Yurt Dışına Veri Aktarımı: Yeterlilik Kararı, Standart Sözleşme ve BCR Rehberi (2026)
1 Haziran 2024’te yürürlüğe giren yeni m.9 rejimiyle yurt dışına veri aktarımı üç katmanlı bir sisteme bağlandı. Birinci katman: Kurulca hakkında yeterlilik kararı bulunan ülke, sektör veya uluslararası kuruluşlara aktarım, işleme şartlarından birinin varlığıyla yapılabilir. İkinci katman: yeterlilik kararı yoksa; ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi kaydıyla uygun güvencelerden biriyle aktarım yapılır: Kurulca ilan edilen standart sözleşmenin imzalanması (imzadan itibaren beş iş günü içinde Kuruma bildirilir), bağlayıcı şirket kuralları (BCR) onayı, yeterli korumayı içeren yazılı taahhütname için Kurul izni veya kamu kurumları arası uluslararası sözleşme. Üçüncü katman: her ikisi de yoksa yalnızca arızi (tek seferlik, öngörülemeyen) hallerde açık rıza ve benzeri istisnalarla aktarım mümkündür. Kritik uyarı: yurt dışı sunucularda barındırma, bulut yazılımları ve e-posta altyapıları da aktarımdır; standart sözleşmeyi süresinde bildirmemenin ayrı idari para cezası vardır.
Aktarım Nedir? Bulut ve E-posta Tuzağı
Yurt dışına aktarım; verinin fiziken gönderilmesiyle sınırlı değildir: yurt dışındaki sunucuda barındırma, yurt dışından erişilebilir kılma ve yurt dışı merkezli hizmet sağlayıcıların altyapısını kullanma da aktarımdır. Bu geniş tanım, neredeyse her şirketi rejimin kapsamına sokar: kurumsal e-posta, bulut depolama, CRM, video konferans ve yedekleme altyapıları ilk taranacak kalemlerdir. Hukuki çerçeve, 6698 sayılı Kanunun 7499 sayılı Kanunla değişik m.9 hükmü ile Yurt Dışına Aktarım Yönetmeliğidir; uyum programının bütünü içindeki yeri için KVKK uyum süreci ve danışmanlığı ana rehberimize bakınız.
Üç Katmanlı Sistem (Genel Harita)
| Katman | Koşul | Tipik Kullanım |
|---|---|---|
| 1. Yeterlilik kararı | Kurul kararı + m.5-6 işleme şartı | Karar verilen ülke/sektöre düzenli akışlar |
| 2. Uygun güvence | Standart sözleşme, BCR, taahhütname, kamu sözleşmesi | Yeterlilik kararı yoksa düzenli akışlar |
| 3. Arızi haller | Açık rıza ve sınırlı istisnalar | Tek seferlik, öngörülemeyen aktarımlar |
Katman seçimi yukarıdan aşağı yapılır: önce yeterlilik kararı aranır, yoksa güvence kurulur, arızi istisnalar en son ve dar yorumlanır.
Katman 1: Yeterlilik Kararı
m.9/2 Ölçütleri
Karar nasıl verilir, ne zaman gözden geçirilir?
Yeterlilik kararında Kurul; karşılıklılık durumunu, ilgili ülkenin mevzuatı ve uygulamasını, bağımsız denetim otoritesinin varlığını ve uluslararası sözleşmelere taraflığı değerlendirir; kararlar en geç dört yılda bir gözden geçirilir ve değişen koşullarda kaldırılabilir. Bu dinamizm, kritik akışlarda tek mekanizmaya yaslanmak yerine standart sözleşmeyi yedekte tutmayı akıllıca kılar.
Kurul; bir ülke, ülke içindeki sektör veya uluslararası kuruluş hakkında yeterlilik kararı verebilir ve kararları en geç dört yılda bir gözden geçirir. Yeterlilik kararı bulunan hedeflere aktarım, ayrıca güvence mekanizması gerektirmez; m.5-6’daki işleme şartlarından birinin varlığı yeterlidir. Güncel karar listesi Kurumun duyurularından izlenmelidir; karar kapsamı dışında kalan hedefler için ikinci katmana geçilir.
Avukata Sor
Yurt Dışı Aktarım Yapılandırması ve benzeri uyuşmazlıklarda durumunuzu bir avukatla değerlendirin; her dosya kendi delil durumuna göre incelenir.
Katman 2: Uygun Güvenceler
Dört Mekanizma
Güvencelerin ortak şartı
Uygun güvenceyle aktarımın ön şartı; ilgili kişinin, aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkanının bulunmasıdır. Mekanizmalar: Kurulca ilan edilen standart sözleşme; Kurul onaylı bağlayıcı şirket kuralları (BCR); yeterli korumayı içeren yazılı taahhütname için Kurul izni; kamu kurumları arasında uluslararası sözleşme niteliğinde olmayan mutabakat ve Kurul izni. Seçim; aktarımın tarafına, sıklığına ve grup yapısına göre yapılır.
Standart Sözleşme ve 5 İş Günü Bildirimi
En Kritik Usul Kuralı
İmza yetmez, süresinde bildirim şarttır
Standart sözleşme; Kurulca ilan edilen metnin, veri kategorileri, amaçlar, alıcı ve teknik-idari tedbirler doldurularak taraflarca imzalanmasıyla kurulur ve imzadan itibaren beş iş günü içinde Kuruma bildirilir. Bildirim yükümlülüğü sözleşmenin imzacısındadır; ihlali bağımsız idari para cezasına tabidir. Metin üzerinde pazarlıkla değişiklik yapılamaz; ek ticari hükümler ayrı sözleşmeye konur. Adım adım doldurma, bildirim usulü ve geçiş dönemi soruları yurt dışına veri aktarımı 2024 sonrası nasıl yapılır uygulama rehberimizde ayrıntılı anlatılmıştır.
Bağlayıcı Şirket Kuralları (BCR)
BCR; çok uluslu şirket gruplarının, grup içi aktarımlar için hazırladıkları ve Kurul onayına sundukları bağlayıcı veri koruma politikalarıdır. Avantajı, her aktarım için ayrı sözleşme ve bildirim yükünü kaldırması; maliyeti ise kapsamlı dokümantasyon, tüm grup şirketlerini bağlayan iç denetim mekanizmaları ve onay sürecinin uzunluğudur. Türkiye merkezli büyüyen gruplar ve Türkiye’de yoğun operasyonu olan küresel şirketler için orta vadeli en verimli mekanizmadır; başvuru dosyası, envanter ve tedbir setiyle tutarlı kurulmalıdır, temel için veri envanteri rehberimize bakınız.
Katman 3: Arızi Haller
Yeterlilik kararı ve uygun güvence yoksa aktarım yalnızca arızi hallerde mümkündür: ilgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla açık rızası; sözleşmenin kurulması veya ifası için zorunluluk; üstün kamu yararı; hakkın tesisi ve korunması; hayat veya beden bütünlüğünün korunması gibi. Anahtar kavram arıziliktir: tek seferlik ve öngörülemeyen aktarımlar bu kapıdan geçer, düzenli veri akışları geçemez. Açık rızanın bu daralan rolü, eski rejimden kalma rıza temelli yapıların yeniden kurulmasını zorunlu kılmıştır; rıza mimarisi için açık rıza ve aydınlatma yükümlülüğü yazımızı inceleyiniz.
Yaptırımlar ve Sık Hatalar
Yaptırım Tablosu
İki ayrı ceza kalemi
Standart sözleşme bildirim yükümlülüğünün ihlali m.18/1-d uyarınca bağımsız idari para cezasına tabidir; hukuka aykırı aktarımın kendisi ise veri güvenliği ve Kurul kararlarına aykırılık kalemlerinden 2026 itibarıyla 17.092.242 TL’ye ulaşan üst sınırla cezalandırılabilir. Kurul ayrıca aktarımın durdurulmasına karar verebilir; bu, yurt dışı sistemlere bağımlı operasyonlar için cezadan ağır bir sonuçtur.
Saha Deneyimi
En sık dört hata
1) Bulut ve e-posta altyapılarının aktarım sayılmadığı varsayımı; 2) standart sözleşmenin imzalanıp bildirilmemesi; 3) eski rejimden kalma açık rızayla düzenli akışların sürdürülmesi; 4) alt işleyen zincirinin (tedarikçinin tedarikçisi) haritalanmaması; 5) aktarım beyanının aydınlatma metinlerine ve envantere işlenmemesi, düzeltme için aydınlatma metni hazırlama ve sektöre özgü ek katmanlar için sektörel KVKK uyumu rehberlerimize bakınız. Bu hatalar çoğunlukla bir veri ihlali incelemesinde ortaya çıkar ve dosyayı büyütür; ihlal anı yönetimi için veri ihlali yaşadık, ne yapmalıyız rehberimize bakınız.
Bu yazıda atıf yapılan kanunun güncel ve resmi metnine mevzuat.gov.tr üzerinden ulaşabilirsiniz.
Yurt Dışı Aktarım Yapılandırması ve Avukat Desteği
Aktarım haritanızın çıkarılması, doğru mekanizmanın seçilmesi ve standart sözleşme ile bildirim süreçlerinizin yönetimi için birlikte çalışalım.
Sık Sorulan Sorular
Google, Microsoft veya AWS kullanmak yurt dışına aktarım sayılır mı?
Evet. Verilerin yurt dışındaki sunucularda barındırılması, yurt dışı merkezli bulut yazılımlarına (CRM, e-posta, depolama, insan kaynakları sistemleri) işlenmesi ve buralardan erişilebilir kılınması Kurul uygulamasında yurt dışına aktarımdır. Hizmet sağlayıcının Türkiye’de veri merkezi seçeneği sunması riski azaltabilir; ancak destek hizmetleri kapsamında yurt dışından erişim varsa aktarım rejimi yine devreye girer. Bu nedenle ilk adım, hangi sistemlerin nerede barındırıldığını gösteren aktarım haritasının çıkarılmasıdır.
Yeterlilik kararı olmayan bir ülkeye nasıl veri aktarabilirim?
Uygun güvence mekanizmalarından biri kurulmalıdır: en pratik yol, Kurulca ilan edilen standart sözleşmenin veri aktaran ve alıcıyla imzalanması ve imzadan itibaren beş iş günü içinde Kuruma bildirilmesidir; şirket grubu içi düzenli aktarımlar için bağlayıcı şirket kuralları (BCR) onayı alınabilir; ayrıca yeterli korumayı yazılı taahhüt edip Kuruldan izin almak da mümkündür. Her mekanizmada ortak şart, ilgili kişinin aktarım yapılan ülkede de haklarını kullanabilmesi ve etkili kanun yollarına erişebilmesidir.
Standart sözleşmeyi Kuruma bildirmezsek ne olur?
Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir; bildirim yükümlülüğünün ihlali, Kanun m.18’de bağımsız bir kabahat olarak düzenlenmiştir ve diğer kalemlerden ayrı idari para cezasına tabidir. Ayrıca bildirilmemiş sözleşmeye dayanan aktarım, güvence şartını usulünce tamamlamamış sayılma riski taşır; olası bir ihlal incelemesinde hem aktarım hem bildirim kalemi birlikte yaptırım görür. Sözleşmede esaslı değişiklik ve fesih halleri de bildirime tabidir.
Açık rıza ile sürekli yurt dışına veri aktarabilir miyim?
Yeni rejimde hayır. Açık rıza, artık genel bir aktarım yolu değil; yalnızca arızi hallere özgü istisnalardan biridir. Arızi aktarım; tek seferlik veya öngörülemeyen, süreklilik taşımayan aktarımları ifade eder (örneğin tek bir uyuşmazlık için belge gönderimi). Müşteri veri tabanının yurt dışı CRM’de tutulması gibi düzenli akışlar arızi sayılmaz ve açık rızayla meşrulaştırılamaz; bu akışlar için yeterlilik kararı veya uygun güvence mekanizması zorunludur. Eski rejimdeki rıza temelli yapılar yeni sisteme taşınmalıdır.
Veri işleyen konumundaki yazılım firması da sorumlu mu?
Evet; yeni m.9 rejimi, uygun güvence mekanizmalarını veri sorumluları yanında veri işleyenler için de işletir ve standart sözleşme bildirimini imzacı tarafa yükler. Yurt dışı alt işleyen zinciri kullanan yazılım ve bulut firmaları; müşterileriyle veri işleme sözleşmesi, alt işleyenleriyle de aktarım güvencelerini kurmak zorundadır. Türkiye’deki müşteri açısından ise tedarikçinin aktarım mimarisini sözleşmeyle denetlemek, kusursuz sorumluluk savunmasının temelidir.
