12 Mart 2024 tarihli 7499 sayılı Kanun ile KVKK'nın 9. maddesi baştan yazılmış, yurt dışına veri aktarımı üç kademeli yeni bir rejime bağlanmıştır: (1) yeterlilik kararı, (2) uygun güvenceler (standart sözleşmeler, bağlayıcı şirket kuralları, taahhütname), (3) arızi haller. Uygulama detayları 10 Temmuz 2024 tarihli Yönetmelik ile belirlenmiştir. Google Workspace, AWS, Microsoft 365 gibi yabancı bulut hizmeti kullanan her şirket bu rejime tabidir.
Neden Yeni Bir Rejim Gerekti?
KVKK'nın 2016 tarihli orijinal metninde yurt dışına aktarım, ya ilgili kişinin açık rızasına ya da Kurul'un 'güvenli ülke' ilanına dayanıyordu. Ancak Kurul sekiz yıl boyunca hiçbir ülkeyi güvenli ilan etmedi. Bu durum, şirketleri her an geri alınabilir olan açık rıza mekanizmasına mahkûm etti ve ticari hayatın sürekliliğini tehdit eden hukuken kırılgan bir yapı ortaya çıkardı.
12 Mart 2024 tarihli ve 32487 sayılı Resmî Gazete'de yayımlanan 7499 sayılı Kanun'un 34. maddesi, KVKK Madde 9'u GDPR ile büyük ölçüde uyumlu hale getirdi. Uygulama usul ve esasları ise 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan Yönetmelik ile netleşti.
Yeni Üç Kademeli Aktarım Mimarisi
Yeni Madde 9, aktarım yollarını hiyerarşik üç kademeye ayırır. Aktarım yapılmadan önce bu kademeler sırasıyla değerlendirilmelidir:
| Kademe | Mekanizma | Koşul |
|---|---|---|
| 1 | Yeterlilik Kararı | Kurul'un ilgili ülke/sektör/uluslararası kuruluş için yeterlilik kararı vermesi. Temmuz 2026 itibarıyla henüz ilan edilmiş ülke yoktur. |
| 2 | Uygun Güvenceler | Standart sözleşme, bağlayıcı şirket kuralları, taahhütname veya kamu kurumları arası uluslararası sözleşme. En yaygın yöntem: standart sözleşme. |
| 3 | Arızi Haller | Açık rıza, sözleşmenin ifası, üstün kamu yararı gibi istisnai ve süreklilik arz etmeyen durumlar. Ana kural olarak kullanılamaz. |
Sizi İlgilendiriyor mu? Farkında Olmadan Yurt Dışına Veri Aktaranlar
Uygulamada şirketlerin büyük bölümü, yurt dışına veri aktardığının farkında bile değildir. Aşağıdaki araçlardan herhangi birini kullanıyorsanız, hukuken yurt dışına veri aktarımı yapıyorsunuz demektir:
- Google Workspace (Gmail, Drive, Docs) — sunucular yurt dışında
- Microsoft 365, Outlook, OneDrive, Teams
- AWS, Azure, Google Cloud üzerinde barındırılan uygulamalar
- Mailchimp, Brevo gibi e-posta pazarlama araçları
- Zoom, Slack gibi iletişim platformları
- Yurt dışı merkezli CRM ve ERP sistemleri (Salesforce, HubSpot vb.)
- Sosyal medya reklam pikselleri (Meta Pixel, Google Ads dönüşüm izleme)
- Yabancı merkezli ödeme altyapıları
En Yaygın Çözüm: Standart Sözleşmeler
Yeterlilik kararı verilmiş ülke henüz bulunmadığından, 2026 itibarıyla pratikte en işlevsel mekanizma standart sözleşmelerdir. Kurul'un 4 Haziran 2024 tarihli ve 2024/959 sayılı kararıyla dört farklı aktarım senaryosu için standart sözleşme metinleri yayımlanmıştır.
Standart sözleşmelerin iki kritik özelliği vardır: Birincisi, metinler üzerinde ekleme, çıkarma veya değişiklik yapılamaz; yalnızca seçimlik maddeler arasında tercih kullanılabilir. İkincisi, imzalanan sözleşmenin 5 iş günü içinde Kuruma bildirilmesi zorunludur. Bildirim yükümlülüğünün ihlali ayrı bir idari para cezasına tabidir.
Standart sözleşmelerin detaylı incelemesi için bu konudaki özel makalemize bakabilirsiniz.
Şirketiniz İçin 5 Adımlı Uyum Yol Haritası
- Adım 1 — Envanter: Hangi verilerin, hangi araçlarla, hangi ülkelere aktarıldığını haritalandırın (bulut hizmetleri dahil)
- Adım 2 — Hukuki dayanak kontrolü: Her aktarımın Md. 5-6 kapsamında geçerli bir işleme şartına dayandığını doğrulayın
- Adım 3 — Mekanizma seçimi: Her aktarım için uygun kademeyi belirleyin (pratikte çoğunlukla standart sözleşme)
- Adım 4 — Sözleşme ve bildirim: Doğru standart sözleşme tipini imzalayın, 5 iş günü içinde Kuruma bildirin
- Adım 5 — Dokümantasyon: VERBİS bildirimlerinizi ve aydınlatma metinlerinizi yurt dışı aktarım bilgisiyle güncelleyin
Sıkça Sorulan Sorular
Yurt dışına veri aktarımı için hâlâ açık rıza yeterli mi?
Hayır. Yeni rejimde açık rıza yalnızca 'arızi haller' kapsamında, süreklilik arz etmeyen istisnai aktarımlar için kullanılabilir. Düzenli aktarımlar (bulut hizmetleri gibi) için standart sözleşme veya diğer uygun güvenceler gereklidir.
Türkiye'nin yeterlilik kararı verdiği ülke var mı?
Temmuz 2026 itibarıyla Kurul tarafından ilan edilmiş bir yeterlilik kararı bulunmamaktadır. Kurul'un öncelikle AB/AEA ülkeleri, Birleşik Krallık ve İsviçre'yi değerlendirmesi beklenmektedir.
Google Drive kullanmak yurt dışı veri aktarımı sayılır mı?
Evet. Kişisel veri içeren dosyaların yurt dışında sunucuları bulunan bulut hizmetlerinde saklanması, hukuken yurt dışına veri aktarımıdır ve Madde 9 rejimine tabidir.
Standart sözleşme imzalamak yeterli mi?
Hayır. Sözleşmenin imzalanmasından itibaren 5 iş günü içinde Kuruma bildirilmesi zorunludur. Bildirim yapılmazsa aktarım hukuka aykırı hale gelir ve idari para cezası riski doğar.
Aktarım yapmadan önce hangi kontrol yapılmalı?
Önce işlemenin KVKK Md. 5-6'ya uygunluğu, sonra sırasıyla yeterlilik kararı, uygun güvenceler ve arızi haller kademeleri değerlendirilmelidir.
Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Somut durumunuz için uzman görüşü alınız. Kaynak: 6698 sayılı Kanun'un 9. maddesi (mevzuat.gov.tr), Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile Kurul'un 2024/959 sayılı kararı (kvkk.gov.tr) ve ilgili Resmî Gazete sayıları (resmigazete.gov.tr).