Standart sözleşmeler, Kurul'un 4 Haziran 2024 tarihli ve 2024/959 sayılı kararıyla yayımlanan, yurt dışına veri aktarımında kullanılan hazır sözleşme metinleridir. Dört farklı aktarım senaryosu için dört ayrı tip mevcuttur. Metinler üzerinde değişiklik yapılamaz ve imzadan itibaren 5 iş günü içinde Kuruma bildirim zorunludur. Kurul izni gerekmez; bildirim yeterlidir.
Standart Sözleşme Nedir, Neden Bu Kadar Önemli?
Standart sözleşme (uluslararası literatürde SCC — Standard Contractual Clauses), veri aktaran taraf ile yurt dışındaki alıcı arasında imzalanan, içeriği Kurul tarafından önceden belirlenmiş sözleşmedir. Amacı, verinin gittiği ülkede Türkiye'dekine eşdeğer bir koruma seviyesini sözleşmesel olarak garanti altına almaktır.
Önemi şuradan gelir: Yeterlilik kararı verilmiş ülke henüz bulunmadığından ve bağlayıcı şirket kuralları yalnızca şirket gruplarına hitap ettiğinden, standart sözleşme 2026 itibarıyla bağımsız şirketler arasındaki aktarımlar için fiilen tek pratik yoldur.
Dört Sözleşme Tipi: Hangisi Sizin Durumunuza Uygun?
Doğru tipin seçilmesi kritiktir: yanlış sözleşme tipiyle yapılan aktarım, güvence sağlanmamış sayılabilir. Şirketinizin her aktarım ilişkisindeki rolünü (sorumlu mu, işleyen mi) önce netleştirmeniz gerekir.
| Tip | Taraflar | Tipik Senaryo |
|---|---|---|
| SS-1 | Veri Sorumlusu → Veri Sorumlusu | Türk şirketin, yurt dışındaki iş ortağına kendi amaçları için kullanacağı müşteri verisi göndermesi |
| SS-2 | Veri Sorumlusu → Veri İşleyen | Türk şirketin bulut hizmet sağlayıcısı (AWS, Google) kullanması — en yaygın senaryo |
| SS-3 | Veri İşleyen → Veri İşleyen | Türkiye'deki veri işleyenin alt işleyen olarak yurt dışı hizmet alması |
| SS-4 | Veri İşleyen → Veri Sorumlusu | Türkiye'de işlenen verinin yurt dışındaki asıl veri sorumlusuna dönmesi |
Değiştirilemezlik Kuralı: Neye Dokunabilirsiniz, Neye Dokunamazsınız?
Kurul, standart sözleşme metinlerinin bütünlüğü konusunda katı bir tutum benimsemiştir. Metinlerde ekleme, çıkarma veya değişiklik yapılamaz. Yalnızca metin içinde açıkça seçimlik veya alternatif olarak işaretlenmiş maddelerde tercih kullanılabilir.
Doldurulması gereken alanlar ise şunlardır: aktarılan veri kategorileri, aktarım amaçları, alıcı grupları, veri alıcısının alacağı teknik ve idari tedbirler. Özel nitelikli kişisel veri (sağlık, biyometrik veri vb.) aktarılıyorsa, bu veriler için alınacak ek önlemlerin de ayrıca belirtilmesi Yönetmelik gereğidir.
Sözleşme Türkçe ve yabancı dilde düzenlenebilir; ancak uyuşmazlık halinde Türkçe metin esas alınır.
5 İş Günü Bildirim Yükümlülüğü: En Çok İhlal Edilen Kural
Standart sözleşme rejiminin en kritik ve en sık gözden kaçan kuralı bildirim yükümlülüğüdür: imzalanan sözleşme, imza tarihinden itibaren 5 iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilmelidir.
Bildirimin iki önemli özelliği vardır: Birincisi, bu bir izin başvurusu değildir — Kurul onayı beklenmez, bildirimle birlikte aktarım hukuken mümkün hale gelir. İkincisi, bildirim yapılmaması aktarımı hukuka aykırı hale getirir ve ayrı bir idari para cezasına yol açar.
Adım Adım SCC Uygulama Süreci
- 1. Aktarım ilişkinizdeki rolleri belirleyin (veri sorumlusu / veri işleyen)
- 2. Doğru sözleşme tipini seçin (SS-1, SS-2, SS-3 veya SS-4)
- 3. KVKK resmi sitesinden güncel metni indirin — üçüncü taraf versiyonlarına güvenmeyin
- 4. Veri kategorileri, amaçlar, alıcı grupları ve teknik-idari tedbirleri eksiksiz doldurun
- 5. Özel nitelikli veri varsa ek önlemleri belirtin
- 6. Her iki tarafın yetkili imzalarını tamamlayın
- 7. İmzadan itibaren 5 iş günü içinde Kuruma bildirin
- 8. Bildirim kaydını ve sözleşme nüshasını denetime hazır şekilde arşivleyin
- 9. VERBİS bildiriminizde ve aydınlatma metinlerinizde yurt dışı aktarımı güncelleyin
Sıkça Sorulan Sorular
Standart sözleşme için Kurul'dan izin almak gerekir mi?
Hayır. Standart sözleşme rejimi bildirim esasına dayanır; izin gerekmez. Ancak imzadan itibaren 5 iş günü içinde Kuruma bildirim zorunludur.
Standart sözleşme metninde değişiklik yapabilir miyim?
Hayır. Metinlerde ekleme, çıkarma veya değişiklik yapılamaz. Yalnızca seçimlik olarak işaretlenmiş maddelerde tercih kullanılabilir ve doldurulması gereken alanlar doldurulur.
Bildirim süresini kaçırırsam ne olur?
Bildirim yükümlülüğünün ihlali idari para cezasına tabidir ve aktarımın hukuka aykırı sayılması riskini doğurur. Geç kalınmışsa en kısa sürede bildirim yapılmalı ve hukuki danışmanlık alınmalıdır.
AWS veya Google ile ayrıca sözleşme imzalamam gerekir mi?
Büyük bulut sağlayıcıları genellikle Türk hukukuna uygun standart sözleşme imzalama süreçleri sunmaktadır. Sağlayıcınızın Türkiye SCC sürecini kontrol edin; imzalanan sözleşmenin Kuruma bildirimini kendi tarafınızdan takip edin.
Hangi sözleşme tipi en yaygın kullanılır?
SS-2 (Veri Sorumlusundan Veri İşleyene). Çünkü şirketlerin en yaygın yurt dışı aktarımı, bulut ve SaaS hizmet sağlayıcılarına yapılan aktarımdır.
Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Somut durumunuz için uzman görüşü alınız. Kaynak: 6698 sayılı Kanun'un 9. maddesi (mevzuat.gov.tr) ile Kurul'un 4 Haziran 2024 tarihli ve 2024/959 sayılı kararı ve standart sözleşme metinleri (kvkk.gov.tr).