KVKK Kapsamında Yurt Dışına Kişisel Veri Aktarımı ve Standart Sözleşmeler Rehberi

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) en çok tartışılan ve uygulamada en büyük tıkanıklığa yol açan maddesi olan 9. maddesi, 12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun ile köklü biçimde değiştirilmiş ve 1 Haziran 2024 itibarıyla yürürlüğe girmiştir.

Ardından Kişisel Verileri Koruma Kurumu (KVKK) tarafından hazırlanan "Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik" 10 Temmuz 2024 tarihli Resmî Gazete'de yayımlanarak uygulama detayları netleşmiştir.

Bu mevzuat reformuyla birlikte, Türkiye'deki şirketlerin yurt dışı merkezli bulut bilişim hizmetleri (Microsoft 365, Google Workspace, AWS, Salesforce, Zoom vb.) kullanırken yaşadığı yasal engeller GDPR benzeri modern mekanizmalarla çözüme kavuşturulmuştur.

---

1. Yeni Yurt Dışı Veri Aktarımı Mimarisi: 3 Kademeli Hiyerarşi

Yeni Madde 9 düzenlemesi, aktarım güvenliğini üç kademeli bir mantık üzerine inşa etmiştir:

``mermaid flowchart TD Data["Yurt Dışına Veri Aktarımı"] Data --> Step1{"1. KADEME: Hedef Ülke / Sektör İçin<br/>Kurul Yeterlilik Kararı Var mı?"} Step1 -- Evet --> Transfer1["Veri Serbestçe Aktarılabilir<br/>(Ek Güvence Aranmaz)"] Step1 -- Hayır --> Step2{"2. KADEME: Uygun Güvencelerden<br/>Biri Sağlanabiliyor mu?"} Step2 -- Standart Sözleşme --> Transfer2A["Kurul Tip Sözleşmesi İmzalanır<br/>& 5 İş Gününde Bildirilir"] Step2 -- Bağlayıcı Şirket Kuralları --> Transfer2B["Çok Uluslu Şirketler İçin BCR Onayı"] Step2 -- Taahhütname + İzin --> Transfer2C["Özel Taahhütname ve Kurul İzni"] Step2 -- Hayır --> Step3{"3. KADEME: Aktarım Arızi mi?<br/>(Tek Seferlik / Sürekli Olmayan)"} Step3 -- Evet --> Transfer3["Madde 9(6) İstisnaları:<br/>Açık Rıza, Sözleşme İfası vb."] Step3 -- Hayır --> Prohibited["AKTARIM HUKUKA AYKIRIDIR<br/>(İdari Para Cezası & Suç)"] ``

1. Yeterlilik Kararı (Madde 9(1)): Kurul tarafından güvenli kabul edilen ülkeler veya uluslararası kuruluşlar. (Not: Henüz Kurul tarafından genel bir güvenli ülke listesi yayımlanmamıştır).
2. Uygun Güvenceler (Madde 9(2)): Yeterlilik kararı bulunmadığında devreye giren mekanizmalar:

• Standart Sözleşmeler (en yaygın ve pratik yöntem).
• Bağlayıcı Şirket Kuralları (BCR - kurumsal şirket grupları için Kurul onaylı).
• Nitelikli Taahhütname ve Kurul İzni.
• Uluslararası sözleşme niteliğinde olmayan anlaşma ve Kurul izni.

1. Arızi Aktarım İstisnaları (Madde 9(6)): Yalnızca düzenli ve sürekli olmayan, tek seferlik veya istisnai aktarımlar için uygulanabilir (açık rıza, sözleşmenin kurulması/ifası, meşru menfaat). Şirket içi rutin SaaS kullanımı bu kapsama sokulamaz!

---

2. Kurul Tarafından İlan Edilen 4 Standart Sözleşme Modeli

Kişisel Verileri Koruma Kurulu, tarafların rollerine göre dört farklı tip standart sözleşme metni yayımlamıştır. Şirketler bu metinlerin üzerinde değişiklik yapamaz; yalnızca ek ve taraflara özgü kısımları doldurabilir:

---

3. Geçerlilik Koşulu ile Bildirim Süresinin Ayrımı

Standart sözleşmelerle ilgili en kritik hukuki nüans, sözleşmenin geçerliliği ile Kuruma bildirim yükümlülüğünün birbirine karıştırılmamasıdır:

Bildirim Usulü:

• Bildirim, veri sorumlusu veya veri işleyen (ya da Türkiye'deki yetkili temsilcisi) tarafından yapılır.
• Bildirim dilekçesi, sözleşmenin aslı veya noter onaylı sureti, tarafların imza sirküleri ve yabancı dildeki metinlerin yeminli tercümesi ile birlikte Kuruma fiziken elden/posta yoluyla ya da Kayıtlı Elektronik Posta (KEP) üzerinden sunulur.

---

4. Uygulama Adımları: Şirketler Ne Yapmalı?

Kurumunuzda yurt dışı veri aktarımını yasal güvenceye almak için şu 4 adımı tamamlayın:

1. Veri Akış Haritası Çıkarın: Yurt dışına çıkan verilerin hangi sistemlerde (ERP, CRM, e-posta, bulut depolama) bulunduğunu ve hangi yabancı sunucularda işlendiğini tespit edin.
2. Rolleri Belirleyin: Karşı tarafın veri sorumlusu mu yoksa veri işleyen mi olduğunu netleştirerek 4 standart sözleşme tipinden doğrusunu seçin.
3. Sözleşmeyi İmzalatın: Yurt dışındaki sağlayıcıya Kurulun standart sözleşme metnini imzalatın (birçok küresel SaaS sağlayıcısı Türkiye standart sözleşmelerini DPA eklerine entegre etmeye başlamıştır).
4. 5 İş Gününde Kuruma Bildirin: İmzaların tamamlandığı tarihi esas alarak 5 iş günü içinde evrakları KVKK'ya teslim edin.

---

Sıkça Sorulan Sorular (FAQ)

Açık rıza alarak tüm yurt dışı aktarımlarını yapmaya devam edebilir miyiz?

Hayır. Yeni mevzuatta açık rıza yalnızca "arızi" (düzenli olmayan, münferit) aktarımlar için bir istisna olarak korunmuştur. Şirketin her gün kullandığı kurumsal e-posta, CRM veya bulut altyapısı gibi sürekli ve sistematik veri aktarımlarında açık rıza hukuken geçerli bir aktarım temeli kabul edilmemektedir.

Yabancı sağlayıcı Türk standart sözleşmesini imzalamazsa ne olur?

Yabancı sağlayıcı standart sözleşmeyi imzalamazsa, şirketin Madde 9 uyarınca uygun bir güvenceye dayanmaksızın veri aktarımı yapması yasaklanmıştır. Bu durumda alternatif bir yerel sağlayıcıya geçilmeli veya veriler Türkiye sınırları içindeki sunucularda tutulmalıdır.

Bildirim yükümlülüğünü yerine getirmemenin cezası nedir?

KVKK Madde 18(1)(e) uyarınca standart sözleşmeyi 5 iş günü içinde Kuruma bildirmeyenler hakkında her bir ihlal için yüz binlerce liradan milyonlarca liraya varan idari para cezaları öngörülmüştür.

---