Türkiye'de faaliyet gösteren neredeyse her şirket, farkında olsun ya da olmasın yurt dışına veri aktarıyor. E-posta altyapınız, muhasebe yazılımınız, CRM'iniz, canlı destek aracınız, e-posta pazarlama platformunuz ya da sadece dosyalarınızı tuttuğunuz bulut — bunların çoğunun sunucusu Türkiye'de değil.
Bu yazı, aktarımın ne zaman doğduğunu ve hangi mekanizmayla hukuka uygun hâle getirileceğini anlatıyor.
Önemli: Genel bilgilendirmedir, hukuki danışmanlık değildir. Aktarım mekanizmaları biçimsel şartlara tabidir; uygulamaya geçmeden önce hukukçu desteği alın ve Kurum'un güncel duyurularını esas alın.
Kısa cevap
Aktarım için verinin "gönderilmesi" gerekmez — yurt dışındaki bir sunucuda tutulması veya yurt dışından erişilebilir olması da aktarımdır. 2024'te yürürlüğe giren düzenlemeyle 9. madde kademeli bir yapıya kavuştu: önce ilgili ülke veya sektör için yeterlilik kararı aranır; yoksa uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları, taahhütname, uluslararası sözleşme) kurulur; bunlar da yoksa yalnızca arızi, yani süreklilik arz etmeyen hâllerde sınırlı istisnalara başvurulabilir.
Aktarım ne zaman doğar?
Şu durumların hepsi yurt dışına aktarımdır:
- Verilerin yurt dışındaki bir veri merkezinde saklanması
- Türkiye'deki sunucuda tutulan veriye yurt dışındaki bir ekibin erişebilmesi
- Yabancı bir yazılımın verinizi işlemek üzere kendi sistemine alması
- Grup şirketinizin yurt dışındaki merkeziyle raporlama yapmanız
- Yurt dışındaki teknik destek ekibinin sisteminize uzaktan bağlanması
Son madde en sık atlananıdır: veri hiç ülke dışına çıkmasa bile, yurt dışından erişim aktarım sayılır.
Hangi araçlar aktarım yaratır?
| Araç türü | Tipik durum | Kontrol edilecek |
|---|---|---|
| E-posta ve ofis paketi | Genellikle yurt dışı | Veri ikamet bölgesi seçeneği var mı? |
| Bulut depolama | Genellikle yurt dışı | Bölge ayarı Türkiye/AB seçilebiliyor mu? |
| CRM ve satış yazılımı | Çoğunlukla yurt dışı | Sözleşmede veri koruma eki var mı? |
| E-posta pazarlama aracı | Neredeyse her zaman yurt dışı | Alt işleyici listesi yayımlanıyor mu? |
| Canlı destek / sohbet | Çoğunlukla yurt dışı | Görüşme kayıtları nerede tutuluyor? |
| Analitik ve reklam | Yurt dışı | Kimlik verisi gönderiliyor mu? |
| Yapay zeka araçları | Yurt dışı | Ayrı risk analizi gerekir |
| İK / bordro yazılımı | Değişken | Özlük verisi hassastır |
| Muhasebe ve e-fatura | Çoğunlukla yerli | Yine de teyit edin |
| Barındırma / sunucu | Değişken | Sağlayıcının veri merkezi konumu |
İlk yapılacak iş, bu listeyi kendi araçlarınız için doldurmaktır. Sağlayıcıların çoğu veri merkezi konumunu ve alt işleyici listesini kendi belgelerinde yayımlar; yayımlamıyorsa yazılı olarak sorun ve cevabı saklayın.
Üç kademeli sistem
Kademe 1 — Yeterlilik kararı
Kurul, bir ülke, bir sektör veya uluslararası bir kuruluş hakkında yeterlilik kararı verebilir. Böyle bir karar varsa aktarım, yurt içi aktarım gibi genel şartlara tabi olarak yapılabilir.
Bu kademe pratikte en rahatıdır; ancak hangi ülkeler için karar bulunduğunu kendi başınıza varsaymayın. Kurum'un güncel duyurularını kontrol edin; yeterlilik kararı olduğunu düşünerek ilerlemek, karar yoksa doğrudan ihlal anlamına gelir.
Kademe 2 — Uygun güvenceler
Yeterlilik kararı yoksa, tarafların uygun güvenceleri sağlaması hâlinde aktarım yapılabilir. Başlıca yollar:
Standart sözleşme. Kurul tarafından ilan edilen metin, taraflarca imzalanır. Ayrı bir izin gerekmez ancak imzalanmasından itibaren belirli bir süre içinde (mevzuatta öngörülen kısa süre — uygulamada beş iş günü) Kurum'a bildirim yapılması gerekir. Bildirim yükümlülüğünün atlanması, sözleşmeyi imzalamış olmanızı da anlamsız kılar.
Bağlayıcı şirket kuralları. Aynı şirketler topluluğu içindeki aktarımlar için kullanılır ve Kurul onayı gerektirir. Çok uluslu gruplar için uygundur, tek şirketler için pratik değildir.
Taahhütname. Tarafların hazırladığı, Kurul'un izin verdiği yazılı taahhüt. İzin süreci zaman aldığı için, standart sözleşmenin mümkün olduğu hâllerde genellikle standart sözleşme tercih edilir.
Uluslararası sözleşme hükümleri. Kamu kurumları ve belirli kurumsal yapılar için söz konusu olabilir.
Kademe 3 — Arızi hâller
Yukarıdakilerin hiçbiri yoksa, yalnızca arızi — yani süreklilik arz etmeyen, tek seferlik — durumlarda sınırlı istisnalara başvurulabilir. Tipik örnekler: ilgili kişinin aktarıma ilişkin bilgilendirilerek açık rıza vermesi, bir sözleşmenin ifası için zorunlu olması, üstün kamu yararı, bir hakkın tesisi veya korunması, yaşamsal menfaat.
Buradaki kritik kelime arızidir. Bulut yazılımınıza her gün akan veri arızi değildir; süreklidir. Bu yüzden "aktarım için açık rıza aldık" yaklaşımı, sürekli aktarımlar için uygun bir yöntem değildir. Rızanın hukuki niteliği için: KVKK onayı nedir.
En sık yapılan beş hata
1. "Sunucularımız Türkiye'de" bilgisini teyit etmeden kabul etmek. Satış ekibinin sözlü beyanı yeterli değildir. Sözleşmede veya sağlayıcının resmî belgesinde yazılı olmalıdır. Bazı sağlayıcılar Türkiye'de sunucu sunar ama yedekleri veya destek erişimi yurt dışındadır.
2. Aktarımı envanterde göstermemek. Her aktarım, kişisel veri envanterinde alıcı grubu ve aktarım amacıyla birlikte yer almalıdır. Envanterde görünmeyen aktarım, denetimde "bilmiyorduk" savunmasını da imkânsız kılar.
3. Aydınlatma metninde belirtmemek. İlgili kişiye, verisinin yurt dışına aktarılıp aktarılmadığı bildirilmelidir. Bu, 10. maddenin gereğidir ve atlanması en kolay tespit edilen eksikliktir. Metni üretmek için: aydınlatma metni nasıl hazırlanır.
4. Standart sözleşmeyi imzalayıp bildirimi unutmak. Bildirim yükümlülüğü mekanizmanın parçasıdır; yerine getirilmezse güvence tamamlanmamış sayılır.
5. Alt işleyicileri hesaba katmamak. Kullandığınız yazılımın kendisi başka sağlayıcılar kullanıyor olabilir. Sağlayıcınızın alt işleyici listesini isteyin ve değişikliklerden haberdar edilme hakkınızı sözleşmeye koydurun.
Uygulama sırası
- Envanter çıkarın. Hangi araç, hangi veriyi, nereye gönderiyor?
- Sunucu konumlarını teyit edin. Yazılı cevap alın ve saklayın.
- Bölge seçeneğini kullanın. Bazı sağlayıcılar veri ikamet bölgesi seçmenize izin verir; Türkiye veya AB seçilebiliyorsa risk düşer.
- Gerçekten gerekli mi diye sorun. Yerli bir alternatif aynı işi görüyorsa aktarımı tamamen ortadan kaldırmak en temiz çözümdür.
- Kalan aktarımlar için mekanizma kurun. Yeterlilik kararı → standart sözleşme → taahhütname sırasıyla değerlendirin.
- Belgeleri güncelleyin. Aydınlatma metni, envanter, saklama politikası.
- Yıllık gözden geçirin. Sağlayıcılar veri merkezi ve alt işleyici değiştirir.
Adım 6'daki belgeleri şirket bilgilerinizi girerek üretebilirsiniz: belge sihirbazı. Araç tamamen ücretsizdir.
Denetimde ne sorulur?
Kurul'un yayımlanmış kararlarında yurt dışı aktarımına ilişkin tipik sorular şunlardır: aktarımın hukuki sebebi nedir, hangi mekanizma kullanılmıştır, ilgili kişi bilgilendirilmiş midir, aktarılan verinin kapsamı amaçla sınırlı mıdır ve sağlayıcıyla veri koruma yükümlülükleri sözleşmeye bağlanmış mıdır. Örnek kararlar için: karar arşivi.
Ceza boyutu için: KVKK cezaları ne kadar.
Sık sorulan sorular
Yurt dışı bir e-posta servisi kullanmak KVKK ihlali mi?
Kullanmak tek başına ihlal değildir; mekanizmasız kullanmak ihlaldir. Sağlayıcının sunucu konumunu teyit edin, uygun güvenceyi kurun, aktarımı envantere ve aydınlatma metnine işleyin.
Aktarım için müşteriden açık rıza alsam yeterli olmaz mı?
Sürekli ve rutin aktarımlar için uygun bir yöntem değildir. 2024 sonrası düzenlemede açık rıza dahil istisnalar, arızi yani süreklilik arz etmeyen hâller için öngörülmüştür. Bulut yazılımınıza her gün akan veri arızi sayılmaz.
Verim yurt dışında ama şifreli, yine de aktarım mı?
Evet. Şifreleme çok önemli bir güvenlik tedbiridir ve riski azaltır, ancak aktarımın hukuki niteliğini değiştirmez. Anahtar sizde olsa bile veri yurt dışında işlenmektedir.
Standart sözleşmeyi imzaladım, başka bir şey yapmam gerekiyor mu?
Evet. Mevzuatta öngörülen kısa süre içinde Kurum'a bildirim yapmanız gerekir. Ayrıca sözleşmenin taraflarını, kapsamını ve alt işleyicileri güncel tutmalısınız.
Küçük bir şirketim, bu kadar prosedüre gerçekten uymalı mıyım?
Aktarım yükümlülükleri şirket büyüklüğüne göre değişmez. VERBİS kayıt muafiyetiniz olsa bile aktarım kurallarına tabisiniz. Küçük şirketler için en pratik strateji, aktarım sayısını azaltmak ve kalanları standart sözleşmeyle çözmektir.
Sağlayıcının Türkiye'de sunucusu var, sorun bitti mi?
Muhtemelen ama teyit gerekir. Yedeklerin, destek erişiminin ve alt işleyicilerin de Türkiye'de olduğunu yazılı olarak doğrulayın. Yalnızca birincil sunucunun Türkiye'de olması, yurt dışından erişim varsa aktarımı ortadan kaldırmaz.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, md. 9 (2024 değişikliği), md. 10, 12
- Kişisel Verileri Koruma Kurumu duyuruları ve standart sözleşme metinleri
- Kişisel Verileri Koruma Kurulu yayımlanmış kararları — karar arşivi
