KVKK'da yurt dışına veri aktarımı, kişisel verinin Türkiye dışındaki bir alıcıya gönderilmesi ya da yurt dışındaki bir sunucuda işlenmesidir. 1 Haziran 2024'ten beri aktarım için KVKK'daki bir işleme şartına ek olarak yeterlilik kararı ya da standart sözleşme gibi uygun bir güvence gerekir; ikisi de yoksa yalnızca Kanun'da sayılan sınırlı arızi istisnalara başvurulabilir. Açık rıza artık ana yol değildir.
Farkında olmadan yurt dışına veri aktarıyor olabilirsiniz
Çoğu şirket "yurt dışına veri aktarmıyoruz" der; sonra envanter çıkarılınca tablo değişir. Kurumsal e-posta yurt dışındaki bir veri merkezinde barınıyordur, CRM ve muhasebe yazılımı yabancı bir bulut hizmetidir, İK başvuruları yurt dışı kaynaklı bir platformdan toplanır ve çalışanlar belgeleri yapay zeka araçlarına yapıştırır. Web sitesindeki analiz ve reklam araçları ziyaretçi verisini yurt dışına gönderir; yedekler de başka bir ülkedeki depolamada durabilir.
Bu senaryoların her biri, verinin Türkiye dışındaki bir sistemde barındırılması ya da oradan erişilmesi anlamına gelir ve Kanun'un 9. maddesi kapsamında değerlendirilmelidir. Sorun genellikle kötü niyetten değil, satın alma kararlarının hukuk ve BT birlikte oturmadan verilmesinden doğar. Genel uyum çerçevesini KVKK uyum süreci yazısında anlattık; bu yazı yalnızca yurt dışı aktarım başlığına odaklanıyor.
KVKK madde 9: 2024'te yurt dışı aktarımda ne değişti?
Kişisel Verileri Koruma Kurumu'nun yurt dışına aktarım sayfasına göre Kanun'un 9. maddesi, 12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun'la değiştirildi ve yeni hükümler 1 Haziran 2024'te yürürlüğe girdi. Usul ve esaslar ise 10 Temmuz 2024'te yayımlanan yönetmelikle belirlendi. Eski düzende uygulamada en çok başvurulan yol açık rızaydı; yeni düzen, AB'nin GDPR sistemine benzer katmanlı bir yapı kurdu.
| Katman | Ne zaman kullanılır | Dikkat edilecek nokta |
|---|---|---|
| Yeterlilik kararı | Kurul, alıcı ülke, ülkedeki bir sektör ya da uluslararası kuruluş için karar vermişse | Kararlar her dört yılda bir gözden geçirilir; güncel listeyi Kurum sayfasından kontrol edin |
| Uygun güvenceler | Yeterlilik kararı yoksa | Standart sözleşme, bağlayıcı şirket kuralları, yazılı taahhütname veya kamu kurumları arası anlaşma; ayrıca ilgili kişinin haklarını kullanabilmesi ve etkili başvuru yolu gerekir |
| Arızi aktarım | Yeterlilik kararı da güvence de yoksa, düzenli olmayan ve tekrar etmeyen aktarımlarda | Açık rıza (risklerin anlatılmasından sonra), sözleşmenin ifası, hakkın tesisi gibi sınırlı istisnalar |
Yeterlilik kararı ve uygun güvence katmanlarında aktarımın ayrıca KVKK'nın 5. ya da 6. maddesindeki işleme şartlarından birine dayanması gerekir. Yani önce "bu veriyi işleme hakkım var mı?", sonra "bu veriyi yurt dışına gönderme yolum hangisi?" sorusu cevaplanır. Arızi aktarım ise Kanun'da tek tek sayılan dar hallerle sınırlıdır ve düzenli aktarımların yerine kullanılamaz.
Kurallara uymamanın maliyeti: Kurum'un 2025 rakamları
Yeni düzen kâğıt üzerinde kalmadı. KVKK 2025 Yılı Faaliyet Raporu verisine göre:
2025 yılında Kurum'a 2.497 standart sözleşme bildirildi; Kurum bunlardan 70'i hakkında resen inceleme başlattı ve 21'ini sonuçlandırdı.
Yazılı taahhütname yolu ise çok daha dar. Aynı raporda 2025'te sunulan 90 taahhütnameden incelemesi biten 89'unun yalnızca 13'üne izin verildiği, 76'sına izin verilmediği görülüyor. Aynı yıl Kurum'a ulaşan 12.512 ihbar ve şikâyetin 105'i doğrudan kişisel verilerin hukuka aykırı yurt dışına aktarılmasıyla ilgiliydi.
Belirsizlik de iş kararlarını etkiliyor. Ticaret Bakanlığı Türkiye'de E-Ticaretin Görünümü Raporu 2025 kapsamında 781 işletmeyle yapılan ankette yapay zeka kullanımının önündeki en büyük engeller %70,3 ile hukuki belirsizlik ve %70,2 ile veri gizliliği/güvenliği endişesi oldu. Standart sözleşmenin bildirilmemesi de Kanun'da ayrıca idari para cezasına bağlanmış bir yükümlülüktür.
Yurt dışı aktarımda standart sözleşme nedir, nasıl bildirilir?
Standart sözleşme, KVKK'da yeterlilik kararı olmayan ülkelere aktarımda en pratik güvencedir. Kurul'un ilan ettiği metinler, aktarımın taraflarına göre dört modülden oluşur: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. Metinler değiştirilmeden kullanılır; taraflar yalnızca ekleri, yani aktarılan veri kategorilerini, amaçları, alıcıları ve teknik ve idari tedbirleri doldurur.
Kurum'un Standart Sözleşme Bildirim Modülü duyurusuna göre sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde Kurum'a bildirilmelidir. Bildirim fiziki olarak, kayıtlı elektronik posta (KEP) ile ya da Ekim 2024'te açılan çevrim içi modül üzerinden yapılabilir. Bu süreyi kaçırmamak için imza ve bildirim adımlarını aynı kişiye bağlayın.
Grup şirketleri için ikinci seçenek bağlayıcı şirket kurallarıdır: ortak ekonomik faaliyette bulunan şirketler grubu, Kurul onayıyla grup içi aktarımlar için tek bir kurallar bütünü kullanabilir. Yurt dışındaki ana şirkete düzenli çalışan ya da müşteri verisi gönderen şirketler için bu yol, çok sayıda ikili sözleşmeden daha yönetilebilir olabilir.
KVKK yurt dışına veri aktarımı için 7 adımlık uyum planı
- Aktarım envanteri çıkarın. Kişisel veri envanterinize "nerede barınıyor, hangi ülkeden erişiliyor, hangi hizmet sağlayıcı" sütunlarını ekleyin. E-posta, dosya depolama, CRM, İK, muhasebe, yedekleme, destek araçları, web analitiği ve yapay zeka araçlarını tek tek sorgulayın. Yapay zeka projelerinde aktarımın nasıl değerlendirileceğini yapay zeka ve KVKK yazımızda ele aldık.
- Rolleri belirleyin. Karşı taraf veri işleyen mi (sizin adınıza işleyen bulut hizmeti), yoksa kendi amacıyla işleyen bir veri sorumlusu mu (yurt dışındaki iş ortağı)? Standart sözleşme modülü bu role göre seçilir. Karşı taraf veri işleyense ayrıca gereken veri işleyen sözleşmesinin içeriğini ayrı bir yazıda ele aldık.
- İşleme şartını ve aktarım yolunu eşleştirin. Her aktarım için 5. veya 6. maddedeki şartı ve dayandığınız yeterlilik kararını ya da uygun güvenceyi yazın. Arızi istisnayı yalnızca gerçekten ara sıra yapılan aktarımlar için not edin; düzenli bir aktarımı arızi istisnaya dayandırmayın.
- Sözleşmeleri imzalayın ve 5 iş günü içinde bildirin. Bildirimin tarihini ve kanıtını dosyada saklayın.
- Sonraki aktarımları sorun. Hizmet sağlayıcınızın veriyi başka ülkelerdeki alt işleyenlere gönderip göndermediğini, bunun için hangi güvencenin kullanıldığını yazılı olarak isteyin.
- Aydınlatma metinlerini güncelleyin. Aktarımın yapıldığı alıcı grupları ve amaçları aydınlatma metninde ve VERBİS kaydınızda doğru yansıtın.
- Alternatifi değerlendirin. Bazı veriler için en temiz çözüm, aktarımı hiç yapmamaktır: veriyi Türkiye'de barındıran bir hizmete geçmek ya da yurt dışına yalnızca anonimleştirilmiş veri göndermek.
Yapay zeka araçları bu listenin en hızlı büyüyen kalemidir. Çalışanların belge ve müşteri verisini yurt dışındaki sohbet araçlarına yapıştırması, çoğu zaman kimsenin kayda almadığı bir aktarımdır; riskleri ve politika önerilerini ChatGPT'ye şirket verisi girmek güvenli mi yazısında ele aldık. Veriyi kurum içinde tutan bir alternatifi RAG ile kurumsal yapay zeka asistanı yazısında anlattık.
Bulut hizmeti seçerken sorulacak sorular
Yeni bir e-posta, dosya ya da yazılım hizmeti alırken sözleşmeden önce şu soruları sorun:
- Veri hangi ülkelerde, hangi veri merkezlerinde tutuluyor?
- Destek ekibi veriye hangi ülkeden erişiyor?
- Alt işleyenlerin listesi ve değişiklik bildirim süreci nedir?
- Yedekler nerede duruyor?
- Hizmet bittiğinde veri nasıl iade ediliyor ve siliniyor?
Bu soruların e-posta tarafındaki karşılığını kurumsal e-posta nasıl seçilir yazısında, maliyet tarafını buluta geçiş maliyeti yazısında bulabilirsiniz.
Yurt dışındaki bir hizmet sağlayıcıda yaşanan ihlal de veri sorumlusu olarak sizi ilgilendirir; Kanun, veri güvenliği tedbirlerinde veri işleyenle birlikte sizi de sorumlu tutar. Bildirim sürecini ve sözleşmede sağlayıcıdan ne talep etmeniz gerektiğini KVKK veri ihlali 72 saat rehberinde, yurt dışındaki arşivlerde saklama sürelerini ise saklama ve imha politikası yazısında bulabilirsiniz.
Digital Bridge'de bu işi nasıl yapıyoruz?
Yurt dışı aktarımı hem hukuki hem teknik bir soru olarak ele alıyoruz; sözleşme doğru olsa bile verinin gerçekte nereye gittiğini bilmeyen bir uyum çalışması eksik kalır:
- Keşif ve envanter. KVKK uyum danışmanlığı kapsamında kişisel veri envanterinizi aktarım sütunlarıyla genişletiyor; hangi sistemin veriyi hangi ülkeye gönderdiğini BT ekibinizle birlikte teknik olarak doğruluyoruz.
- Teknik doğrulama. DNS kayıtları, e-posta yönlendirmeleri, yedekleme hedefleri ve üçüncü taraf entegrasyonlarını siber güvenlik gözüyle inceliyor, kayda geçmemiş aktarımları ortaya çıkarıyoruz.
- Alternatif mimari. Aktarımı azaltmak isteyen şirketler için verinin nerede barınacağını, geçişin nasıl yapılacağını ve maliyetini bulut geçiş ve altyapı danışmanlığı kapsamında planlıyoruz. Yapay zeka ihtiyacı olan kurumlar için veriyi kurum sınırları içinde tutan bir kurumsal LLM asistanı kurguluyoruz.
- Pilot ve süreklilik. İlk olarak en yüksek riskli aktarımla başlıyor; sözleşme, bildirim ve aydınlatma adımlarını tamamladıktan sonra yeni hizmet alımlarında kullanılacak kontrol listesini satın alma sürecinize bağlıyoruz. Belge akışları için EBYS ve doküman yönetimi tarafında saklama yerini baştan tasarlıyoruz.
Kendi ürün ailemiz Smart360 değerlendirilirken de aynı soruları sormanızı bekleriz. Smart360'ta her kurumun verisi her ürün için ayrı veritabanında tutulur; belgeler ve mail arşivi S3 uyumlu nesne depolamada durur. Envanterinizdeki "nerede, hangi sağlayıcıda" sütununu doldurmak için bu bilgileri bizden yazılı olarak isteyebilirsiniz.
Aktarım doğurabilecek ayarlar da kurumun elindedir. SmartFiles kurumsal dosya yönetimi, Word, Excel ve PowerPoint önizlemesini belgeyi harici bir çevrim içi görüntüleyiciye gönderdiği için varsayılan olarak kapalı getirir ve yapay zeka analizi kurum genelinde kapatılabilir; Smart360 ürünleri yapay zeka hizmetlerine doğrudan değil, Smart360'ın merkezi katmanı üzerinden erişir.
Sonraki adım
Bu hafta tek bir tablo hazırlayın: kullandığınız bulut ve yazılım hizmetlerini, verinin barındığı ülkeyi ve imzalı bir sözleşme olup olmadığını yan yana yazın. Boş kalan hücreler, uyum planınızın ilk maddeleridir. Tabloyu birlikte değerlendirmek için iletişim sayfamızdan bize ulaşın. Diğer KVKK rehberleri için Siber Güvenlik ve KVKK sayfamıza göz atabilirsiniz.
Veri güvenliği tedbirlerini standart bir çerçeveye oturtmak isteyenler için ISO 27001 nedir yazısı iyi bir devam okumasıdır; temel teknik önlemler için KOBİ siber güvenlik kontrol listesi yazımıza bakabilirsiniz.