuki Dayanaklar ve Kaynaklar

1. 7499 sayılı Kanun, RG 12.03.2024, S. 32487; yeni 9. madde 01.06.2024 tarihinde yürürlüğe girmiştir. Uygulama için bkz. Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, RG 10.07.2024, S. 32598.
2. Kişisel Verileri Koruma Kurumu, Kişisel Verilerin Yurt Dışına Aktarılması Rehberi, Ocak 2025.
3. Tutarlar, 5326 sayılı Kabahatler Kanunu m. 17/7 uyarınca her yıl yeniden değerleme oranında güncellenir; 2026 yılında uygulanan oran, 2025 yılı için tespit edilen %25,49’dur; bkz. 585 Sıra No.lu Vergi Usul Kanunu Genel Tebliği, RG 27.11.2025, S. 33090.