Yurt Dışına Veri Aktarımı 2024 Sonrası Nasıl Yapılır? Adım Adım Uygulama Rehberi (2026)
7499 sayılı Kanunla değişen m.9 rejimi 1 Haziran 2024’te yürürlüğe girdi ve eski sistemin iki direğini yıktı: açık rıza artık düzenli aktarımların dayanağı değildir ve taahhütname-Kurul izni beklemek tek seçenek olmaktan çıkmıştır. Geçiş hükmü uyarınca açık rızaya dayalı aktarımlar yalnızca 1 Eylül 2024’e kadar sürdürülebildi; bu tarihten sonra rızaya dayalı düzenli akışlar hukuka aykırı hale geldi. Bugün uygulanacak sıra nettir: önce hangi verinin hangi ülkeye, hangi hizmet üzerinden aktığını gösteren aktarım haritası çıkarılır; hedef hakkında Kurul yeterlilik kararı varsa işleme şartıyla aktarım yapılır; yoksa Kurulca ilan edilen standart sözleşme veri kategorileri ve tedbirlerle doldurulup imzalanır ve imzadan itibaren beş iş günü içinde Kuruma bildirilir; grup içi düzenli akışlar için bağlayıcı şirket kuralları (BCR) onayı alternatiftir. Bildirim yükümlülüğünün ihlali bağımsız idari para cezasına tabidir; arızi (tek seferlik) aktarımlar dışında açık rızaya dönüş yolu kapalıdır.
Eski Rejim – Yeni Rejim: Ne Değişti?
Eski m.9 iki kapılıydı: açık rıza veya yeterli korumalı ülke listesi (hiç yayımlanmadı) yoksa taahhütname ve Kurul izni. Liste çıkmayınca sistem fiilen rıza ve izin darboğazına sıkıştı. 7499 sayılı Kanunla yeniden yazılan m.9; yeterlilik kararı, uygun güvenceler ve arızi haller üçlüsüne geçerek sistemi GDPR mimarisine yaklaştırdı. Kavramsal çerçevenin tamamı yurt dışına veri aktarımı ana yazımızda; bu rehber ise “bugün ne yapmalıyım” sorusunun uygulama cevabıdır. Mevzuat metni için 6698 sayılı Kanun m.9 ve geçici m.3 esas alınmalıdır.
Geçiş Dönemi Bitti: 1 Eylül 2024 Sonrası Durum
Geçici m.3 Takvimi
Rıza köprüsü yıkıldı
Yeni rejim 1 Haziran 2024’te yürürlüğe girdi; eski usul açık rızaya dayalı aktarımlara yalnızca 1 Eylül 2024’e kadar geçerlilik tanındı. Bu tarihten sonra rızaya dayalı düzenli akışlar dayanaksız kaldı. Sahada hala eski rıza metinlerine yaslanan yapılarla karşılaşıyoruz; bu yapılar her gün süren bir ihlal üretir ve olası bir veri ihlali incelemesinde dosyanın en ağır kalemi olur. Yapılacak iş, akışları yeni mekanizmalara taşımaktır; rıza artık yalnızca arızi aktarımların istisnasıdır.
Adım 1: Aktarım Haritası
Mekanizma seçilmeden önce envanter mantığıyla aktarım haritası çıkarılır: hangi veri kategorisi, hangi süreçte, hangi hizmet sağlayıcı üzerinden, hangi ülkeye gidiyor ve alt işleyenler kimler? E-posta, bulut depolama, CRM, İK yazılımı, çağrı merkezi, yedekleme ve analitik araçları tek tek taranır; tedarikçilerin veri merkezi lokasyonları ve destek erişim noktaları sorgulanır. Harita; saklama sürelerini de göstermelidir, süre disiplini için veri saklama ve imha politikası rehberimize bakınız. Harita, hem mekanizma seçiminin hem VERBİS beyanının temelidir; envanter kurulumu için VERBİS kaydı ve veri envanteri rehberimize bakınız.
Avukata Sor
Yeni Rejime Geçiş Desteği ve benzeri uyuşmazlıklarda durumunuzu bir avukatla değerlendirin; her dosya kendi delil durumuna göre incelenir.
Adım 2: Yeterlilik Kararı Kontrolü
Haritadaki her hedef ülke için güncel yeterlilik kararı taraması yapılır: karar varsa aktarım, m.5-6 işleme şartlarından biriyle serbestçe yürür; ek güvence gerekmez. Karar; ülke, sektör veya uluslararası kuruluş bazlı olabildiğinden kapsam dikkatle okunmalıdır. Karar bulunmayan hedefler üçüncü adıma geçer. Kararların dört yılda bir gözden geçirildiği unutulmamalı, kritik akışlar için yıllık teyit rutini kurulmalıdır.
Adım 3: Standart Sözleşmenin Doldurulması
Uygulama Notları
Metne dokunma, ekleri doğru doldur
Kurulca ilan edilen metin değiştirilmez; doldurulacak alanlar özenle işlenir: taraf ve rol tanımları (veri sorumlusundan sorumluya, sorumludan işleyene, işleyenden işleyene), veri kategorileri ve ilgili kişi grupları, aktarım amaçları, saklama süreleri, teknik ve idari tedbirler ile alt işleyen yetkilendirmeleri. Tedbir bölümü kopyala-yapıştır değil, fiilen uygulanan kontrollerin beyanı olmalıdır; ihlal halinde bu beyan denetimin ölçütüdür. Ek ticari hükümler ayrı sözleşmeye alınır; veri işleme sözleşmesi mimarisi ayrıca kurulmalıdır.
Adım 4: 5 İş Günü İçinde Bildirim
Usul Kuralı
Bildirim: fiziki veya KEP
İmzadan itibaren beş iş günü içinde; Kurumca yayımlanan bildirim formu ve sözleşme nüshasıyla, fiziki teslim veya KEP yoluyla Kuruma bildirim yapılır. Yükümlülük imzacı veri sorumlusu veya veri işleyendedir; grup yapılarında hangi şirketin bildirim yapacağı sözleşme kurgusunda netleştirilmelidir. Esaslı değişiklik ve fesih de bildirime tabidir. Takvim yönetimi için pratik önerimiz: imza tarihini sözleşmeye ek bir iç onay formuyla sabitleyip bildirimi imza günü yapmaktır; beş günlük süre, kargo ve evrak gecikmelerini affetmez. Sektörünüze özgü ek paylaşım kısıtları (bankacılık sırrı gibi) için sektörel KVKK uyumu rehberini de gözetin.
Grup Şirketleri: BCR Seçeneği
Aynı grup içinde çok ülkeli düzenli akışlar yürüten yapılarda her akış için ayrı standart sözleşme ve bildirim, yönetilemez bir evrak yükü doğurur; bağlayıcı şirket kuralları (BCR) bu yükü tek onayla kaldırır. BCR; grubun tüm üyelerini bağlayan veri koruma politikası setinin Kurul onayına sunulmasıdır ve onay sonrası grup içi aktarımların sürekli dayanağı olur. Hazırlık; envanter, tedbir seti, iç denetim ve eğitim programlarıyla tutarlılık ister; eğitim ayağı için KVKK eğitimi ve veri ihlali müdahale planı rehberimize bakınız.
Sık Yapılan Geçiş Hataları
Hata 1-2
Rıza ataleti ve bildirimsiz sözleşme
En yaygın iki hata: eski rıza metinleriyle düzenli akışları sürdürmek ve standart sözleşmeyi imzalayıp bildirimi atlamak. İlki süregelen hukuka aykırı aktarım, ikincisi bağımsız ceza kalemidir; ikisi birlikte bir ihlal incelemesinde dosyayı katlar. Ceza rejiminin bütünü için KVKK şikayeti nasıl yapılır rehberindeki yaptırım bölümüne bakınız.
Hata 3-4
Alt işleyen körlüğü ve tek seferlik yanılgısı
Tedarikçinizin alt işleyen zincirini haritalamamak, güvencenin zincirin ortasında kopmasına yol açar; sözleşmelerde alt işleyen yetkilendirme ve denetim hükümleri şarttır. Dördüncü hata, düzenli akışı arızi sayma yanılgısıdır: her ay tekrarlanan raporlama arızi değildir ve açık rızayla taşınamaz. Aktarım mimarisi kurulurken ihlal senaryosu da planlanmalıdır; yurt dışı kaynaklı sızıntılarda bildirim yönetimi için veri ihlali yaşadık, ne yapmalıyız rehberimiz yol göstericidir.
Bu yazıda atıf yapılan kanunun güncel ve resmi metnine mevzuat.gov.tr üzerinden ulaşabilirsiniz.
Yeni Rejime Geçiş Desteği ve Avukat Desteği
Eski rejimden kalan aktarım yapılarınızın yeni m.9 sistemine taşınması, standart sözleşme ve bildirim süreçlerinizin yürütülmesi için birlikte çalışalım.
Sık Sorulan Sorular
2024 öncesi aldığımız açık rızalarla aktarıma devam edebilir miyiz?
Hayır. Geçiş hükmü, eski m.9 kapsamındaki açık rızaya dayalı aktarımların yalnızca 1 Eylül 2024’e kadar sürdürülebilmesine izin verdi; bu tarihten sonra rızaya dayalı düzenli akışlar dayanaksız kaldı. Bugün müşteri veri tabanının yurt dışı CRM’de tutulması, e-posta pazarlama platformları ve bulut İK sistemleri gibi süreklilik taşıyan tüm akışlar; yeterlilik kararına, standart sözleşmeye, BCR’ye veya Kurul izinli taahhütnameye dayanmak zorundadır. Açık rıza yalnızca tek seferlik ve öngörülemeyen arızi aktarımlar için istisna olarak yaşamaktadır.
Standart sözleşme bildirimi nereye ve nasıl yapılır?
Bildirim; imza tarihinden itibaren beş iş günü içinde, sözleşmenin imzacısı olan veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna yapılır. Kurumun duyurduğu usule göre bildirim; fiziki evrak teslimi veya kayıtlı elektronik posta (KEP) yoluyla, Kurumca yayımlanan bildirim formu ve imzalı sözleşme nüshasıyla gerçekleştirilir. Sözleşmede esaslı değişiklik yapılması ve sözleşmenin sona ermesi de aynı usulle bildirilir. Bildirimin ispatı için teslim ve gönderi kayıtları dosyalanmalıdır.
Standart sözleşmenin metnini değiştirebilir miyiz?
Kurulca ilan edilen standart sözleşme metni üzerinde içerik değişikliği yapılamaz; metnin gücü, standartlığından gelir. Taraflar; veri kategorileri, ilgili kişi grupları, aktarım amaçları, alıcı bilgileri, teknik ve idari tedbirler gibi doldurulması öngörülen alanları kendi aktarımlarına göre işler. Ticari koşullar, hizmet seviyeleri ve sorumluluk paylaşımı gibi ek hükümler; standart sözleşmeyle çelişmemek kaydıyla ayrı bir hizmet veya veri işleme sözleşmesinde düzenlenir.
Yeterlilik kararı verilen ülkeler hangileri?
Yeterlilik kararları Kurul tarafından verilir, Resmi Gazete ve Kurum sitesinde duyurulur ve en geç dört yılda bir gözden geçirilir; karar, ülke geneli yerine belirli bir sektör veya uluslararası kuruluşla da sınırlı olabilir. Aktarım planlarken güncel karar listesinin Kurum duyurularından teyidi şarttır; karar bulunmayan tüm hedefler için uygun güvence mekanizmaları kurulur. Yazımızın kaleme alındığı dönemde uygulamanın ağırlık merkezi standart sözleşmedir; bu nedenle rehberimiz sözleşme sürecini adım adım işlemektedir.
Bildirimi unutursak ceza ne kadar?
Standart sözleşmenin süresinde bildirilmemesi, Kanun m.18/1-d uyarınca bağımsız bir kabahattir ve yeniden değerlemeyle güncellenen tutarlarla idari para cezasına tabidir; ceza, aktarımın kendisine ilişkin veri güvenliği kalemlerinden ayrı uygulanır. Daha ağır risk şudur: bildirilmemiş sözleşmeye dayalı akış, usulünce kurulmamış güvence sayılarak hukuka aykırı aktarım incelemesine dönüşebilir ve Kurul aktarımın durdurulmasına karar verebilir. Gecikme fark edildiğinde bildirimi derhal tamamlayıp gecikme gerekçesini yazılı sunmak, takdiri lehe çevirir.
