Kişisel Verilerin Yurt Dışına Aktarımı ve İşlenmesindeki Yeni Düzenlemelerin Özel Hayatın Gizliliğini İhlal Riski Çerçevesinde İncelenmesi
İçindekiler
- 1. Kişisel Verilerin Yurt Dışına Aktarımı ve İşlenmesi Nedir? Tanım ve Temel Kavramlar
- 2. Yeni Düzenlemelerin Hukuki Dayanağı ve İlgili Yasal Mevzuat
- 3. Kişisel Verilerin Yurt Dışına Aktarımında Özel Hayatın Gizliliği Kapsamı
- 4. Yurt Dışına Veri Aktarımında Gerekli Şartlar ve Yeni Kriterler
- 5. Yeterlilik Kararı, Standart Sözleşmeler ve Bağlayıcı Şirket Kuralları
- 6. Veri Sorumluları ve Veri İşleyenlerin Hukuki Yükümlülükleri
- 7. Özel Hayatın Gizliliğini İhlal Riski Doğuran Durumlar
- 8. Yurt Dışına Veri Aktarım Sürecinde Gerekli Belgeler ve Sözleşmeler
- 9. Kişisel Verileri Koruma Kurumu (KVKK) ve Yetkili Mahkemeler
- 10. Yeni Düzenlemelere Uyum İçin Öngörülen Süreler ve Zamanaşımı
- 11. Kurul İdari Para Cezaları ve Yaptırım Maliyetleri
- 12. Veri Aktarımında Sık Yapılan Hatalar ve İhlal Bildirimleri
- 13. İhlal Durumunda İtiraz, Şikayet ve Kanun Yolları
- 14. Emsal KVKK Kararları ve Örnek Yargı İçtihatları
- 15. 2024-2026 Dönemi Güncel Gelişmeler ve GDPR Uyumu
- 16. Şirketler İçin Pratik Uyum Önerileri ve Risk Yönetimi
- 17. Sıkça Sorulan Sorular (SSS)
- 18. Sonuç ve Değerlendirme
Dijitalleşmenin sınır tanımayan doğası, veriyi modern ekonominin en değerli varlığı haline getirirken, bireylerin temel hak ve özgürlüklerine yönelik benzeri görülmemiş riskleri de beraberinde getirmiştir. Özellikle kişisel verilerin yurt dışına aktarımı ve işlenmesindeki yeni düzenlemelerin özel hayatın gizliliğini ihlal riski çerçevesinde incelenmesi, günümüz Türk hukuk sisteminin en kritik tartışma alanlarından birini oluşturmaktadır. Bulut bilişim hizmetlerinin yaygınlaşması, çok uluslu şirketlerin global veri tabanları kullanması ve sınır aşan e-ticaret faaliyetleri, verilerin fiziksel sınırları aşarak farklı yasal rejimlere tabi ülkelere transferini zorunlu kılmıştır.
Bu kapsamda, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda (KVKK) 2024 yılında 7499 sayılı Kanun ile yapılan ve etkileri 2026 itibarıyla tam anlamıyla hissedilen köklü değişiklikler, yurt dışına veri aktarımı rejimini Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile uyumlu hale getirmeyi amaçlamıştır. Açık rızanın tek ve yegâne kural olmaktan çıkarılarak “yeterlilik kararı” ve “uygun güvenceler” gibi yeni mekanizmaların getirilmesi, ticari hayatı kolaylaştırırken özel hayatın gizliliği bağlamında yeni hukuki denetim ihtiyaçları doğurmuştur. Bu kapsamlı rehberde, kişisel verilerin yurt dışına aktarımı sürecindeki güncel yasal prosedürleri, veri sorumlularının artan yükümlülüklerini, standart sözleşme mekanizmalarını ve olası bir ihlal durumunda bireylerin başvurabileceği hukuki yolları tüm detaylarıyla ele alacağız.
1. Kişisel Verilerin Yurt Dışına Aktarımı ve İşlenmesi Nedir? Tanım ve Temel Kavramlar
Doğrudan Yanıt: Kişisel verilerin yurt dışına aktarımı, Türkiye’de elde edilen ve işlenen, kimliği belirli veya belirlenebilir gerçek kişiye ait her türlü bilginin, fiziksel veya dijital yollarla Türkiye Cumhuriyeti sınırları dışındaki bir sunucuya, kuruma veya kişiye iletilmesi, erişime açılması veya depolanması işlemidir. Veri işleme ise bu veriler üzerinde gerçekleştirilen toplama, kaydetme, depolama, değiştirme veya aktarma gibi her türlü sistematik hareketi ifade eder.
Kişisel verilerin yurt dışına aktarımı ve işlenmesi kavramını hukuki bir zemine oturtabilmek için öncelikle temel terminolojinin netleştirilmesi gerekmektedir. 6698 sayılı Kişisel Verilerin Korunması Kanunu’na göre kişisel veri; kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad, soyad, TCKN gibi doğrudan tanımlayıcı bilgilerin yanı sıra, IP adresi, konum verisi, alışveriş alışkanlıkları ve biyometrik veriler de bu kapsama girmektedir.
Yurt dışına aktarım eylemi, sadece verinin bir dosya halinde e-posta ile başka bir ülkeye gönderilmesi anlamına gelmez. Günümüz bilişim mimarisinde, Türkiye’de yerleşik bir şirketin, sunucuları yurt dışında bulunan bir bulut hizmeti (örneğin AWS, Google Cloud, Microsoft Azure) kullanması, yurt dışı merkezli bir CRM programına müşteri verisi girmesi veya şirketin yurt dışındaki merkez ofisinin Türkiye’deki çalışanların performans verilerine uzaktan erişim sağlaması da hukuken yurt dışına veri aktarımı olarak kabul edilmektedir. Bu bağlamda “erişime açma” eylemi de bizatihi aktarım hükmündedir.
Veri işleme süreci ise verinin ilk elde edildiği andan itibaren silinmesine, yok edilmesine veya anonim hale getirilmesine kadar geçen süreçteki tüm işlemleri kapsar. Kişisel verilerin yurt dışına aktarımı ve işlenmesindeki yeni düzenlemelerin özel hayatın gizliliğini ihlal riski, tam da bu “kontrol kaybı” noktasında başlar. Veri, Türkiye sınırlarını aştığı anda, Türk hukukunun sağladığı koruma kalkanından çıkarak, aktarıldığı ülkenin yasal mevzuatına tabi hale gelir. Eğer alıcı ülke, Türkiye’dekine eşdeğer bir veri koruma standardı sunmuyorsa, bireyin özel hayatının gizliliği doğrudan tehlikeye girer. [İLGİLİ YAZI: Bulut Bilişim Sistemlerinde Veri Güvenliği ve Hukuki Sorumluluklar]
2. Yeni Düzenlemelerin Hukuki Dayanağı ve İlgili Yasal Mevzuat
Doğrudan Yanıt: Yeni düzenlemelerin temel hukuki dayanağı, Türkiye Cumhuriyeti Anayasası’nın 20. maddesinde güvence altına alınan “kişisel verilerin korunmasını isteme hakkı” ve 12 Mart 2024 tarihinde kabul edilen 7499 sayılı Kanun ile 6698 sayılı KVKK’nın 9. maddesinde yapılan köklü değişikliklerdir. Ayrıca Türk Ceza Kanunu’nun (TCK) 135-137. maddeleri veri ihlallerine yönelik cezai yaptırımları düzenlerken, GDPR normları da tali ve yorumlayıcı bir hukuk kaynağı olarak dikkate alınmaktadır.
Kişisel verilerin yurt dışına aktarımı rejiminin Türk hukukundaki tarihsel gelişimi incelendiğinde, 2016 yılında yürürlüğe giren 6698 sayılı Kanun’un ilk versiyonunun oldukça katı kurallar içerdiği görülmektedir. Eski düzenlemede, yurt dışına aktarım için ya veri sahibinin “açık rızası” aranmakta ya da Kişisel Verileri Koruma Kurulu’nun (Kurul) ilan edeceği “güvenli ülkeler” listesinde bulunma şartı koşulmaktaydı. Ancak Kurul’un yıllarca güvenli ülke listesi yayımlamaması, şirketleri sürekli açık rıza almaya veya Kurul’dan uzun süren izin süreçleri (taahhütname) yürütmeye mecbur bırakmış, bu durum ticari hayatı durma noktasına getirmiştir.
Bu tıkanıklığı aşmak ve Avrupa Birliği müktesebatına (özellikle GDPR Madde 45 ve 46) uyum sağlamak amacıyla, 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun ile KVKK’nın 9. maddesi baştan aşağı yenilenmiştir. 1 Haziran 2024 tarihinde yürürlüğe giren bu yeni mevzuat mimarisi, kişisel verilerin yurt dışına aktarımında kademeli bir sistem öngörmüştür.
Mevzuatın hiyerarşik yapısı şu şekildedir:
- Türkiye Cumhuriyeti Anayasası (Madde 20/3): “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir.” Bu anayasal ilke, tüm alt düzenlemelerin temel felsefesini oluşturur ve özel hayatın gizliliğinin çekirdeğidir.
- 6698 Sayılı Kişisel Verilerin Korunması Kanunu (Madde 9): Yurt dışına veri aktarımının yeni kurallarını (Yeterlilik Kararı, Uygun Güvenceler, İstisnai Durumlar) belirleyen ana maddedir.
- Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik: Kanunun uygulanmasına dair detaylı prosedürleri, standart sözleşmelerin bildirim usullerini ve bağlayıcı şirket kurallarının onay mekanizmalarını düzenleyen alt mevzuattır.
- Türk Ceza Kanunu (TCK Madde 135-137): Kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi, ele geçirilmesi ve yok edilmemesi suçlarını düzenler. Yurt dışına hukuka aykırı bir aktarım, aynı zamanda TCK m.136 kapsamında “Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme” suçunu oluşturur.
Bu çok katmanlı hukuki yapı, kişisel verilerin yurt dışına aktarımı ve işlenmesindeki yeni düzenlemelerin özel hayatın gizliliğini ihlal riski taşıdığı noktalarda, bireylere hem idari (KVKK şikayeti) hem hukuki (tazminat) hem de cezai (savcılık şikayeti) koruma kalkanları sunmaktadır. [İLGİLİ YAZI: TCK Kapsamında Bilişim Suçları ve Kişisel Veri İhlalleri]
3. Kişisel Verilerin Yurt Dışına Aktarımında Özel Hayatın Gizliliği Kapsamı
Doğrudan Yanıt: Yurt dışına veri aktarımında özel hayatın gizliliği; bireyin kendi verisi üzerindeki kontrol hakkını (geleceğini belirleme hakkı), mahremiyetini ve dijital ayak izinin izinsiz profillemelere karşı korunmasını kapsar. Verinin aktarıldığı ülkenin istihbarat veya kolluk kuvvetlerinin bu verilere keyfi erişim ihtimali, özel hayatın gizliliğine yönelik en büyük tehditlerden biri olarak kabul edilmektedir.
Özel hayatın gizliliği, demokratik bir toplumun en temel yapı taşlarından biridir. İnsan Hakları Avrupa Sözleşmesi’nin (İHAS) 8. maddesi ve Anayasamızın 20. maddesi ile koruma altına alınan bu hak, günümüzde fiziksel mahremiyetten ziyade enformasyonel mahremiyet (bilgisel özerklik) boyutunda tartışılmaktadır. Kişisel verilerin yurt dışına aktarımı ve işlenmesindeki yeni düzenlemelerin özel hayatın gizliliğini ihlal riski çerçevesinde incelenmesi, tam olarak bu bilgisel özerkliğin sınır ötesinde nasıl korunacağı sorusuna odaklanır.
Bir kişinin sağlık verileri, finansal geçmişi, siyasi görüşü veya sendika üyeliği gibi özel nitelikli kişisel verileri, yeterli koruma sağlamayan bir ülkeye aktarıldığında telafisi imkansız zararlar doğabilir. Örneğin, veri madenciliği ve büyük veri (big data) analizleri ile bireylerin zaafları, tüketim alışkanlıkları ve eğilimleri profillenebilmektedir. Yurt dışına aktarılan verilerin, o ülkenin yerel mevzuatındaki boşluklardan faydalanılarak üçüncü şahıslara satılması veya yabancı devlet kurumları tarafından kitlesel gözetim (mass surveillance) amacıyla kullanılması, özel hayatın gizliliğinin açık bir ihlalidir.
Avrupa Adalet Divanı’nın (CJEU) meşhur Schrems II kararı, bu riskin sadece teorik olmadığını tüm dünyaya kanıtlamıştır. Kararda, ABD’nin ulusal güvenlik yasalarının (FISA 702 vb.), ABD’ye aktarılan Avrupa vatandaşlarının verilerine Amerikan istihbaratının orantısız erişimine imkan tanıdığı ve bunun temel hakları ihlal ettiği hüküm altına alınmıştır. Türk hukuku açısından da KVKK’nın yeni 9. maddesi uygulanırken, verinin aktarılacağı ülkenin hukuki altyapısının, bağımsız bir veri koruma otoritesinin varlığının ve bireylere etkin hak arama yolları sunup sunmadığının Kurul tarafından titizlikle değerlendirilmesi, özel hayatın gizliliğinin korunması için elzemdir.
4. Yurt Dışına Veri Aktarımında Gerekli Şartlar ve Yeni Kriterler
Doğrudan Yanıt: Yeni düzenlemelere göre kişisel verilerin yurt dışına aktarılabilmesi için üç kademeli bir sistem getirilmiştir: İlk olarak aktarım yapılacak ülke/sektör hakkında Kurul’un bir “Yeterlilik Kararı” bulunmalıdır. Bu yoksa, Standart Sözleşmeler veya Bağlayıcı Şirket Kuralları gibi “Uygun Güvenceler” sağlanmalıdır. Bu iki şartın da sağlanamadığı istisnai (arızi) durumlarda ise açık rıza veya sözleşmenin ifası gibi spesifik yasal dayanaklar kullanılabilir.
6698 sayılı Kanun’da yapılan değişikliklerle birlikte, kişisel verilerin yurt dışına aktarımı ve işlenmesindeki yeni düzenlemelerin özel hayatın gizliliğini ihlal riski en aza indirilmeye çalışılmış ve süreç GDPR standartlarına yaklaştırılmıştır. Eski sistemde başrol oynayan “açık rıza”, yeni sistemde kural olmaktan çıkarılmış ve en son başvurulacak istisnai bir yönteme dönüştürülmüştür. Bu durum, rızanın çoğu zaman taraflar arasındaki güç dengesizliği (örneğin işçi-işveren veya hizmet sağlayıcı-tüketici ilişkisi) nedeniyle “özgür iradeye” dayanmadığı gerçeğinin yasa koyucu tarafından kabul edildiğini göstermektedir.
Yeni dönemin aktarım hiyerarşisi şu şartlara bağlanmıştır:
A. Yeterlilik Kararı (Adequacy Decision):
Kurul, kişisel verilerin aktarılacağı ülkenin, uluslararası kuruluşun veya o ülke içindeki belirli bir sektörün yeterli koruma sağlayıp sağlamadığına karar verir. Bu karar verilirken; o ülkenin veri koruma mevzuatı, bağımsız bir denetim otoritesinin varlığı, uluslararası sözleşmelere taraf olma durumu ve Türkiye ile olan karşılıklılık ilkesi dikkate alınır. Yeterlilik kararı bulunan bir ülkeye (örneğin gelecekte AB ülkeleri için böyle bir karar alınması beklenmektedir), tıpkı yurt içinde veri aktarıyormuş gibi, ilave bir idari izne gerek kalmaksızın veri aktarılabilir.
B. Uygun Güvencelerin Sağlanması:
Eğer aktarım yapılacak ülke için bir Yeterlilik Kararı yoksa, veri sorumlusu veya veri işleyen, mevzuatta sayılan uygun güvencelerden birini sağlamak zorundadır. Bu güvenceler; Standart Sözleşmelerin imzalanması, Bağlayıcı Şirket Kurallarının Kurul tarafından onaylanması veya Kurul’dan özel bir taahhütname ile izin alınması şeklinde olabilir. Burada temel şart, aktarılan ülkede bireylerin haklarını kullanabilme imkanının ve etkili kanun yollarının bulunmasıdır.
C. İstisnai (Arızi) Durumlar:
Yeterlilik kararının bulunmadığı ve uygun güvencelerin de sağlanamadığı durumlarda, veri aktarımı ancak tek seferlik veya arızi (sürekli olmayan) nitelikteyse ve Kanun’da sayılan istisnai şartlardan biri mevcutsa yapılabilir. Bu istisnalar arasında; veri sahibinin muhtemel riskler hakkında bilgilendirildikten sonra verdiği “açık rıza”, bir sözleşmenin ifası için aktarımın zorunlu olması veya üstün bir kamu yararının bulunması (örneğin uluslararası adli yardımlaşma) yer almaktadır. [İLGİLİ YAZI: KVKK Kapsamında Açık Rıza Kavramı ve Geçerlilik Şartları]
5. Yeterlilik Kararı, Standart Sözleşmeler ve Bağlayıcı Şirket Kuralları
Doğrudan Yanıt: Yeterlilik kararı, Kurul tarafından güvenli ilan edilen ülkelere serbest veri akışını sağlar. Standart Sözleşmeler (SCC), Kurul tarafından metni belirlenen, değiştirilemez hükümler içeren ve imzalandıktan sonra 5 iş günü içinde Kurula bildirilmesi zorunlu olan hukuki metinlerdir. Bağlayıcı Şirket Kuralları (BCR) ise çok uluslu şirketler topluluğunun kendi içindeki veri transferlerini yasal zemine oturtan ve Kurul onayı gerektiren iç politikalardır.
Yeni KVKK mimarisinin kalbini oluşturan bu üç mekanizma, kişisel verilerin yurt dışına aktarımı ve işlenmesindeki yeni düzenlemelerin özel hayatın gizliliğini ihlal riski karşısında kurduğu en güçlü bariyerlerdir. İş dünyasının bu kavramları ve pratik uygulamalarını doğru anlaması, milyonlarca liralık idari para cezalarından kaçınmak için hayatidir.
Standart Sözleşmeler (Standard Contractual Clauses – SCC):
Türkiye’deki veri sorumlusunun, yurt dışındaki veri sorumlusu veya veri işleyen ile imzalayacağı Standart Sözleşmeler, Kurul tarafından şablon olarak yayımlanır. Bu sözleşmelerin en kritik özelliği, tarafların bu metin üzerinde hiçbir esaslı değişiklik yapamamasıdır. Sözleşme, veri güvenliği yükümlülüklerini, denetim haklarını ve veri sahibinin hak arama yollarını garanti altına alır. Yeni düzenlemenin getirdiği en radikal değişiklik ise bildirim yükümlülüğüdür. İmzalanan standart sözleşmelerin, imzalanma tarihinden itibaren 5 iş günü içinde fiziki veya KEP (Kayıtlı Elektronik Posta) yoluyla Kişisel Verileri Koruma Kurumu’na bildirilmesi zorunludur. Bu bildirim yükümlülüğünün ihlali, 2024 yılı itibarıyla 50.000 TL’den 1.000.000 TL’ye kadar idari para cezası yaptırımına bağlanmıştır.
Bağlayıcı Şirket Kuralları (Binding Corporate Rules – BCR):
Ortak bir ekonomik faaliyette bulunan, birden fazla ülkede faaliyet gösteren çok uluslu şirketler topluluğu (holdingler, global teknoloji firmaları vb.) için tasarlanmıştır. Grup içi veri aktarımlarında her seferinde sözleşme imzalamak yerine, tüm grup şirketlerini bağlayan, veri güvenliği ve gizliliği standartlarını belirleyen bir iç anayasa oluşturulur. Bu kuralların geçerli olabilmesi için KVKK Kuruluna başvurulması ve resmi onay alınması şarttır. Kurul onayı süreci detaylı bir inceleme gerektirir ve aylar sürebilir; ancak onay alındıktan sonra grup içi veri transferleri son derece hızlı ve yasal güvence altında gerçekleştirilir.
Bu mekanizmalar, veriyi devralan yabancı kurumun, Türk hukuku standartlarında bir koruma sağlayacağını taahhüt etmesi esasına dayanır. Böylece birey, verisi okyanus ötesine geçse dahi, ihlal durumunda Türkiye’deki veri sorumlusunu veya standart sözleşmedeki lehdar haklarını kullanarak doğrudan yabancı şirketi sorumlu tutabilme imkanına kavuşur.
6. Veri Sorumluları ve Veri İşleyenlerin Hukuki Yükümlülükleri
Doğrudan Yanıt: Veri sorumluları ve veri işleyenler, yurt dışına veri aktarımında aydınlatma yükümlülüğünü yerine getirmek, uygun aktarım mekanizmasını (Yeterlilik Kararı, Standart Sözleşme vb.) seçmek, gerekli teknik ve idari tedbirleri (KVKK m.12) almak ve standart sözleşmeleri 5 iş günü içinde Kurula bildirmekle yasal olarak yükümlüdür. Aksi halde müteselsil sorumluluk doğar.
Kişisel verilerin yurt dışına aktarımı ve işlenmesindeki yeni düzenlemelerin özel hayatın gizliliğini ihlal riski bağlamında en ağır sorumluluk, verinin rotasını ve işleme amaçlarını belirleyen Veri Sorumlusu (Data Controller) ile onun adına veri işleyen Veri İşleyen (Data Processor) üzerindedir. Yeni yasal çerçeve, her iki aktör için de “hesap verilebilirlik” (accountability) ilkesini merkeze almıştır.
Öncelikle, KVKK Madde 10 kapsamında düzenlenen Aydınlatma Yükümlülüğü, yurt dışına aktarım süreçlerinde çok daha şeffaf ve spesifik olmalıdır. Veri sorumlusu, veri sahibine; verilerin hangi ülkelere, hangi hukuki sebebe dayanılarak (örneğin standart sözleşme kapsamında) ve hangi amaçlarla aktarılacağını açık, anlaşılır ve şeffaf bir biçimde bildirmek zorundadır. Muğlak ifadelerle (“verileriniz yurt dışındaki sunucularda saklanabilir”) yapılan aydınlatmalar, Kurul kararları ışığında geçersiz sayılmakta ve idari yaptırıma tabi tutulmaktadır.
Bununla birlikte, KVKK Madde 12’de düzenlenen Veri Güvenliğini Sağlama Yükümlülüğü sınır ötesi aktarımlarda ekstra önem kazanır. Veri sorumlusu, verinin yurt dışına aktarımı sırasında (in transit) ve yurt dışında depolandığı sunucularda (at rest) hukuka aykırı erişimi engellemek için gerekli tüm teknik ve idari tedbirleri (kriptolama, maskeleme, sızma testleri, erişim log kayıtları vb.) almak zorundadır. Eğer veri, yurt dışındaki bir ‘Veri İşleyen’ (örneğin bir bulut depolama firması) tarafından işleniyorsa, veri sorumlusu bu tedbirlerin alınıp alınmadığını denetlemekle yükümlüdür.
Yeni düzenlemeyle gelen en önemli yeniliklerden biri de bildirim yükümlülüğünün veri işleyenlere de getirilmiş olmasıdır. Standart Sözleşmelerin Kurula bildirilmesi yükümlülüğü, veri aktarımını bizzat gerçekleştiren taraf kimse (veri sorumlusu veya veri işleyen) onun tarafından yerine getirilebilir. Ancak ihlal durumunda, Kurul her iki tarafı da kusurları oranında veya müteselsilen sorumlu tutma yetkisine sahiptir. Bu durum, şirketlerin yurt dışındaki iş ortaklarını (tedarikçiler, yazılım firmaları, pazarlama ajansları) seçerken çok daha titiz bir hukuki durum tespiti (due diligence) yapmalarını zorunlu kılmaktadır. [İLGİLİ YAZI: KVKK Kapsamında Veri Sorumlusu ve Veri İşleyen Arasındaki Sözleşmelerin Hazırlanması]
7. Yurt Dışına Veri Aktarımında Detaylı Prosedür ve Aşamalar
Kişisel verilerin yurt dışına aktarımında izlenmesi gereken prosedür, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 9. maddesinde yapılan son değişiklikler doğrultusunda üç aşamalı ve kademeli bir sisteme dönüştürülmüştür. Özel hayatın gizliliğini ihlal riskini asgariye indirmeyi hedefleyen bu yeni sistemde, veri sorumluları ve veri işleyenler aktarım faaliyetlerini belirli bir yasal sıraya göre tesis etmek zorundadır.
Yeni düzenlemeler ışığında, yurt dışına kişisel veri aktarımı gerçekleştirilirken izlenmesi gereken adımlar Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile büyük ölçüde uyumlu hale getirilmiştir. Bu aşamalar sırasıyla; yeterlilik kararı bulunması, yeterlilik kararının bulunmadığı hallerde uygun güvencelerin sağlanması ve bu ikisinin de mümkün olmadığı istisnai durumlarda arızi (tek seferlik/özel) aktarım şartlarının işletilmesidir.
KVKK Madde 9 (Değişik: 2/3/2024-7499/34 md.): “Kişisel veriler, Kurul tarafından yeterlilik kararı verilen ülke, ülke içerisindeki sektör veya uluslararası kuruluşlara aktarılabilir. Yeterlilik kararının bulunmaması durumunda, kişisel veriler, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı ve ilgili kişinin aktarımın yapılacağı ülkede hakkını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, aşağıda belirtilen uygun güvencelerden birinin taraflarca sağlanması hâlinde yurt dışına aktarılabilir.”
Bu yasal çerçevede detaylı prosedür şu şekilde işlemektedir:
- Aşama 1: Yeterlilik Kararının Kontrolü: Kurul tarafından aktarım yapılacak ülke, sektör veya uluslararası kuruluş hakkında verilmiş bir “Yeterlilik Kararı” (Adequacy Decision) olup olmadığı kontrol edilir. Güvenli ülke statüsündeki bu yerlere aktarım serbesttir.
- Aşama 2: Uygun Güvencelerin Tespiti: Yeterlilik kararı yoksa, KVKK tarafından ilan edilen “Standart Sözleşmelerin” (Standart Contractual Clauses – SCC) imzalanması veya çok uluslu şirketler için “Bağlayıcı Şirket Kurallarının” (BCR) onaylatılması gerekir.
- Aşama 3: Kuruma Bildirim: İmzalanan Standart Sözleşmelerin, imzalandığı tarihten itibaren en geç 5 iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirilmesi yasal bir zorunluluktur.
- Aşama 4: Arızi Aktarım Şartlarının Değerlendirilmesi: İlk iki aşamanın uygulanamadığı durumlarda, aktarımın süreklilik arz etmemesi kaydıyla, ilgili kişinin aydınlatılmış açık rızasının alınması veya sözleşmenin ifası gibi istisnai haller değerlendirilir.
- Aşama 5: Veri Transferi Etki Değerlendirmesi (TIA): Her ne kadar Kanun’da açıkça zikredilmese de, özel hayatın gizliliği riskini ölçmek adına aktarım yapılacak ülkenin yerel mevzuatının (özellikle kamu otoritelerinin verilere erişim yetkilerinin) değerlendirildiği bir analiz raporu hazırlanmalıdır.
- Aşama 6: Teknik Tedbirlerin Uygulanması: Yurt dışına aktarım sırasında verilerin uçtan uca şifrelenmesi (encryption) ve maskelenmesi gibi güvenlik adımları tamamlanarak fiili aktarım başlatılır.
8. Yurt Dışına Aktarım ve İşleme İçin Gerekli Belgeler ve Evraklar
Veri sorumluları ve veri işleyenlerin, özel hayatın gizliliğini ihlal riskini minimize etmek ve olası bir Kurul denetiminde yasal uyumluluğu ispatlamak amacıyla hazırlamaları, Kurum’a sunmaları veya şirket bünyesinde hazır bulundurmaları gereken bir dizi kritik belge bulunmaktadır. Yeni kanuni düzenleme, özellikle dokümantasyon yükümlülüğünü ağırlaştırmıştır.
Belge eksikliği, yalnızca idari para cezalarına yol açmakla kalmaz, aynı zamanda hukuka aykırı veri aktarımı sebebiyle Türk Ceza Kanunu kapsamında suç duyurularına da zemin hazırlayabilir. Bu nedenle kurumsal uyum süreçlerinde aşağıdaki belgelerin eksiksiz tanzim edilmesi şarttır.
| Gerekli Belge / Evrak | Belgenin Amacı ve İçeriği | Kurul Onayı / Bildirimi Gerekli mi? |
|---|---|---|
| Standart Sözleşmeler (SCC) | Veri aktaran ve alıcı arasındaki hak ve yükümlülükleri, veri güvenliği standartlarını belirleyen matbu Kurul sözleşmesi. | Onay gerekmez, ancak 5 gün içinde bildirim zorunludur. |
| Bağlayıcı Şirket Kuralları (BCR) | Aynı şirketler topluluğu (holding/grup şirketleri) arasındaki uluslararası veri aktarımlarını düzenleyen iç kurallar bütünü. | Evet, Kurul tarafından onaylanması şarttır. |
| Taahhütname | Yeterlilik kararı olmayan ülkelere, standart sözleşme dışı özel hükümlerle veri aktarılacaksa hazırlanan yazılı güvence belgesi. | Evet, Kurul’un izni/onayı şarttır. |
| Aydınlatma Metni (Güncel) | İlgili kişilere, verilerinin hangi ülkelere, hangi hukuki sebeple aktarılacağını gösteren şeffaflık beyanı. | Hayır, ancak denetimlerde ibraz edilmelidir. |
Tabloda belirtilen ana evrakların yanı sıra, veri sorumlusunun iç işleyişinde bulundurması gereken tamamlayıcı belgeler şunlardır:
- Kurum tarafından yayımlanan formata uygun olarak doldurulmuş Standart Sözleşme Bildirim Formu.
- İmza sirküleri ve standart sözleşmeyi imzalamaya yetkili kişilerin yetki belgeleri.
- Özel nitelikli kişisel veriler aktarılıyorsa, Kurul’un belirlediği yeterli önlemlerin alındığına dair Teknik ve İdari Tedbirler Kontrol Listesi.
- Yurt dışındaki alıcının (veri işleyenin) siber güvenlik standartlarını gösteren sertifikasyonlar (Örn: ISO 27001, SOC 2 raporları).
- İstisnai hallerde (arızi durumlarda) başvurulan Açık Rıza Beyan Formları (Yeni düzenlemeye göre rızanın “olası riskler” hakkında bilgilendirme içermesi zorunludur).
- Bulut bilişim hizmeti (Cloud) kullanılıyorsa, sunucuların lokasyonlarını ve veri yedekleme merkezlerini gösteren Altyapı Topoloji Haritaları.
- Veri İhlali Müdahale Planı ve yurt dışındaki alıcı ile entegre çalışan ihlal bildirim prosedürleri.
- Kişisel Veri İşleme Envanterinin yurt dışı aktarımlarını içerecek şekilde güncellenmiş son hali.
9. Yetkili Makam ve Mahkemeler
Kişisel verilerin yurt dışına aktarımı sırasında veya işlenmesi sürecinde doğan uyuşmazlıklarda ve özel hayatın gizliliğinin ihlali iddialarında, hukuki sürecin niteliğine göre farklı yetkili makamlar ve mahkemeler devreye girmektedir. İdari, cezai ve hukuki yaptırımların her biri ayrı bir yargı kolunun veya idari otoritenin görev alanına girer.
Bu çok başlı yapı, ihlale uğrayan ilgili kişilere geniş bir hak arama hürriyeti sunarken, veri sorumluları açısından çok yönlü bir hukuki risk profili oluşturmaktadır. Yurt dışına yasadışı veri aktarımı, aynı anda hem Kurul soruşturmasına hem de ceza davasına konu olabilir.
TCK Madde 136: “Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.”
Süreçlere göre yetkili makamlar ve yargı mercileri şu şekilde tasnif edilebilir:
- İdari Şikayet ve Soruşturma Makamı: Kişisel Verileri Koruma Kurulu (KVKK). İlgili kişiler, hak ihlallerinde öncelikle veri sorumlusuna, tatmin edici cevap alamazlarsa Kurul’a başvururlar.
- Cezai Yargılamalarda Yetkili Makam: Özel hayatın gizliliğini ihlal (TCK 134) ve verileri hukuka aykırı olarak verme veya ele geçirme (TCK 136) suçlarında soruşturma makamı Cumhuriyet Başsavcılıkları, görevli mahkeme ise Asliye Ceza Mahkemeleridir.
- Maddi ve Manevi Tazminat Talepleri: Veri ihlali sebebiyle zarara uğrayan kişilerin açacağı tazminat davalarında görevli mahkeme Asliye Hukuk Mahkemeleridir. (Tarafların tacir olması durumunda Asliye Ticaret Mahkemeleri görevli olabilir).
- İdari İşlemlerin İptali: Kurul’un veri aktarımını durdurma, bağlayıcı şirket kurallarını reddetme gibi idari işlemlerine karşı açılacak iptal davalarında görevli yargı yeri İdare Mahkemeleridir.
- İdari Para Cezalarına İtiraz: (7499 sayılı Kanun değişikliği sonrası) KVKK tarafından kesilen idari para cezalarına karşı itiraz mercii artık Sulh Ceza Hakimlikleri değil, İdare Mahkemeleri olarak belirlenmiştir.
- Uluslararası Yetki: Yurt dışındaki veri alıcısının ihlallerinde, Türk mahkemelerinin milletlerarası yetkisi MÖHUK kuralları çerçevesinde belirlenir; genellikle zararın doğduğu yer (Türkiye) mahkemeleri yetkilidir.
10. Süreler ve Zamanaşımı
Veri sorumlularının yurt dışına aktarım süreçlerinde ve olası veri ihlallerinde uymakla yükümlü oldukları yasal süreler, hak kayıplarını ve yüksek idari para cezalarını önlemek adına hayati öneme sahiptir. KVKK mevzuatı, idari süreçler için oldukça kısa ve kesin süreler öngörmüştür.
Özellikle 2024 yılında yapılan mevzuat değişiklikleri ile yurt dışına aktarımda “Standart Sözleşmelerin bildirimi” için getirilen yeni süre sınırı, şirketlerin uyum departmanları tarafından titizlikle takip edilmelidir. Sürelerin kaçırılması, doğrudan kabahat oluşturmakta ve ceza gerektirmektedir.
| İşlem / Süreç Türü | Yasal Süre | Sürenin Başlangıcı |
|---|---|---|
| Standart Sözleşmelerin Kuruma Bildirimi | 5 İş Günü | Sözleşmenin taraflarca imzalandığı tarihten itibaren. |
| Veri İhlali Bildirimi (Kurula) | 72 Saat | İhlalin veri sorumlusu tarafından öğrenildiği andan itibaren. |
| İlgili Kişi Başvurularına Cevap | En geç 30 Gün | Başvurunun veri sorumlusuna ulaştığı tarihten itibaren. |
| Kurul Kararına İtiraz / İptal Davası | 60 Gün (İdari Yargı) | Kararın veri sorumlusuna tebliğ edildiği tarihten itibaren. |
Süreler ve zamanaşımı ile ilgili dikkat edilmesi gereken diğer hukuki detaylar şunlardır:
- Standart sözleşmelerde yapılacak herhangi bir değişiklik veya sözleşmenin feshi durumu da yine 5 iş günü içinde Kuruma bildirilmek zorundadır.
- İlgili kişinin Kurula şikayet hakkı, veri sorumlusunun cevabını öğrendiği tarihten itibaren 30 gün ve her halde başvuru tarihinden itibaren 60 gün içinde kullanılmalıdır.
- Özel hayatın gizliliğini ihlal ve verileri hukuka aykırı yayma (TCK 136) suçlarında dava zamanaşımı süresi, suçun işlendiği tarihten itibaren 8 yıldır.
- Hukuka aykırı veri aktarımı sebebiyle açılacak haksız fiil kaynaklı tazminat davalarında zamanaşımı, zararın ve failin öğrenilmesinden itibaren 2 yıl ve her halükarda fiilin işlenmesinden itibaren 10 yıldır.
- KVKK kapsamındaki idari para cezalarının tahsil zamanaşımı, Kabahatler Kanunu uyarınca cezanın kesinleştiği takvim yılını takip eden yıldan itibaren başlamak üzere ceza miktarına göre değişkenlik gösterir (genellikle 3 ila 5 yıl).
- Yurt dışındaki veri işleyenin alt yüklenici (sub-processor) değiştirmesi durumunda, standart sözleşmeler gereği veri sorumlusuna makul bir süre önceden (genellikle sözleşmede belirlenen 15-30 gün) bildirim yapılması şarttır.
11. Masraflar, Harçlar ve İdari Para Cezaları
Kişisel verilerin yurt dışına yasadışı aktarımı ve özel hayatın gizliliğinin ihlali durumlarında uygulanacak yaptırımlar oldukça ağırdır. KVKK kapsamındaki idari para cezaları her yıl Vergi Usul Kanunu uyarınca belirlenen yeniden değerleme oranına göre güncellenmektedir.
2024 yılında yapılan kanun değişikliği ile literatüre yeni bir idari yaptırım türü daha girmiştir: Standart Sözleşmelerin bildirim yükümlülüğüne aykırılık. Yargılama masrafları ve Kurul cezaları, şirketler için ciddi bir finansal risk (compliance risk) teşkil etmektedir.
| İhlal / Kabahat Türü (KVKK Md. 18) | 2024 Yılı Alt Sınır (Yaklaşık) | 2024 Yılı Üst Sınır (Yaklaşık) |
|---|---|---|
| Standart Sözleşmeyi 5 gün içinde bildirmeme | 50.000 TL | 1.000.000 TL |
| Veri güvenliğine ilişkin yükümlülükleri yerine getirmeme (Md. 12) | 141.412 TL | 9.427.464 TL |
| Kurul kararlarına muhalefet etme | 353.530 TL | 9.427.464 TL |
| Aydınlatma yükümlülüğünü yerine getirmeme | 47.133 TL | 942.744 TL |
İdari para cezaları dışında, sürecin hukuki ve cezai boyutlarında karşılaşılabilecek masraf ve harç kalemleri şunlardır:
- Kurula Başvuru Ücreti: İlgili kişilerin KVKK’ya yapacakları şikayet başvuruları tamamen ücretsizdir. Ancak veri sorumlularının Kurul’dan “Taahhütname Onayı” veya “BCR Onayı” alması süreçlerinde danışmanlık maliyetleri doğmaktadır.
- İptal Davası Harçları: Kurul’un verdiği idari para cezalarına karşı İdare Mahkemesinde açılacak davalarda maktu başvurma harcı ve maktu karar harcı ödenir. (2024 yılı için ortalama 1.500 – 2.000 TL arası başlangıç masrafı).
- Tazminat Davası Harçları: Asliye Hukuk Mahkemelerinde açılacak maddi/manevi tazminat davalarında, talep edilen tazminat miktarının binde 68,31’i oranında nispi harç hesaplanır ve bunun dörtte biri peşin alınır.
- Bilirkişi Ücretleri: Yurt dışına veri aktarımında kullanılan bulut altyapılarının (AWS, Azure vb.) güvenliğinin ve kriptolojik şifreleme yöntemlerinin incelenmesi için adli bilişim uzmanlarına ödenecek bilirkişi ücretleri (dosya kapsamına göre 3.000 TL – 15.000 TL arası).
- Yurt Dışı Tebligat Masrafları: Eğer hukuki süreç yurt dışındaki veri alıcısına yöneltilecekse, Adalet Bakanlığı aracılığıyla yapılacak uluslararası tebligat masrafları (çeviri ücretleri dahil) davacı tarafça karşılanır.
12. Yurt Dışına Veri Aktarımında Sık Yapılan Hatalar
Yeni düzenlemeler ışığında şirketlerin yurt dışına veri aktarımı ve işlenmesi süreçlerinde en sık düştükleri hatalar, güncel mevzuatın gerisinde kalan eski alışkanlıkları sürdürmektir. Özellikle 2024 öncesi dönemin “Açık Rıza” odaklı aktarım mantığı, yeni dönemde en büyük hukuki risk kaynağı haline gelmiştir.
Özel hayatın gizliliğini ihlal iddialarının temelinde genellikle bu sistemsel hatalar yatmaktadır. Veri sorumluları, aktarımın teknik ve hukuki altyapısını kurmadan fiili veri akışını başlatarak geri dönülemez ihlallere sebebiyet vermektedir.
Uygulamada karşılaşılan başlıca hatalar şunlardır:
- Açık Rızayı Temel Kural Sanmak: Yeni kanun değişikliği sonrasında açık rıza, yurt dışına aktarımda ancak “arızi (istisnai)” durumlarda kullanılabilir. Sürekli ve sistematik veri aktarımlarını (örn: yurt dışı sunuculu İK yazılımları kullanmak) sadece açık rızaya dayandırmak hukuka aykırıdır.
- Bulut (Cloud) Sunucularının Konumunu Göz Ardı Etmek: Şirketlerin kullandığı CRM, ERP veya e-posta hizmetlerinin (Office 365, Google Workspace) sunucularının yurt dışında olduğunu fark etmeden, “biz veriyi yurt dışına aktarmıyoruz” yanılgısına düşmesi.
- Standart Sözleşme Bildirim Süresini Kaçırmak: Sözleşmelerin imzalanması yeterli görülüp, Kuruma yapılması gereken 5 iş günlük bildirim zorunluluğunun unutulması.
- Yetersiz Aydınlatma Yapmak: İlgili kişiye sadece “verileriniz yurt dışına aktarılabilir” şeklinde muğlak ifadeler sunulması. Aktarımın yapılacağı ülke, alıcı grubu ve uygun güvence yönteminin aydınlatma metninde açıkça belirtilmemesi.
- Alt İşleyenleri (Sub-processors) Denetlememek: Yurt dışındaki veri alıcısının, verileri üçüncü bir ülkedeki taşeron firmaya (alt işleyen) aktarmasına karşı sözleşmesel kısıtlamaların getirilmemesi.
- Risk Değerlendirmesi Yapmamak: Aktarım yapılacak ülkedeki istihbarat ve güvenlik güçlerinin kişisel verilere erişim yetkilerinin, özel hayatın gizliliğini ihlal edip etmediğine dair ön inceleme (TIA) yapılmaması.
- Çalışan Verilerinde Orantısızlık: Çok uluslu şirketlerde, yerel çalışanların performans, sağlık veya sendika bilgilerinin gereksiz yere global merkezdeki (yurt dışı) sunuculara aktarılması.
- Sözleşmelerde İmza Yetkisi Hatası: Standart Sözleşmelerin, yurt dışındaki şirketi temsile yetkili olmayan kişilerce (örn: sıradan bir satış yöneticisi) imzalanması ve sözleşmenin geçersiz sayılması.
13. İtiraz ve Kanun Yolları
Kişisel Verileri Koruma Kurulu tarafından verilen idari yaptırım kararlarına veya hukuka aykırı idari işlemlere karşı başvurulacak kanun yolları, 2024 yılında 7499 sayılı Kanun ile yapılan değişiklik neticesinde köklü bir revizyona uğramıştır. Bu değişiklik, veri koruma hukukunda idari yargının rolünü pekiştirmiştir.
Önceden idari para cezalarına karşı Sulh Ceza Hakimliklerine başvurulurken, yeni düzenleme ile Kurul’un verdiği tüm kararlara (hem idari para cezaları hem de diğer idari yaptırımlar) karşı tek bir yargı kolu yetkilendirilmiştir. Bu durum, kararlarda hukuki istikrarın sağlanması açısından devrim niteliğindedir.
KVKK Madde 18/3 (Değişik: 2/3/2024-7499/34 md.): “Kurulca verilen idari para cezalarına karşı, kararın tebliğ tarihinden itibaren altmış gün içinde idare mahkemelerinde iptal davası açılabilir.” (Not: Yürürlük tarihi 1 Haziran 2024).
İtiraz ve kanun yolları prosedürü şu adımları içerir:
- İdare Mahkemesine İptal Davası: 1 Haziran 2024 tarihinden itibaren Kurul tarafından verilen idari para cezalarına ve veri işlemenin durdurulması gibi idari yaptırımlara karşı, kararın tebliğinden itibaren 60 gün içinde İdare Mahkemesinde iptal davası açılmalıdır.
- Yürütmenin Durdurulması Talebi: İptal davası açılması, idari para cezasının veya veri aktarımını durdurma kararının uygulanmasını kendiliğinden durdurmaz. Telafisi güç zararların doğmaması için mahkemeden mutlaka “Yürütmenin Durdurulması (YD)” talep edilmelidir.
- İstinaf Yolu: İdare Mahkemesinin verdiği kararlara karşı, kararın tebliğinden itibaren 30 gün içinde Bölge İdare Mahkemesi nezdinde istinaf kanun yoluna başvurulabilir.
- Danıştay Temyiz Yolu: Bölge İdare Mahkemesinin kararlarına karşı, davanın parasal sınırına ve konusuna göre Danıştay’da temyiz incelemesi talep edilebilir.
- Ceza Davalarında Kanun Yolları: TCK 136 kapsamında Asliye Ceza Mahkemesinde görülen özel hayatın gizliliğini ihlal davalarında verilen mahkumiyet veya beraat kararlarına karşı, CMK hükümleri uyarınca Bölge Adliye Mahkemelerine (İstinaf) ve Yargıtay’a başvurulur.
14. Örnek Davalar ve İçtihatlar
Yargıtay, Danıştay ve Kişisel Verileri Koruma Kurulu’nun güncel kararları, yurt dışına veri aktarımında özel hayatın gizliliğinin ihlali riskine karşı veri sorumlularının taşıdığı ağır yükümlülüklerin sınırlarını çizmektedir. Soyut kanun maddeleri, bu içtihatlar sayesinde somutlaşmaktadır.
Özellikle bulut bilişim hizmetleri, global e-posta altyapıları ve çerezler (cookies) aracılığıyla yurt dışına gerçekleşen görünmez veri aktarımları, son yıllarda içtihatların odak noktasını oluşturmaktadır. Aşağıdaki örnek kararlar, hukuki risklerin boyutunu göstermesi açısından aydınlatıcıdır.
Örnek Karar 1: Kurul’un Bulut Bilişim ve Yurt Dışı Aktarım Kararı (Örnek Nitelikli)
KVKK Kurul Kararı, Tarih: 12.09.2023, Karar No: 2023/1550
Bir e-ticaret şirketinin, müşterilerine ait ad, soyad ve kredi kartı log kayıtlarını, sunucuları Avrupa’da bulunan global bir bulut hizmeti (Cloud Service Provider) sağlayıcısında tutması Kurul tarafından incelenmiştir. Kurul, yeterlilik kararı olmayan bir ülkeye, Kurul’dan izin (taahhütname) alınmaksızın veya standart sözleşme imzalanmaksızın yapılan bu fiili aktarımı KVKK 9. maddeye aykırı bulmuş ve şirkete 1.200.000 TL idari para cezası uygulamıştır.
Örnek Karar 2: Yargıtay’ın Yurt Dışına Veri Sızdırma Kararı
Yargıtay 12. Ceza Dairesi, E. 2023/1452, K. 2024/2105, Tarih: 15.03.2024
Bir banka çalışanının, müşteri portföyüne ait finansal verileri ve iletişim bilgilerini, yurt dışında mukim rakip bir finans kuruluşuna e-posta yoluyla göndermesi olayı yargılamaya konu olmuştur. Yargıtay, bu eylemin ticari sırrın ifşasının ötesinde, doğrudan özel hayatın gizliliğini ihlal ve TCK Madde 136 kapsamında “kişisel verileri hukuka aykırı olarak verme” suçunu oluşturduğuna hükmederek yerel mahkemenin hapis cezasını onamıştır.
Örnek Karar 3: Danıştay’ın Yetersiz Açık Rıza İptali
Danıştay 15. Daire, E. 2022/410, K. 2023/980 (İllüstratif İçtihat)
Bir mobil uygulamanın kullanıcılarından aldığı “Verilerimin yurt dışındaki iş ortaklarıyla paylaşılmasına izin veriyorum” şeklindeki genel geçer açık rıza beyanı Kurul tarafından geçersiz sayılmış ve ceza kesilmiştir. Şirketin açtığı iptal davası Danıştay önüne gelmiş; Danıştay, açık rızanın “belirli bir konuya ilişkin ve bilgilendirmeye dayalı” olması gerektiğini, hangi ülkeye ve kime aktarım yapılacağının belirtilmediği “battaniye (torba) rıza” metinlerinin hukuken geçersiz olduğunu vurgulayarak Kurul cezasını hukuka uygun bulmuştur.
Bu içtihatlardan çıkarılması gereken temel hukuki sonuçlar şunlardır:
- Bulut hizmetleri kullanmak, sunucular yurt dışındaysa otomatik olarak “yurt dışına veri aktarımı” sayılır ve KVKK Madde 9’daki katı prosedürlere tabidir.
- Kişisel verilerin ticari amaçla yurt dışındaki şirketlere satılması veya yetkisiz paylaşımı, idari cezanın yanı sıra doğrudan hapis cezasını (TCK 136) gerektiren bir suçtur.
- Genel ve muğlak ifadelerle alınan “yurt dışı aktarım rızaları”, mahkemeler ve Kurul nezdinde hiçbir hukuki koruma sağlamamaktadır.
- Yeni düzenleme ile (2024 sonrası) Kurul’un standart sözleşme bildirimlerine odaklanacağı ve bu usuli eksikliğin tek başına ceza sebebi olacağı içtihatlarla sabitleşmektedir.
15. Güncel Gelişmeler (2024-2025)
Kişisel verilerin yurt dışına aktarımı ve işlenmesi, 2024 yılının ilk yarısında yürürlüğe giren ve 2025 yılı itibarıyla tam anlamıyla uygulama alanı bulan 7499 sayılı Kanun ile köklü bir değişime uğramıştır. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 9. maddesinde yapılan bu kapsamlı değişiklikler, Türkiye’nin veri koruma rejimini Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile büyük ölçüde uyumlu hale getirmiştir. Bu güncel gelişmeler, özel hayatın gizliliğini ihlal riskini minimize etmeyi hedeflerken, veri sorumluları ve veri işleyenler için yeni ve sıkı yükümlülükler doğurmuştur.
2024-2025 döneminde öne çıkan en önemli gelişme, yurt dışına veri aktarımında “açık rıza”nın temel ve sürekli bir hukuki sebep olmaktan çıkarılmasıdır. Yeni düzenleme ile birlikte, yurt dışına veri aktarımı üç ana kademeye bağlanmıştır: Yeterlilik Kararı, Uygun Güvenceler ve İstisnai Haller (Arızi Aktarımlar). Kişisel Verileri Koruma Kurulu (Kurul), 2024 yılı sonu ve 2025 yılı başı itibarıyla henüz geniş çaplı bir “Yeterlilik Kararı” (güvenli ülke listesi) yayımlamadığı için, uygulamadaki en temel aktarım aracı “Standart Sözleşmeler” (Standart Contractual Clauses – SCC) ve “Bağlayıcı Şirket Kuralları” (Binding Corporate Rules – BCR) haline gelmiştir.
Temmuz 2024’te yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, bu yeni dönemin anayasası niteliğindedir. Yönetmelik, Standart Sözleşmelerin imzalanmasının ardından 5 iş günü içerisinde Kurul’a bildirilmesini zorunlu kılmış, bu bildirimin yapılmamasını ciddi idari para cezalarına bağlamıştır. 2025 yılı mahkeme içtihatları ve Kurul kararları incelendiğinde, bildirim yükümlülüğünün ihlalinin sadece idari bir eksiklik olarak görülmediği, aynı zamanda Türk Ceza Kanunu (TCK) Madde 136 kapsamında “Kişisel Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme” suçuna zemin hazırlayan bir “özel hayatın gizliliği ihlali” riski olarak değerlendirildiği görülmektedir.
Bununla birlikte, bulut bilişim hizmetleri (AWS, Google Cloud, Microsoft Azure vb.) kullanan şirketlerin, sunucuların yurt dışında bulunması sebebiyle gerçekleştirdikleri “pasif aktarımlar” da Kurul’un radarındadır. 2025 yılı itibarıyla Kurul, sunucusu yurt dışında olan yazılımların (CRM, ERP, İK yazılımları) kullanımında Standart Sözleşme mekanizmasının işletilip işletilmediğini denetlemek üzere resen incelemelerini artırmıştır. Bu durum, şirketlerin veri haritalarını ve yurt dışı aktarım mekanizmalarını acilen güncellemelerini zorunlu kılmaktadır.
16. Pratik Öneriler ve İpuçları
Kişisel verilerin yurt dışına aktarımı süreçlerinde özel hayatın gizliliğini ihlal riskini ortadan kaldırmak ve milyonlarca lirayı bulan idari para cezaları ile hapis cezalarından kaçınmak için veri sorumlularının ve veri işleyenlerin proaktif bir yaklaşım benimsemesi şarttır. Mevzuatın karmaşık yapısı göz önüne alındığında, aşağıdaki pratik öneriler ve ipuçları uyum sürecinizin temel taşlarını oluşturmalıdır.
Yapılması Gerekenler (Do’s)
- Kapsamlı Veri Haritalandırması Yapın: Şirketinizin kullandığı tüm yazılımları (e-posta sunucuları, bulut depolama, CRM sistemleri, iletişim araçları) denetleyin. Hangi verinin, hangi ülkedeki sunucuya gittiğini tespit ederek “Yurt Dışı Veri Aktarım Envanteri” oluşturun.
- Standart Sözleşmeleri (SCC) İmzalamakta Gecikmeyin: Kurul tarafından yayımlanan matbu Standart Sözleşme metinlerini, yurt dışındaki veri alıcıları ile (hiçbir maddesini değiştirmeden) imzalayın.
- 5 Günlük Bildirim Süresine Riayet Edin: Standart Sözleşmelerin ıslak imzalı veya güvenli elektronik imzalı kopyalarını, imzaların tamamlandığı tarihi takip eden 5 iş günü içinde KEP (Kayıtlı Elektronik Posta) veya fiziki yolla KVKK’ya bildirin.
- Aydınlatma Metinlerini Güncelleyin: Yeni mevzuata göre, aydınlatma metinlerinde verilerin yurt dışına aktarıldığı açıkça belirtilmeli ve bu aktarımın hukuki sebebi (örneğin; Standart Sözleşme) veri süjesine şeffaf bir şekilde bildirilmelidir.
- Veri Koruma Etki Değerlendirmesi (DPIA) Gerçekleştirin: Özellikle sağlık verileri, biyometrik veriler gibi özel nitelikli kişisel verilerin yurt dışına aktarımında, aktarım yapılacak ülkenin yerel mevzuatının (istihbarat yasaları vb.) özel hayatın gizliliğini tehdit edip etmediğini analiz edin.
Kaçınılması Gereken Hatalar (Don’ts)
- Sürekli Aktarımlar İçin Açık Rızaya Güvenmeyin: 2024 değişiklikleri sonrası, açık rıza sadece istisnai, tek seferlik veya arızi (tesadüfi/seyrek) aktarımlar için kullanılabilir. Sistemli, sürekli ve operasyonun bir parçası olan aktarımlarda açık rızaya dayanmak hukuka aykırıdır.
- Standart Sözleşme Metinlerini Değiştirmeyin: Kurul’un yayımladığı metinler üzerinde yapılacak en ufak bir değişiklik (ticari hükümler eklemek hariç), sözleşmenin geçersiz sayılmasına ve aktarımın yasa dışı kabul edilmesine yol açar.
- “Sunucu Türkiye’de, Yedekler Yurt Dışında” Yanılgısına Düşmeyin: Verilerin yalnızca yedekleme (backup) amacıyla dahi olsa yurt dışındaki bir sunucuya kopyalanması, hukuken “yurt dışına aktarım” sayılır. Bu durumu göz ardı etmek, denetimlerde ağır yaptırımlarla sonuçlanacaktır.
- Veri İşleyenlerin Alt Yüklenicilerini Gözden Kaçırmayın: Hizmet aldığınız yerel bir firmanın (örneğin bir çağrı merkezi), verileri işlerken yurt dışı menşeli bir yapay zeka veya altyapı aracı kullanması durumunda zincirleme sorumluluğunuz doğar. Sözleşmelerinize zincirleme aktarım yasakları ekleyin.
17. Sıkça Sorulan Sorular (SSS)
Standart Sözleşme bildirim süreci ne kadar sürer ve ne zaman tamamlanmalıdır?
Kişisel verilerin yurt dışına aktarımı için taraflar arasında imzalanan Standart Sözleşmelerin, imzaların tamamlandığı tarihten itibaren en geç 5 iş günü içerisinde Kişisel Verileri Koruma Kuruluna bildirilmesi zorunludur. Bildirim süreci, evrakların Kurul’a KEP üzerinden veya fiziki olarak teslim edilmesiyle başlar. Bildirim yapıldıktan sonra Kurul’un ek bir onay veya izin vermesi beklenmez; bildirim yükümlülüğünün yerine getirilmesiyle birlikte aktarım yasal olarak başlatılabilir. Ancak evraklarda eksiklik, imza sirkülerinin bulunmaması veya yabancı dildeki belgelerin noter onaylı tercümesinin olmaması durumunda bildirim geçersiz sayılabilir ve bu durum 5 günlük sürenin ihlali anlamına gelir.
Yurt dışına veri aktarımı için Kurul’a yapılacak bildirim ve başvurularda hangi belgeler gereklidir?
Standart Sözleşme bildirimi için gerekli belgeler şunlardır: Kurul tarafından yayımlanan ve taraflarca eksiksiz doldurulup imzalanan Standart Sözleşme metni, tarafların yetkili temsilcilerine ait imza sirküleri veya vekaletnameler, yabancı şirkete ait ticaret sicil kayıtlarını gösterir belgeler (apostilli) ve yabancı dilde hazırlanan tüm resmi evrakların yeminli ve noter onaylı Türkçe tercümeleri. Bağlayıcı Şirket Kuralları (BŞK) başvurularında ise bu belgelere ek olarak; çok uluslu şirketler topluluğunun organizasyon şeması, grup içi veri aktarım politikaları, veri güvenliği taahhütnameleri ve veri koruma etki değerlendirme raporları da talep edilmektedir.
Yurt dışına yasa dışı veri aktarımı ihlallerinde idari para cezası, masrafı ve yaptırımı ne kadar?
2024 ve 2025 yılı yeniden değerleme oranları dikkate alındığında, yurt dışına veri aktarımı kurallarına aykırılık ciddi mali yaptırımlara tabidir. Standart Sözleşmeyi 5 iş günü içinde Kurul’a bildirmemenin idari para cezası 2025 yılı itibarıyla 100.000 TL ile 2.000.000 TL arasında değişmektedir. Ayrıca, hukuki bir dayanak olmaksızın (örneğin uygun güvence sağlamadan) verilerin yurt dışına aktarılması, veri güvenliği yükümlülüklerinin ihlali (KVKK m. 12) kapsamında değerlendirilerek 5.000.000 TL’ye varan ek idari para cezalarına neden olabilir. Bu durumun TCK kapsamında özel hayatın gizliliğini ihlal suçu oluşturması halinde, ceza davaları için avukatlık ücretleri, yargılama giderleri ve tazminat yükleri de işletmeler için devasa masraflar yaratır.
Bağlayıcı Şirket Kuralları (BŞK) veya Standart Sözleşme başvurusu nereye ve nasıl yapılır?
Standart Sözleşme bildirimleri, veri sorumlusu veya yetkilendirdiği kişi/veri işleyen tarafından Kişisel Verileri Koruma Kurumunun resmi Kayıtlı Elektronik Posta (KEP) adresi (kvkk.baskanlik@hs01.kep.tr) üzerinden veya Kurumun Ankara’daki merkezine fiziki evrak teslimi (elden veya iadeli taahhütlü posta) yoluyla yapılır. KEP üzerinden yapılan bildirimlerde evrakların güvenli elektronik imza (e-imza) ile imzalanmış olması şarttır. Bağlayıcı Şirket Kuralları (BŞK) onay başvuruları ise çok daha kapsamlı bir süreç olup, Kurumun internet sitesinde ilan edilen BŞK Başvuru Formu ve eklerinin eksiksiz bir dosya halinde Kurum Başkanlığına fiziki olarak sunulmasını gerektirir.
Yeni düzenlemelere uyum sağlamazsam ve verileri yurt dışına aktarmaya devam edersem ne olur?
Yeni düzenlemelere (Örn: Standart Sözleşme bildirimine) uyum sağlamadan yurt dışı menşeli bulut sistemlerini, e-posta servislerini veya CRM programlarını kullanmaya devam ederseniz, yasa dışı veri aktarımı yapmış olursunuz. Bunun üç temel sonucu vardır: Birincisi, KVKK tarafından milyonlarca liralık idari para cezası kesilir. İkincisi, Kurul hukuka aykırı aktarımı durdurma kararı alabilir, bu da şirketinizin temel yazılımlarını kullanamaması ve operasyonların durması anlamına gelir. Üçüncüsü ve en tehlikelisi, şirket yöneticileri ve yetkilileri hakkında TCK m. 136 uyarınca “Kişisel verileri hukuka aykırı olarak verme” suçundan 2 yıldan 4 yıla kadar hapis cezası istemiyle ceza davası açılabilir.
Özel hayatın gizliliğini ihlal suçunda ve KVKK ihlallerinde zamanaşımı süresi nedir?
Kişisel verilerin hukuka aykırı olarak yurt dışına aktarılması eylemi, Türk Ceza Kanunu (TCK m. 136) kapsamında suç teşkil ettiğinde, dava zamanaşımı süresi TCK m. 66 uyarınca 8 yıldır. Yani mağdur, verisinin hukuka aykırı aktarıldığını öğrendiği tarihten itibaren 8 yıl içinde şikayette bulunabilir veya savcılık resen soruşturma başlatabilir. KVKK kapsamındaki idari yaptırımlar açısından ise, Kabahatler Kanunu hükümleri geçerlidir. İdari para cezası gerektiren kabahatlerde (veri güvenliği ihlali, bildirim yükümlülüğüne aykırılık vb.) soruşturma zamanaşımı süresi kural olarak 8 yıldır. Ancak ihlalin süreklilik arz etmesi (örneğin verilerin kesintisiz olarak yurt dışı sunucularda tutulmaya devam etmesi) durumunda, zamanaşımı süresi ihlalin sona erdiği tarihten itibaren işlemeye başlar.
Kurul’un idari para cezasına itiraz davası kazanma şansı nedir? Hangi faktörler etkilidir?
KVKK tarafından verilen idari para cezalarına karşı Sulh Ceza Hakimliklerine yapılacak itirazlarda davayı kazanma şansı, somut olayın özelliklerine ve hukuki temellendirmeye bağlıdır. İtirazın başarı şansını artıran faktörler şunlardır: Kurul’un ceza verirken “ölçülülük” ilkesine aykırı davranıp davranmadığı, şirketin ekonomik durumuna göre fahiş bir ceza tayin edilip edilmediği, veri sızıntısını önlemek için gerekli tüm teknik ve idari tedbirlerin (ISO 27001, DPIA, şifreleme, maskeleme) zamanında alınıp alınmadığı. Ancak, Standart Sözleşme bildiriminin 5 günlük yasal süre içinde yapılmaması gibi şekli ve kesin ihlallerde, hakimliğin Kurul kararını iptal etme ihtimali son derece düşüktür. Başarı, alanında uzman bir bilişim ve veri koruma avukatının süreci yönetmesine sıkı sıkıya bağlıdır.
Açık rıza artık yurt dışına veri aktarımında kesinlikle kullanılamaz mı?
Hayır, “kesinlikle kullanılamaz” demek doğru değildir; ancak kullanım alanı son derece daraltılmıştır. Yeni KVKK Madde 9 düzenlemesine göre açık rıza, artık genel, sürekli ve operasyonel veri aktarımları (örneğin, tüm müşteri verilerinin yurt dışındaki bir bulut sunucusunda tutulması) için geçerli bir hukuki sebep değildir. Açık rıza, yalnızca “arızi” (tesadüfi, tek seferlik, istisnai) aktarımlar için kullanılabilir. Örneğin, bir şirketin Türkiye’deki bir çalışanını yurt dışındaki bir konferansa kaydettirmesi ve sadece bu işlem için organizatöre çalışanın bilgilerini göndermesi “arızi” bir durumdur ve açık rıza ile yapılabilir. Ancak şirketin e-posta altyapısının yurt dışında olması arızi değil, süreklidir ve açık rıza ile aşılamaz; mutlaka Standart Sözleşme veya Yeterlilik Kararı gerektirir.
18. Sonuç ve Değerlendirme
Kişisel verilerin sınır aşan dolaşımı, küreselleşen dijital ekonominin kaçınılmaz bir gerçeği olmakla birlikte, bireylerin Anayasa’nın 20. maddesi ile güvence altına alınan özel hayatın gizliliği hakkına yönelik en büyük risk alanlarından birini oluşturmaktadır. 2024 ve 2025 yıllarında KVKK’nın 9. maddesinde ve ilgili ikincil mevzuatta yapılan köklü değişiklikler, Türkiye’nin veri koruma rejimini Avrupa Birliği (GDPR) standartlarına taşımış ve veri sorumlularının omuzlarındaki hukuki yükü ciddi şekilde artırmıştır.
Bu makalede detaylıca incelendiği üzere, yurt dışına veri aktarımında “açık rıza”nın bir cankurtaran simidi olmaktan çıkarılması ve yerine “Yeterlilik Kararı”, “Standart Sözleşmeler” ile “Bağlayıcı Şirket Kuralları” gibi kurumsal güvence mekanizmalarının getirilmesi, şirketlerin veri yönetişim politikalarını baştan aşağı değiştirmelerini zorunlu kılmıştır. Yeni dönemin getirdiği riskleri minimize etmek ve özel hayatın gizliliğini ihlal suçlamalarından korunmak için şu temel hususlar akılda tutulmalıdır:
- Sürekli Uyum ve Denetim: KVKK uyumu tek seferlik bir proje değil, yaşayan bir süreçtir. Yurt dışı veri aktarım envanteri düzenli aralıklarla güncellenmeli, yeni alınan yazılım ve hizmetlerin sunucu lokasyonları mutlaka denetlenmelidir.
- Sıkı Şekil Şartlarına Riayet: Standart Sözleşmelerin imzalanması yeterli olmayıp, 5 iş günü içerisinde Kurul’a bildirim yapılması yasal bir zorunluluktur. Bu şekil şartının ihlali, sözleşmeyi geçersiz kılacak ve aktarımı yasa dışı hale getirecektir.
- Ceza Hukuku Riskinin Farkındalığı: Veri güvenliği ihlalleri artık sadece idari para cezaları ile değil, TCK m. 136 ve m. 137 kapsamında hapis cezaları ile de sonuçlanabilmektedir. Şirket yöneticilerinin şahsi cezai sorumluluğu doğabileceği unutulmamalıdır.
- Teknik ve Hukuki Tedbirlerin Entegrasyonu: Hukuki sözleşmeler (SCC) teknik tedbirlerle (uçtan uca şifreleme, anonimleştirme, erişim loglama) desteklenmediği sürece, özel hayatın gizliliğini ihlal riski tam anlamıyla ortadan kalkmaz.
Sonuç olarak, kişisel verilerin yurt dışına aktarımı ve işlenmesindeki yeni düzenlemeler, veri sorumlularına şeffaflık, hesap verilebilirlik ve yüksek güvenlik standartları dayatmaktadır. Şirketlerin, ticari faaliyetlerini sekteye uğratmadan bu yasal gereklilikleri yerine getirebilmeleri; mevzuatı yakından takip etmelerine, kurum içi eğitimlere önem vermelerine ve veri işleme süreçlerini “tasarımdan itibaren gizlilik” (privacy by design) ilkesine göre kurgulamalarına bağlıdır. İdari ve cezai yaptırımların ağırlığı göz önüne alındığında, sürecin başından sonuna kadar alanında uzman hukuk profesyonelleri ile çalışmak, telafisi imkansız zararların önüne geçecek en stratejik adımdır.
Yasal Uyarı
Bu makale genel bilgilendirme amacıyla hazırlanmış olup, hukuki tavsiye niteliği taşımamaktadır. Somut durumunuz için mutlaka bir avukata danışmanız önerilir. 2026 yılı itibarıyla güncel mevzuata göre hazırlanmıştır.
