Yurt Dışına Veri Aktarımı — Standart Sözleşme ve 5 İş Günü Bildirim Kuralı

CRM’iniz ABD’de barındırılıyor, e-posta servisiniz Avrupa dışı bir bölgede, destek yazılımınız Singapur’da çalışıyor — ancak uyum dosyasında yalnızca “müşterilerden açık rıza alıyoruz” satırı var. Bu tablo, 2026’da en sık karşılaşılan KVKK uyum kırılmasıdır: yurt dışına veri aktarımının varlığının fark edilmemesi veya fark edilse bile doğru güvence mekanizmasının kurulmaması.

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 9. maddesi, kişisel verilerin yurt dışına aktarımını sıkı şartlara bağlar. 2024’te yürürlüğe giren 7499 sayılı Kanun ile m.9 köklü biçimde değişti: açık rıza artık yurt dışı aktarım için genel bir “güvenli liman” değildir. Kurumların çoğu hâlâ eski pratikle hareket ediyor; oysa 2026 idari para cezası tablosunda yurt dışı aktarım ihlali 90.308 – 1.806.177 TL bandında yer alıyor ve Kurul kararlarında standart sözleşme bildiriminin yapılmaması giderek daha sık gündeme geliyor.

Bu rehber, reform sonrası üç kademeli hiyerarşiyi, standart sözleşme (SCC) sürecini, imzadan itibaren 5 iş günü bildirim kuralını ve operasyonel uyum adımlarını somut örneklerle açıklar.

7499 Reformu m.9’u Nasıl Değiştirdi?

Reform öncesi uygulamada birçok kurum, yurt dışı SaaS veya bulut kullanımını “açık rızayla çözüyoruz” yaklaşımıyla yönetiyordu. 7499 sayılı Kanun ile değişen m.9, aktarım için hiyerarşik bir güvence rejimi getirdi. Açık rıza, yalnızca Kanun’un öngördüğü istisnai haller kapsamında ve belirli şartlarla devreye girebilir; günlük iş süreçlerindeki sürekli aktarımlar için birincil çözüm değildir.

Yeni m.9 mantığı şu sırayı izler:

1. Yeterlilik kararı — Kişisel Verileri Koruma Kurulu, hedef ülke veya sektör için yeterlilik kararı vermişse, o çerçevede aktarım yapılabilir.
2. Uygun güvenceler — Yeterlilik kararı yoksa; standart sözleşme (SCC), bağlayıcı şirket kuralları (BŞK) veya Kurul tarafından onaylanan taahhütnameler devreye girer.
3. İstisnai haller — Yukarıdaki güvenceler mümkün değilse ve istisnai şartlar somut olarak karşılanıyorsa, sınırlı aktarım yapılabilir; açık rıza bu kapsamda değerlendirilir.

Pratik sonuç: ABD, Çin, Hindistan gibi yeterlilik kararı bulunmayan ülkelere yapılan aktarımlarda standart sözleşme veya eşdeğer güvence zorunludur. “Müşteri sözleşmesinde yurt dışı aktarıma izin veriyor” ifadesi, KVKK m.9 uyumu için tek başına yeterli değildir.

Üç Kademeli Hiyerarşi: Hangi Güvence Ne Zaman?

Aşağıdaki tablo, aktarım kararı verirken izlenmesi gereken sırayı özetler:

Çoğu KOBİ ve kurumsal senaryoda ikinci kademe — özellikle standart sözleşme — devreye girer. CRM, e-posta, bulut yedekleme, analitik, destek masası ve muhasebe SaaS’ları tipik olarak bu kapsamdadır.

Standart Sözleşme (SCC): Süreç ve 5 İş Günü Bildirim Kuralı

Standart sözleşme, veri sorumlusu (veya veri işleyen) ile yurt dışındaki alıcı arasında, Kurul tarafından belirlenen şablon hükümlerin imzalandığı sözleşmedir. Şablon, aktarılan veri kategorileri, işleme amacı, alıcının yükümlülükleri ve ilgili kişinin haklarını somutlaştırır.

Kritik operasyonel kural: 5 iş günü

Reform sonrası uygulamada en çok atlanan adım şudur: standart sözleşme imzalandıktan itibaren 5 iş günü içinde Kişisel Verileri Koruma Kurulu’na bildirilmelidir. Bildirim yapılmadan “sözleşmemiz var” demek, uyum açısından eksik kalır. Kurul denetimlerinde ve şikâyet dosyalarında bu eksiklik, doğrudan m.9 ihlali olarak değerlendirilir.

Bildirim sürecinde asgari olarak şunlar hazır olmalıdır:

• İmzalı standart sözleşme metni
• Aktarımın kapsamı: veri kategorileri, ilgili kişi grupları, işleme amacı
• Alıcı ülke ve alıcı taraf bilgileri
• Envanter kaydı ile sözleşme arasında tutarlı referans

SCC imzalama öncesi kontrol listesi

“Açık Rıza Alıyoruz” Neden Yeterli Değil?

Sürekli ve sistematik yurt dışı aktarım — örneğin tüm müşteri verilerinin ABD’deki bir CRM’de tutulması — günlük iş operasyonunun parçasıdır. Bu tür aktarımlar için m.9’un öngördüğü güvence mekanizması (SCC, BŞK veya yeterlilik kararı) kurulmalıdır.

Açık rızanın devreye girebileceği istisnai haller dar yorumlanır. Kurul rehberleri ve kararlarında; güvencelerin objektif olarak mümkün olmadığı, istisnanın belirli bir aktarım için somut olarak gerekli olduğu ve ilgili kişinin gerçek seçim imkânına sahip olduğu aranır. “Genel kullanım şartlarında yurt dışı aktarıma onay” veya “sözleşmede imzaladı, rızası var” yaklaşımı, çoğu senaryoda m.9 uyumunu karşılamaz.

Ayrıca açık rıza, KVKK m.5 kapsamında her an geri alınabilir. Yurt dışı aktarımı yalnızca rızaya bağlamak, operasyonel sürekliliği riske sokar. Doğru model: güvence mekanizması + envanter + aydınlatma; rıza yalnızca hukuken gerekli ve uygun olan işleme faaliyetleri için ayrıca değerlendirilir.

Somut Senaryo: Yurt Dışı Sunuculu SaaS Kullanımı

Bir e-ticaret şirketi şu araçları kullanıyor:

• CRM: ABD (Oregon) bölgesi
• E-posta pazarlama: AB dışı veri merkezi
• Müşteri destek: AB üyesi ülke (yeterlilik kararı kapsamında olabilir)
• Bulut yedekleme: Çok bölgeli; yedek kopya ABD’de

Her araç için ayrı envanter satırı açılmalıdır. ABD ve AB dışı aktarımlar için SCC imzalanmalı, 5 iş günü bildirimi yapılmalı ve veri işleyen DPA ile alt-işleyen listesi eşleştirilmelidir. “Hepsi aynı tedarikçi” bile olsa, farklı ürünler farklı veri kategorileri ve farklı alt-işleyenler içerebilir.

Sürekli aktarım, “bir kez veri gönderdik” anlayışından farklıdır. SaaS kullanımı, her yeni kayıt, güncelleme ve senkronizasyonla devam eden aktarım demektir. Bu nedenle güvence mekanizması ve bildirim, tek seferlik bir proje değil; canlı bir uyum sürecidir.

Envanter, DPA ve TPRM Bağlantısı

KVKK m.9 uyumu, izole bir hukuk işi değildir. Üç kayıt birbirine bağlıdır:

1. Veri işleme envanteri: Hangi faaliyette, hangi veri, hangi ülkeye, hangi tedarikçi aracılığıyla aktarılıyor?
2. Veri işleyen sözleşmesi (DPA): m.12/3 kapsamında asgari maddeler, denetim hakkı, ihlal bildirimi, silme yükümlülüğü.
3. Standart sözleşme (SCC): m.9 kapsamında yurt dışı aktarım güvencesi ve Kurul bildirimi.

Envanterde “yurt dışı aktarım: evet” yazıp SCC dosyası olmaması veya SCC imzalayıp envanterde ilgili satırı güncellememek, denetimde tutarsızlık üretir. Tedarikçi risk yönetimi (TPRM) sürecinde her yeni SaaS devreye alımı, otomatik olarak şu soruları tetiklemelidir: sunucu nerede, SCC gerekli mi, bildirim yapıldı mı, DPA imzalandı mı?

2026 Ceza Riski ve Önceliklendirme

2026 yeniden değerlemesi sonrası yurt dışına veri aktarımı kurallarına uyulmaması (KVKK m.9, m.18) için idari para cezası 90.308 – 1.806.177 TL aralığındadır. Bu band, aydınlatma veya VERBİS cezalarına kıyasla daha düşük bir üst sınır taşısa da, 2026’da Kurul uygulamasında bildirim eksikliği ve güvence mekanizması olmadan aktarım giderek daha görünür hale gelmiştir.

Önceliklendirme önerisi:

Lexidata ile Yurt Dışı Aktarım Uyumunu Sürdürülebilir Kılmak

Yurt dışı aktarım uyumu, bir kerelik hukuk danışmanlığı çıktısı olarak dosyada kaldığında hızla eskir. Yeni bir bulut aracı, API entegrasyonu veya destek outsourcer’ı devreye girdiğinde süreç başa döner.

Lexidata uyum paneli, işleme faaliyetlerinizi envanter bazında tutar; hangi SaaS veya bulut hizmetinin hangi ülkeye veri çıkardığını görünür kılar. TPRM modülü ise veri işleyen sözleşmelerini, SCC durumunu ve alt-işleyen zincirini tedarikçi bazında takip etmenizi sağlar — böylece “sözleşme var ama bildirim yapılmadı” veya “envanterde yok ama fiilen aktarım var” tutarsızlıkları erken aşamada yakalanır.

Yurt dışı aktarım, açık rıza formlarıyla değil; doğru güvence, zamanında bildirim ve canlı envanter ile yönetilir. Reform sonrası m.9 rejimi bunu açık biçimde gerektiriyor; 2026 ceza tablosu da bu alanı ihmal etmenin maliyetini somutlaştırıyor.