6698 sayılı Kanun’un 9. maddesi, 7499 sayılı Kanunla yeniden düzenlenmiş ve 1 Haziran 2024 tarihinde yürürlüğe girmiştir. Yeni düzenleme, yurt dışına aktarımı üç kademeli bir yapıya bağlamaktadır. Uygulamada aktarımın çoğu zaman fark edilmeden gerçekleştiği göz önünde tutulduğunda, bu yapının şirket içindeki hizmet alımı süreçlerine yansıtılmış olması gerekmektedir.
Birinci kademe: yeterlilik kararı
Aktarım yapılacak ülke, ülke içindeki sektörler veya uluslararası kuruluşlar hakkında Kurul tarafından yeterlilik kararı verilmiş olması hâlinde aktarım, Kanun’un 5 ve 6. maddelerindeki şartlar sağlanmak kaydıyla gerçekleştirilebilmektedir. Yeterlilik kararı Kurul tarafından en geç dört yılda bir değerlendirilmekte; değiştirilebilmekte veya kaldırılabilmektedir. Karar kapsamına giren bir aktarımda ayrıca bir güvence belgesi aranmamaktadır.
İkinci kademe: uygun güvenceler
Yeterlilik kararının bulunmadığı hâllerde aktarım, dört uygun güvenceden birine dayandırılmaktadır:
- Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum ve kuruluşları arasında yapılan, uluslararası sözleşme niteliğinde olmayan anlaşma.
- Bağlayıcı şirket kuralları.
- Kurum tarafından ilan edilen standart sözleşme.
- Yazılı taahhütname.
Bu güvencelerden standart sözleşme dışındakiler Kurulun izni veya onayına tabidir. Standart sözleşme ise izne bağlı olmayıp bildirim yükümlülüğü doğurmaktadır. Bağlayıcı şirket kuralları çok uluslu şirket toplulukları bakımından öngörülmüş olup Kurul onayı gerektirdiğinden, hazırlık ve onay süreci uzundur.
Standart sözleşme ve beş iş günlük bildirim
Kurum, aktarımın taraflarının sıfatına göre dört ayrı standart sözleşme modülü yayımlamıştır: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri sorumlusuna ve veri işleyenden veri işleyene. Doğru modülün seçilmesi, tarafların Kanun karşısındaki konumunun önceden belirlenmiş olmasını gerektirmektedir.
Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilmektedir. Bu yükümlülüğü yerine getirmeyenler hakkında Kanun’un 18. maddesi kapsamında idari para cezası uygulanmaktadır. Bildirimin yapılmamış olması aktarımı kendiliğinden hukuka aykırı hâle getirmemekle birlikte, bağımsız bir aykırılık oluşturmaktadır.
Sözleşme metninde Kurumun ilan ettiği hükümlere aykırı değişiklik yapılamamaktadır. Taraflar arasında kararlaştırılacak ek hükümlerin, standart sözleşmedeki güvenceleri zayıflatmaması aranmaktadır.
Üçüncü kademe: arızi hâller
Yeterlilik kararı ve uygun güvencelerin bulunmadığı hâllerde aktarım, yalnızca arızi olmak kaydıyla ve Kanun’da sayılan sınırlı hâllerde yapılabilmektedir. Bu hâller arasında ilgili kişinin aktarıma ilişkin açık rızası, sözleşmenin ifası için zorunlu olması, üstün kamu yararı, bir hakkın tesisi, kullanılması veya korunması için zorunluluk, hayati menfaatin korunması ve kamuya açık sicillerden aktarım yer almaktadır.
Buradaki “arızi” koşulu belirleyicidir. Düzenli aralıklarla tekrarlanan, süreklilik arz eden aktarımlar —bulut hizmetleri, grup içi raporlama, çağrı merkezi hizmetleri— bu kademeye dayandırılamamaktadır. Uygulamadaki en yaygın hata, açık rızanın süreklilik gösteren aktarımlarda genel bir dayanak olarak kullanılmasıdır.
Hangi işlemler aktarım sayılmaktadır?
Aktarım kavramı, verinin fiziken yurt dışına gönderilmesiyle sınırlı değildir. Türkiye’de tutulan bir veri tabanına yurt dışındaki bir grup şirketinden veya hizmet sağlayıcıdan erişim yetkisi verilmesi de aktarım oluşturmaktadır. Buna karşılık sunucunun Türkiye’de bulunması tek başına, aktarımın gerçekleşmediği sonucunu doğurmamaktadır.
Uygulamada gözden kaçan işlemler arasında; yurt dışındaki bir yazılım sağlayıcısının bakım ve destek amacıyla uzaktan erişimi, grup içi raporlama sistemlerine veri aktarılması, yurt dışında kurulu bir sunucu üzerinden gönderilen elektronik postalar ve yurt dışındaki bağımsız denetim kuruluşlarına iletilen kayıtlar bulunmaktadır. Bunların her biri ayrı bir aktarım olarak değerlendirilmekte ve kendi dayanağını gerektirmektedir.
Aydınlatma ve envanter
Aktarımın hukuki dayanağının kurulmuş olması, ilgili kişiye karşı yürütülecek şeffaflık yükümlülüğünü ortadan kaldırmamaktadır. Kanun’un 10. maddesi kapsamında hazırlanan aydınlatma metninde, kişisel verilerin aktarılabileceği alıcı grupları ile aktarımın amacının belirtilmesi gerekmektedir. Yurt dışına aktarım yapılan hâllerde bu bilginin metinde açıkça yer alması beklenmektedir.
Aktarım ayrı bir dayanağı ortadan kaldırmamaktadır
Yurt dışına aktarım da bir kişisel veri işleme faaliyetidir. 9. maddedeki koşulların sağlanması, işlemenin Kanun’un 5 ve 6. maddelerindeki şartlardan birine dayanması gereğini ortadan kaldırmamaktadır. Standart sözleşmenin imzalanmış olması, dayanağı bulunmayan bir işlemeyi hukuka uygun hâle getirmemektedir.
Kurumsal müvekkil bakımından pratik sonuç
- Bulut depolama, elektronik posta, insan kaynakları ve müşteri ilişkileri yazılımlarının önemli bölümünde aktarım, ayrı bir karar alınmaksızın gerçekleşmektedir; envanterin bu gözle çıkarılması gerekmektedir.
- Aktarım envanteri; alıcı, ülke, veri kategorisi, hukuki dayanak ve güvence türü sütunlarını içerecek biçimde tutulmalıdır.
- Beş iş günlük bildirim süresi kısa olduğundan, imza tarihi ile bildirim sorumlusu önceden belirlenmelidir.
- Alt işleyen zinciri sözleşmede gösterilmeli; hizmet sağlayıcının kendi tedarikçileri üzerinden yapılan aktarımlar da değerlendirilmelidir.
- Grup içi aktarımlarda bağlayıcı şirket kuralları ile standart sözleşme arasındaki tercih, onay süresi de dikkate alınarak yapılmalıdır.
- Sözleşme yenilemelerinde ve modül değişikliği gerektiren yapı değişikliklerinde bildirim yükümlülüğü yeniden doğmaktadır.
Aykırılığın sonucu
Yurt dışına aktarıma ilişkin kurallara aykırılık, Kanun’un 18. maddesi kapsamında idari para cezası yaptırımına bağlanmıştır. Standart sözleşmenin süresinde bildirilmemesi bakımından ise ayrı bir aykırılık söz konusudur. 7499 sayılı Kanunla değişik 18. maddenin üçüncü fıkrası uyarınca Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılmaktadır.
Yaptırımın yanında pratik bir sonuç daha bulunmaktadır: dayanağı bulunmayan bir aktarımın tespiti hâlinde Kurul, aktarımın durdurulmasına da karar verebilmektedir. Süreçlerin yurt dışındaki bir hizmet sağlayıcıya bağımlı biçimde kurulduğu yapılarda bu, faaliyetin kendisini etkileyen bir sonuç doğurmaktadır. Uyum çalışmasının hizmet alımı kararından önce yapılmasının nedeni de budur.
Av. Feride KENAR · 5 Mayıs 2026