Yurt Dışı Veri Aktarımı: Standart Sözleşme, Bildirim ve Riskler

Kısa cevap: Yurt Dışı Veri Aktarımı yapan işletme, yalnız gizlilik sözleşmesi imzalayarak KVKK uyumu sağlayamaz. Türkiye’den yurt dışındaki bulut, CRM, bordro, çağrı merkezi veya grup şirketine kişisel veri aktarılmadan önce Türkiye’deki işlemenin hukuki sebebi, gerçek veri akışı ve tarafların veri sorumlusu/veri işleyen rolleri belirlenir. Yeterlilik kararı bulunmayan aktarımda uygun güvence olarak standart sözleşme seçilecekse dört resmî modelden doğru olanı kullanılmalı; ekler somut veri ve güvenlik yapısıyla doldurulmalı ve imzalar tamamlandıktan sonra beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilmelidir. Standart sözleşme ana metnini korumayan değişiklik, yanlış taraf modeli, boş bırakılan ek, bildirimsiz imza veya alt işleyen zincirinin atlanması yaptırım riski yaratır. Sözleşme, veri minimizasyonu, aydınlatma, saklama, güvenlik ve ilgili kişi haklarının yerine geçmez.

Yurt Dışı Veri Aktarımı yalnız dosya göndermek değildir

Verinin e-posta ekiyle yabancı şirkete yollanması açık bir aktarım örneğidir. Bunun yanında yurt dışındaki destek ekibinin Türkiye’deki sunucuya uzaktan erişmesi, yedeğin yabancı veri merkezine çoğaltılması, SaaS hesabındaki telemetri, küresel insan kaynakları sistemi ve yabancı ana şirkete raporlama da aktarım oluşturabilir. Sunucunun İstanbul’da bulunduğu söylenirken yönetim paneline başka ülkeden erişilebiliyorsa veri akışı yalnız fiziksel sunucu konumuyla açıklanamaz.

İlk çalışma; kaynak sistem, veri kategorisi, ilgili kişi grubu, amaç, alıcı, rol, ülke, erişim yöntemi, aktarım sıklığı ve saklama süresini gösteren haritadır. IP adresi, cihaz kimliği, müşteri numarası ve takma adlandırılmış kayıt, alıcı tarafından kişiyle ilişkilendirilebiliyorsa kişisel veri niteliğini sürdürebilir. Şifreleme riski azaltır; anahtar veya yeniden ilişkilendirme imkânı varken aktarımı ortadan kaldırmaz.

6698 sayılı Kanun’a göre aktarım hangi sırayla incelenir?

Önce verinin Türkiye’de işlenmesi için 5. madde, özel nitelikli veri bakımından 6. madde kapsamında hukuki sebep bulunmalıdır. Aktarım mekanizması, ilk işlemeyi hukuka uygun hâle getiren bağımsız bir sebep değildir. Örneğin müşteri e-postasını hizmet için işlemek mümkün olsa bile aynı veriyi yabancı reklam sağlayıcısına model eğitimi için göndermek yeni amaç analizi gerektirir.

Sonra hedef ülke, ülke içindeki sektör veya uluslararası kuruluş için yeterlilik kararı bulunup bulunmadığı kontrol edilir. Yeterlilik yoksa uygun güvenceler değerlendirilir: kamu kurumları arasındaki anlaşma, bağlayıcı şirket kuralları, Kurulun ilan ettiği standart sözleşme veya Kurulca onaylanan yazılı taahhüt. Uygun güvence de yoksa Kanun’daki sınırlı ve arızi aktarım hâlleri gündeme gelebilir. Düzenli bordro veya sürekli bulut kullanımını “arızi” saymak temkinle değerlendirilmelidir.

Hangi standart sözleşme modeli seçilmelidir?

Kurum dört farklı taraf ilişkisi için ayrı metin yayımlar. Seçim şirket unvanına veya sözleşmedeki hazır etikete göre değil, ilgili veri işlemedeki fiilî role göre yapılır.

Aynı iki şirket farklı projelerde farklı rollerde olabilir. Bulut sağlayıcısı müşteri verisini yalnız talimatla barındırırken veri işleyen; kullanım telemetrisini kendi ürün güvenliği veya geliştirme amacıyla işlerken kendi karar alanında veri sorumlusu olabilir. Tek sözleşmede birden fazla akış varsa her akışın rolü ve hukuki dayanağı ayrı gösterilmelidir.

Veri sorumlusu–veri işleyen rol testi nasıl yapılır?

Şu sorular cevaplanır: İşleme amacını kim belirliyor? Hangi veri alanlarının toplanacağına kim karar veriyor? Saklama süresi ve alıcılar kimin kontrolünde? Hizmet sağlayıcı veriyi kendi ürünü, reklamı veya istatistiği için kullanabiliyor mu? Alt işleyeni kim seçiyor? İlgili kişi talebini kim karşılıyor? Sözleşmede “işleyen” yazması, fiilî bağımsız amacı ortadan kaldırmaz.

Grup şirketleri otomatik tek veri sorumlusu değildir. Ana şirketin politika belirlemesi ile yerel şirketin çalışan verisi amaçlarını belirlemesi ayrılabilir. Müşterek karar varsa her tarafın sorumluluk alanı ayrıca değerlendirilir. Yanlış rol modeli, standart sözleşme hükümlerinin gerçek ilişkiye uygulanamamasına ve başvuru/ihlal anında sorumluluk boşluğuna yol açar.

Standart sözleşmenin ekleri neden asıl uyum alanıdır?

Resmî metni imzalayıp eklerde “müşteri verileri, gerekli süre, uygun güvenlik” gibi genel ifadeler kullanmak yeterli değildir. İlgili kişi grupları, veri kategorileri, özel nitelikli veriler, aktarım amacı, sıklığı, saklama dönemi, alıcı rolü, temas noktası ve teknik-idari tedbirler anlaşılır ayrıntıda yazılmalıdır. Sağlık verisi aktarılıyorsa sağlık verilerinin özel koruma şartları ile erişen personel ve şifreleme mimarisi ayrıca gösterilmelidir.

Ekler satın alma dokümanından kopyalanmamalıdır. Gerçek hesap ayarları, veri merkezi bölgesi, yedek, destek erişimi, çok faktörlü doğrulama, anahtar yönetimi, log, silme, olay bildirimi ve denetim kanıtı yazılmalıdır. Sağlayıcının güvenlik sertifikası faydalı olabilir; fakat hangi hizmet ve veri akışını kapsadığı doğrulanmalıdır.

Beş iş günlük bildirim ne zaman başlar ve nereye yapılır?

Standart sözleşme, taraflarca imzaların tamamlanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilir. İmza tarihleri farklıysa son imzanın tamamlandığı tarih ve imza yetkisi dosyada gösterilmelidir. Sözleşmeyi satın alma portalında saklamak veya yabancı tarafa göndermek Kuruma bildirim yerine geçmez.

Kurumun standart sözleşme bildirim kanalı ve güncel teknik yöntemi kullanılmalıdır. Sözleşme, ekler, imza yetkileri ve yabancı dildeki belgeler okunabilir ve tutarlı biçimde sunulur. Eksik veya geç bildirim fark edildiğinde yükümlülük görmezden gelinmemeli; gecikmenin kronolojisi, düzeltme ve veri aktarımının durumu belgelenerek somut hukuki değerlendirme yapılmalıdır.

Sözleşmede değişiklik yapılabilir mi?

Kurulun ilan ettiği standart koruma metni, etkisini azaltacak veya hükümleriyle çelişecek biçimde değiştirilemez. Tarafların hizmet bedeli, sorumluluk, denetim yöntemi veya ticari hükümler için ek sözleşme yapması mümkün olabilir; ancak ek hükümler standart sözleşmeyle çelişmemeli, ilgili kişinin haklarını zayıflatmamalı ve metnin hangi veri akışına uygulandığını belirsizleştirmemelidir.

Alt işleyenler ve sonraki aktarımlar nasıl yönetilir?

Yabancı bulut şirketi, depolama, destek, e-posta, içerik denetimi veya analiz için başka ülkelerde alt işleyen kullanabilir. Veri alıcısının veriyi bir sonraki tarafa aktarması ilk standart sözleşmenin dışında bırakılmaz. Alt işleyen listesi, ülke, hizmet, değişiklik bildirimi ve itiraz süreci sözleşme ile operasyon panelinde uyumlu olmalıdır.

“Dünya genelindeki iştirakler” gibi sınırsız ifadeler veri haritası kurmaya yetmez. Kritik alt işleyen değişikliğinde risk analizi ve gerekirse alternatif/fesih hakkı işletilmelidir. Sözleşme sona erdiğinde aktif sistem, yedek, log ve destek kopyalarının iade veya silinmesi doğrulanmalıdır. Model eğitimi veya ürün geliştirme amaçlı kalıcı kullanım ayrı role ve hukuki sebebe yol açabilir.

Veri ihlali ve devlet erişim talepleri için ne düzenlenmelidir?

Yabancı alıcının olaydan haberdar olduğunda veri aktarana hangi süre ve içerikle bildirim yapacağı, log ve adli inceleme desteği, ilgili kişi listesi, düzeltici tedbir ve kamu iletişimi sözleşmede somutlaştırılır. Türkiye’deki veri sorumlusunun Kurula bildirim yükümlülüğü tedarikçiye devredilemez. Olay tazminat talebine dönüşürse kişisel veri ihlalinde zarar ve ispat ayrıca incelenir.

Veri alıcısı ülkesindeki kamu otoritesinden erişim talebi aldığında, hukuken mümkün ölçüde veri aktarana bildirim, talebin kapsamını daraltma ve kayıt tutma süreçleri belirlenmelidir. Aktarımın ilgili kişiler için doğurduğu ek risk, şifreleme ve anahtarın Türkiye’de tutulması gibi tamamlayıcı tedbirlerle azaltılabilir.

Aktarım dosyasında hangi belge ve deliller bulunmalıdır?

İlgili kişi hangi başvuru yolunu izleyebilir?

Müşteri veya çalışan veri sorumlusuna başvurarak verisinin yurt dışına aktarılıp aktarılmadığını, alıcı gruplarını, amacı, hukuki sebebi, ülke ve saklama süresini sorabilir; yanlış verinin düzeltilmesini veya şartları varsa silinmesini isteyebilir. Veri sorumlusu başvuruyu en kısa sürede ve en geç 30 gün içinde cevaplamalıdır.

Cevap yetersizse cevabın öğrenilmesinden itibaren 30 gün ve her hâlde ilk başvurudan itibaren 60 gün içinde Kurula şikâyet gündeme gelebilir. Kurul süreci, tazminat davası veya suç şikâyetiyle aynı değildir. Yabancı alıcının veriyi yetkisiz yayması hâlinde kişisel verileri ele geçirme ve yayma yönünden ayrı hukuki yollar değerlendirilebilir.

Görev, yetki, tedbir ve kanun yolu

KVKK’ya ilişkin ilgili kişi şikâyetlerini Kurul inceler; standart sözleşme bildirimi de Kuruma yapılır. Özel hukukta sözleşmeye aykırılık veya zarar talebinde görevli ve yetkili mahkeme, taraf sıfatı ve ilişkinin ticari/tüketici/iş niteliğine göre belirlenir. Veri aktarımı devam ederken geri dönülmez zarar iddiası varsa ihtiyati tedbir; delil kaybı varsa delil tespiti somut şartlarla değerlendirilebilir.

Kurul kararı, idari yaptırım veya mahkeme hükmü için kesin sonuç önceden söylenemez. Bildirimin yapılmış olması da bütün aktarımın hukuka uygun olduğunu tek başına göstermez. Gerçek veri akışı, Türkiye’deki işleme sebebi ve sözleşme uygulaması birlikte incelenir.

Üç uygulama senaryosu

Senaryo 1: Yabancı CRM sağlayıcısı

Türk şirket müşteri iletişim ve satış verisini yabancı SaaS’a yükler. Şirket amaçları belirler, sağlayıcı talimatla hizmet verir. Veri sorumlusundan veri işleyene model seçilir; destek erişimi, alt işleyenler, ülke, silme ve güvenlik eklerde açıklanır. İmzalar tamamlanınca beş iş günü içinde bildirim yapılır; CRM’in AI eğitim ayarı ayrıca kapatılır veya yeni amaç olarak incelenir.

Senaryo 2: Global insan kaynakları grubu

Türkiye şirketi çalışan verisini yabancı ana şirkete yetenek planlaması için gönderir. Ana şirket hangi çalışanların nasıl değerlendirileceğine bağımsız karar veriyorsa sorumlu–sorumlu modeli gündeme gelir. Bordro tedarikçisiyle aynı model kullanılmaz. Performans, sağlık ve sendika alanları ayrı veri minimizasyonu testinden geçirilir.

Senaryo 3: Türkiye’deki işleyenin yabancı alt işleyeni

Yerel çağrı merkezi, müşterisi adına işlediği kayıtları yabancı transkripsiyon servisine gönderir. Türkiye’deki şirket kendi adına veri sorumlusu değildir; asıl müşterinin yazılı talimatı, alt işleyen izni ve işleyen–işleyen standart sözleşmesi değerlendirilir. Asıl veri sorumlusu zinciri bilmeden yapılan aktarım sözleşmesel ve KVKK riski yaratır.

Standart sözleşmede sık yapılan 10 hata

1. Gizlilik sözleşmesini yeterli saymak: NDA, KVKK’daki uygun güvence aracının yerine geçmez.
2. Yanlış rol modelini seçmek: Unvan değil gerçek amaç ve karar yetkisi esas alınır.
3. Ekleri genel ifadeyle doldurmak: Veri kategorisi, süre ve güvenlik somutlaştırılmalıdır.
4. Beş iş günlük bildirimi atlamak: İmzalı sözleşmeyi dosyada tutmak Kuruma bildirim değildir.
5. Son imza tarihini kanıtlamamak: Süre başlangıcı ve imza yetkisi belirsiz kalır.
6. Standart metni ticari pazarlıkla zayıflatmak: Çelişen ek hükümler güvenceyi riske atabilir.
7. Alt işleyenleri “global” diye bırakmak: Ülke, hizmet ve değişiklik süreci bilinmelidir.
8. Şifrelemeyi aktarım sebebi sanmak: Teknik tedbir, hukuki mekanizma ve ilk işleme sebebinden farklıdır.
9. Sağlayıcının model eğitimini görmezden gelmek: Rol ve amaç değişebilir.
10. Fesih sonrası kopyaları izlememek: Yedek, log ve destek kayıtlarının iade/silme sonucu belgelenmelidir.

Yurt dışına veri aktarımı ve standart sözleşme hakkında sık sorulan sorular

1. Standart sözleşme imzalanınca açık rıza gerekmez mi?

Standart sözleşme aktarım güvencesidir. Türkiye’deki işlemenin 5 veya 6. madde kapsamındaki hukuki sebebi ayrıca bulunmalıdır.

2. Sunucu Türkiye’deyse yurt dışı aktarım yok mudur?

Her zaman değil. Yabancı destek, yönetim paneli, telemetri ve yedek erişimi gerçek veri akışı üzerinden incelenir.

3. Dört modelden hangisi daha güvenlidir?

Bir üstünlük sırası yoktur. Tarafların gerçek rollerine uyan model seçilmelidir.

4. Bildirim için süre kaç gündür?

İmzaların tamamlanmasından itibaren beş iş günüdür. Başlangıç ve gün hesabı belgeyle doğrulanmalıdır.

5. Standart sözleşme Kurul onayı bekler mi?

Standart sözleşme bildirim esaslı uygun güvence aracıdır; Kurul onaylı yazılı taahhütname farklı mekanizmadır.

6. Yabancı sağlayıcı metni imzalamıyorsa hizmet kullanılabilir mi?

Yeterlilik, başka uygun güvence veya gerçekten arızi hâl bulunup bulunmadığı incelenir. Düzenli aktarım güvencesiz sürdürülmemelidir.

7. Sözleşme İngilizce hazırlanabilir mi?

Kurumun bildirim ve dil kuralları izlenmeli; tarafların imzaladığı metinler arasında çelişki yaratılmamalıdır. Güncel resmî format esas alınır.

8. Her alt işleyen için ayrı bildirim gerekir mi?

Taraf ve aktarım zincirine göre değerlendirilir. Alt işleyenlerin hangi standart sözleşme ve izin mekanizması altında olduğu açık olmalıdır.

9. Geç bildirim yapılırsa sözleşme otomatik yok mu sayılır?

Geç bildirimin sonucu somut mevzuat ve olayla değerlendirilir. Eksiklik gecikmeden giderilmeli, süre ve neden belgelenmelidir.

10. Çalışan verisi grup merkezine aktarılabilir mi?

Grup üyeliği tek başına yeterli değildir. Amaç, hukuki sebep, özel nitelikli veri, rol ve aktarım güvencesi kurulmalıdır.

11. İlgili kişi standart sözleşmenin kopyasını isteyebilir mi?

Kanun ve standart sözleşmedeki şeffaflık/başvuru hükümleri çerçevesinde bilgi talebi değerlendirilir; ticari sır gerekçesi hakları bütünüyle etkisizleştirmemelidir.

Dosya incelemesine hazırlanırken

İşletme; veri akış haritasını, sağlayıcı ana sözleşmesini, DPA’yı, rol notunu, imzalı standart sözleşme ve eklerini, imza yetkilerini, Kurum bildirim kaydını, alt işleyen/ülke listesini, güvenlik raporlarını ve silme ayarlarını birlikte hazırlamalıdır. Türkiye’nin her yerinden güvenli çevrim içi ön inceleme yapılabilir. Taraf rolleri ve gerçek veri akışı görülmeden uygun model veya hukuki sonuç garanti edilemez.

Resmî kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• KVKK – Dört standart sözleşme modeli
• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik
• KVKK – Kişisel Verilerin Yurt Dışına Aktarılması Rehberi

Yazar: Av. Emirhan Keskin
Son kontrol tarihi: 19.09.2026

Bu içerik genel bilgilendirme amaçlıdır. Aktarım ülkesi, taraf rolleri, veri kategorileri, sözleşme ekleri ve bildirim takvimi her dosyada ayrıca değerlendirilmelidir.