KVKK Yurt Dışına Veri Aktarımı 2026 (Madde 9): Standart Sözleşme ve Bildirim Süresi

Kişisel verilerin yurt dışına aktarımı, yabancı bir bulut hizmeti, e-posta altyapısı, CRM yazılımı veya grup şirketiyle veri paylaşılması gibi günlük ticari işlemlerde de gündeme gelebilir. 6698 sayılı Kanun’un 9. maddesi uyarınca aktarımın hangi hukuki yönteme dayandığı, veri kategorileri, alıcının konumu ve aktarım şartları belirlenmelidir. Uygulanabilir yöntem olarak Kurulun yayımladığı standart sözleşmenin seçilmesi hâlinde, sözleşmenin usulüne uygun kurulması ve beş iş günü içinde Kuruma bildirilmesi önem taşır. Ancak her yurt dışı aktarımın tek yolu standart sözleşme değildir. Şirketin aktarım sonrası veri güvenliği ve ilgili kişilere karşı yükümlülükleri devam eder.

📅 Son güncelleme: 21 Ekim 2026

Yurt dışına aktarım hangi işlemleri içerir?

6698 sayılı Kanun’un 9. maddesi, kişisel verinin yurt dışındaki alıcıya aktarılmasına ilişkin koşulları belirler. Bulut sunucu, yabancı yazılım sağlayıcısı, insan kaynakları platformu veya grup şirketiyle veri paylaşımı bu çerçevede incelenebilir. Yalnız şirketin merkezinin Türkiye’de bulunması, kullandığı bütün veri işleme altyapısının Türkiye’de olduğu anlamına gelmez. Hangi verilerin kime, hangi amaçla ve hangi hukuki dayanakla aktarıldığı bir veri akış şemasında gösterilmelidir.

Veri aktarımı hangi durumda yurt dışına aktarım sayılır?

Şirketin yabancı bir bulut hizmeti kullanması, uzaktan erişim sağlanması veya grup şirketindeki personele müşteri kayıtlarının açılması somut veri akışına göre yurt dışına aktarım meselesi doğurabilir. Yalnız hizmet sağlayıcının faturasının Türkiye’den kesilmesi ya da verinin bir sunucuda şifreli tutulması hukuki incelemeyi ortadan kaldırmaz. Hangi kişisel verinin kimden kime ve hangi amaçla aktarıldığı, alıcının veri sorumlusu veya veri işleyen sıfatı ve veri kategorileri öncelikle belirlenir. KVKK m.9 kapsamında uygun aktarım yolunun seçilebilmesi için önce m.5 veya m.6’da geçerli işleme şartı bulunması gerekir. Aktarım için seçilecek mekanizma, hukuka uygun ilk veri işleme şartının yerine geçmez.

2024 sonrası yeni madde 9 sistemi

KVKK m.9 kapsamında uygun güvence olarak kullanılan standart sözleşmelerde Kurumun yayımladığı metinler esas alınır. Standart sözleşmenin imzalarının tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekir; beş günün başlangıcını ilk tarafın imzası olarak kabul etmek hatalı süre hesabına yol açabilir. Veri aktaran ve veri alıcının sıfatlarına göre Kurum tarafından yayımlanan dört standart sözleşme tipinden uygun olanı seçilmelidir. Bu mekanizmanın kullanılması, veri aktarımının bütün diğer işleme şartlarını, aydınlatma yükümlülüğünü veya veri güvenliği tedbirlerini ortadan kaldırmaz.

Aktarımın hukuki tarafları doğru tanımlanmalı

Yabancı bir bulut servisinden yararlanmak her durumda aynı standart sözleşmenin kullanılacağı anlamına gelmez. Türkiye’deki şirketin veri sorumlusu mu veri işleyen mi olduğu, yabancı hizmet sağlayıcının talimatla mı yoksa kendi amaçları için mi veri işlediği belirlenmelidir. Alt işleyen kullanan büyük platformlarda veriye fiilen kimlerin erişebileceği ve alt aktarım zinciri ayrıca araştırılır. Standart sözleşmenin doğru tipini seçmek, bütün eklerinin gerçek veri akışını yansıtmasını sağlamak ve tarafların imza yetkisini belgelemek birlikte gerekir.

7499 sayılı Kanunla değişen ve 1 Haziran 2024 tarihinde yürürlüğe giren düzenleme, yeterlilik kararı, uygun güvenceler ve kanunda belirtilen arızi hâller arasında kademeli bir sistem kurar. Açık rıza, her sürekli yurt dışı aktarım için sınırsız ve tek alternatif olarak görülmemelidir. Aktarımın sürekliliği, ilgili kişinin veri türü ve alıcı ülkenin koşulları önemlidir. Hangi yasal yöntemin seçildiği, sözleşme ve teknik tedbirlerle uyumlu olmalıdır.

Doğru standart sözleşme nasıl seçilir?

Kurul tarafından veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna aktarım için ayrı standart sözleşmeler yayımlanmıştır. Dolayısıyla şirketin yurt dışındaki CRM hizmet sağlayıcısı ile müşteri grubuna veri paylaşımını aynı sözleşme modülüyle yürütmesi uygun olmayabilir. Veri işleme rollerinin sözleşmedeki fiilî hak ve yükümlülüklerle örtüşmesi gerekir. Aktarılacak veriler, amaç, saklama süresi, teknik önlemler ve alt işleyenler uygun eklerde gösterilmelidir. Standart metnin taraflarca keyfi değiştirilmesi veya imza yetkililerinin belgelenmemesi, sözleşmenin geçerliliği ve bildirimi bakımından sorun çıkarabilir.

Yurt dışındaki hizmet sağlayıcının rolü aktarım yöntemini değiştirir mi?

Bir Türk şirketinin yabancı bulut altyapısı, CRM, e-posta veya insan kaynakları yazılımı kullanması kişisel verilerin yurt dışına aktarılması tartışması doğurabilir. Hizmet sağlayıcı her olayda aynı sıfatla veri işlemez; bazen veri işleyen, bazen bağımsız veri sorumlusu olarak hareket edebilir. Bu rol ayrımı yapılmadan standart sözleşmenin yanlış tipinin seçilmesi aktarım güvencesinin kapsamını zayıflatabilir. Şirket, önce hangi veri kategorilerinin hangi ülkedeki alıcıya gönderildiğini, alıcının işlemi kimin talimatıyla yürüttüğünü ve aktarımın sürekliliğini ortaya koymalıdır. Yalnız sözleşmenin adının ‘KVKK uyumlu’ olması hukuki şartların yerine getirildiğini kanıtlamaz.

Standart sözleşme yöntemi kullanılıyorsa Kurumun yayımladığı uygun metin üzerinde yapılabilecek değişiklikler ve taraf imzalarının tamamlanması dikkatle kontrol edilmelidir. İmzalanan sözleşmenin beş iş günü içinde bildirilmesi ayrıca bir yükümlülüktür; bildirimin yapılması, veri işleme faaliyetinin bütün yönleriyle hukuka uygun olduğu anlamına gelmez. Aydınlatma, veri minimizasyonu, saklama süresi ve erişim güvenliği aktarım ilişkisinde de devam eder. Sağlık veya finans gibi hassas veri türlerinde aktarımın zorunluluğu ve uygun güvence yöntemi daha dikkatli açıklanmalıdır.

Bu konuyla bağlantılı ayrıntılar için KVKK güvenlik kamerası ve KVKK başvurusuna cevap yazılarında ilgili özel koşullar ayrıca açıklanmaktadır.

6698 m.9 kapsamında standart sözleşmelerin dört farklı taraf kombinasyonu için hazırlanmış resmi türleri vardır. Her iki tarafın usulüne uygun imzaları tamamlandıktan sonraki beş iş günü içinde Kuruma bildirim yapılmalıdır. Kurum, yetkili imzacı belgeleriyle sözleşmenin taraf ve tarih bilgilerinin tutarlılığına özellikle dikkat çekmektedir.

Standart sözleşmenin kapsamı

KVKK Kurulu tarafından dört ayrı aktarım ilişkisi için standart sözleşme metinleri yayımlanmıştır. Veri sorumlusundan veri sorumlusuna veya veri işleyene; veri işleyenden veri sorumlusuna ya da veri işleyene aktarım ilişkileri farklı metin gerektirebilir. Metinlerin gelişigüzel değiştirilmesi, geçerli imzaların bulunmaması veya tarafların rolünün yanlış belirlenmesi uygunsuzluk doğurabilir. Türkçe metnin ve imza yetkilerinin tamamlanması da Kurumun açıklamalarında ayrıca vurgulanır.

Yurt dışı veri aktarımında rol ve veri akış haritası

Bu konuda ilk olarak veri akış haritası, tarafların yetki belgeleri, imzalı Türkçe standart sözleşme, beş iş günü bildirim kaydı karşılaştırılmalıdır.

İmza yetkisi, değişiklikler ve aktarım sonrası uyum

Standart sözleşmenin Türkçe metni usulüne uygun imzalanmalı; imza yetki belgeleri ve gerekli diğer evrak tamamlanmalıdır. Bildirim takvimi ilk taslak tarihine veya iç onay gününe göre değil kanunun aradığı imza ve bildirim koşullarına göre oluşturulmalıdır. Sözleşme sonradan esaslı biçimde değişiyorsa bu değişikliğin aktarım yöntemine etkisi değerlendirilir. Veri minimizasyonu, saklama ve silme yükümlülükleri aktarım mekanizması kurulduktan sonra da devam eder.

Bulut hizmetinde ‘aktarım’ ile ‘uzaktan erişim’ ilişkisi

Veriler Türkiye’deki bir şirket tarafından toplanıp yabancı bulut sağlayıcısının sistemlerinde tutuluyorsa aktarım sorusu ortaya çıkabilir; yalnızca sözleşmede ‘sunucu Türkiye’de’ yazması her erişim senaryosunu çözmez. Sağlayıcının yurt dışındaki destek ekibinin verilere erişip erişmediği, alt işleyenler, aktarılan veri kategorileri ve teknik tedbirler fiilî veri akışıyla birlikte incelenmelidir. Veri sorumlusu ve veri işleyen sıfatının yanlış belirlenmesi, uygun standart sözleşme tipinin seçimini etkileyebilir.

Örneğin bir CRM sağlayıcısı Avrupa’daki sunucuda müşteri verisi saklıyor ve başka ülkedeki destek birimi gerektiğinde kayıtlara erişiyor olsun. İki farklı aktarım ve alt işleme olasılığı sözleşme ile teknik mimariye birlikte bakılarak değerlendirilir. Standart sözleşmenin beş iş günü içinde Kuruma bildirilmesi de ayrı bir yükümlülüktür; imzalanan belgenin dosyada bulunması bildirimin yapıldığını kendiliğinden göstermez. Veri işleme envanteri, aktarım haritasıyla tutarlı tutulmalıdır.

Beş iş günü bildiriminde sık hata

KVKK m.9 kapsamında kullanılan standart sözleşmenin imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekir. Her iki tarafın imza tarihi ve temsil yetkisi belgelerde açık değilse sürenin doğru hesaplanması ve bildirimin geçerliliği tartışmalı hâle gelebilir. Bildirim fiziki yolla, KEP veya Kurumun belirlediği elektronik modül üzerinden gerçekleştirilebilir. Dış hizmet sağlayıcının yalnız taranmış imza görseli göndermesi ve yetki belgelerinin bulunmaması yeterli kabul edilmeyebilir. Şirketler sözleşme dosyasında Türkçe resmi metin, ekler, tarafların imza tarihleri, yetki belgeleri ve Kurum bildirim kanıtını birlikte saklamalıdır. Bildirim yükümlülüğü yerine getirildikten sonra yeni alt işleyenlerin eklenmesi gibi değişiklikler ayrıca değerlendirilmelidir.

Aktarım sonrası yükümlülükler devam eder

Standart sözleşmenin imzalanıp bildirilmesi, alıcının verileri istediği süre boyunca sınırsız kullanabileceği anlamına gelmez. Veri güvenliği, amaca bağlılık, minimizasyon ve ilgili kişinin haklarına yanıt verme yükümlülükleri devam eder. Yurt dışı hizmet sağlayıcısı başka ülkelerdeki alt işlemcilere erişim veriyorsa sonraki aktarımların şartları araştırılmalıdır. Hizmet sona erdiğinde kişisel verilerin iadesi veya silinmesi, erişim yetkilerinin kapatılması ve ihlal bildirimi prosedürleri sözleşme içinde açık olmalıdır. Bulut CRM, bordro sistemi veya müşteri destek yazılımında fiilen yapılan veri akışıyla hukuki belgelerin içerikleri yılda bir kez değil iş modelindeki önemli her değişiklikte kontrol edilmelidir.

Aktarım sonrasında denetim ve sözleşme yönetimi

Veri aktaran şirket yalnız sözleşmeyi imzalayıp dosyaya kaldırmamalıdır. Alıcı ülke ve hizmet sağlayıcısındaki değişiklikler, alt işleyenler, teknik güvenlik önlemleri, saklama süreleri ve silme talepleri periyodik olarak denetlenmelidir. Aktarım envanteri ile aydınlatma metnindeki alıcı grupları tutarlı olmalıdır. Veri ihlali veya yeni üçüncü taraf tedarikçi devreye girdiğinde mevcut güvence yönteminin yeterli olup olmadığı yeniden gözden geçirilmelidir.

Standart sözleşmenin eki boş bırakılmamalı

Tarafların adlarının yazılması yeterli değildir; aktarılan veri grupları, işleme amacı, korunma tedbirleri, özel nitelikli veri varsa ek güvenceler ve alıcının sorumlulukları doğru açıklanmalıdır. Örneğin insan kaynakları verilerinin bordro için aktarılması ile müşteri davranış verisinin reklam ölçümü için aktarılması aynı amaç değildir. Uygun modül seçilmiş olsa bile eklerin boş bırakılması sözleşmenin fiilî veri akışını yansıtmamasına yol açabilir. İmzalanan nüsha, ekler ve bildirim kaydı tek dosyada saklanmalıdır.

Alt işleyenlerin kullanılması

Yurt dışındaki hizmet sağlayıcısı aynı kişisel verileri başka bulut altyapısına veya destek merkezine açabilir. Bu sonraki aktarımlar sözleşme hükümlerine, aydınlatmaya ve ilgili mevzuata göre değerlendirilmelidir. Şirket, hizmet sağlayıcının alt işleyen listesini ve işleme yerlerini izlemeli, yeni alt işleyen eklenmesi durumunda sözleşme güncelleme ve bildirim gerekip gerekmediğini kontrol etmelidir. Sözleşmenin teknik önlemleri yalnız ana hizmet sağlayıcıya uygulanıyorsa üçüncü taraf erişimleri görünmez hâle gelebilir. Veri akış haritası bu nedenle güncel tutulmalıdır.

Bulut hizmeti sona ererse

Şirket başka CRM sağlayıcısına geçtiğinde eski sağlayıcının verileri hangi sürede ve nasıl sileceği sözleşmeden anlaşılmalıdır. Yedeklerde tutulan kopyalar, hizmet bitimindeki hesap erişimi ve yeni sağlayıcıya aktarım sırasında geçici çoğaltmalar ayrı riskler yaratır. İlgili kişilere verilen aydınlatma açıklaması, işleme amaçları değişiyorsa yenilenebilir. Aynı güvence mekanizmasını sözleşme bitiminden sonra her yeni alıcıya otomatik uygulamak doğru değildir. Yeni hizmet sağlayıcı için aktarımdaki roller ve seçilecek hukuki dayanak yeniden kontrol edilmelidir.

Bulut sisteminde yurt dışına aktarım üç biçimde gerçekleşebilir

Veri yabancı CRM sunucusunda tutuluyor

Depolamanın fiilî yeri, alıcının veri sorumlusu veya işleyen rolü ve aktarım amacı belirlenir. Uygun standart sözleşme türünün seçimi bu ilişkiye bağlıdır.

Sunucu Türkiye’de, destek ekibi yurt dışında

Verinin dışarıdaki kişilerin erişimine açılıp açılmadığı ayrıca incelenir. Yalnız sunucu coğrafyasına bakılarak yurt dışı aktarım yükümlülüğü kesin biçimde dışlanmaz.

Tedarikçi yeni alt işleyen kullanıyor

Aktarım zinciri, sözleşme ekleri ve sonraki aktarımlara ilişkin koşullar yeniden değerlendirilir. İlk standart sözleşmenin varlığı bütün sonraki veri erişimlerini sınırsız hukuka uygun kılmaz.

Örnek: Yurt dışı bulut CRM sözleşmesi

Türkiye’deki şirket yabancı CRM tedarikçisiyle kişisel veri aktarımı yapacaktır. Tarafların veri sorumlusu/veri işleyen rolleri belirlenmeden standart sözleşme seçilmez. Türkçe metin ve imza yetkileri tamamlanır; son imzayı izleyen beş iş günü içinde bildirim yapılır. Sözleşme arşivi, aktarım envanteri ve alt hizmet sağlayıcılar birlikte kontrol edilir.

İkinci örnek: CRM sağlayıcısının alt işleyeni

Türkiye’deki üretici şirket, müşteri verilerini yabancı CRM firmasına aktarıyor; sağlayıcı ise müşteri desteği için üçüncü ülkedeki başka şirkete erişim açıyor olsun. İlk sözleşmenin hazırlanması sırasında yalnız ana sağlayıcının adı yazılmışsa alt işleyen ilişkisi ve aktarım zinciri eksik değerlendirilmiş olabilir. Veri kategorileri, işleme amaçları, erişim ülkeleri, teknik tedbirler ve alt işleyen sözleşmeleri birlikte incelenir. Uygun aktarım dayanağı belirlenmeden sırf sunucu lokasyonu üzerinden güvenli bir sonuç verilemez.

Yurt dışına aktarımda ilk adım veri akışı: Müşteri bilgisi hangi sistemden çıkıyor, hangi ülkede işleniyor, yurt dışındaki kimler erişebiliyor ve hizmet sağlayıcı hangi alt işleyenlerden yararlanıyor? Bu sorular cevaplanmadan yalnız ‘standart sözleşme imzaladık’ denmesi fiilî aktarımın tamamını kapsamayabilir. Sözleşme türü tarafların veri sorumlusu/veri işleyen sıfatına uygun seçilmelidir.

Verilerin yurt dışına aktarımında şirketin genel KVKK uyum yükümlülükleri ve aykırılık hâlindeki idari para cezasına karşı başvuru yolları da önem taşır.

Sık Sorulan Sorular

Standart sözleşmeyi imzalamak tek başına yeterli mi?

Hayır. Uygun sözleşme türü, kanuni aktarım koşulları ve imzadan itibaren beş iş günü içinde Kuruma bildirim dâhil yükümlülükler değerlendirilmelidir. Hangi tarafın veri sorumlusu veya veri işleyen olduğu, aktarımın dayanağı ve beş iş günü bildirim yükümlülüğü imza sürecinde birlikte kontrol edilmelidir.

Standart sözleşme bildirimi kaç iş günü?

İmzaların tamamlanmasından itibaren beş iş günüdür. Süreyi hesaplarken yalnız ilk tarafın değil bütün gerekli imzaların tamamlandığı tarih esas alınır. Bildirimin yetkili sistem ve usulle yapılıp yapılmadığı, imza yetkileri ve standart sözleşme metnine eklenen değişiklikler de ayrı kontrol edilir.

Standart sözleşme metni değiştirilebilir mi?

Kurulun yayımladığı standart metinlerin kullanım koşullarına uyulmalıdır; gelişigüzel değişiklik ciddi uygunluk riski doğurur. Kurulun yayımladığı standart sözleşme metninin zorunlu bölümleri korunmalı; farklı bir hüküm gerekliyse bunun sözleşme sistemiyle uyumu ayrıca değerlendirilmelidir.

Yurt dışındaki bulut hizmeti mutlaka aktarım mıdır?

Bulut hizmetinin teknik ve hukuki yapısına göre değerlendirme gerekir. Verinin hangi ülkede tutulduğu kadar, yurt dışındaki destek ekibinin veya alt işleyenin verilere erişip erişemediği de önemlidir. Sözleşme metnindeki sunucu adresi tek başına fiilî aktarım haritası değildir.

Açık rıza her aktarıma yeter mi?

Hayır. Aktarımın düzenlilik durumu ve 6698 m.9’daki özel koşullar ayrıca değerlendirilir. Veri sorumlusu–veri işleyen rolleri, imza tarihi ve Kuruma yapılan bildirimin kayıt numarası birlikte kontrol edilmelidir.

Sonuç

Yurt dışına veri aktarımında asıl başarı, doğru standart sözleşmeyi imzalayıp beş iş gününde bildirmekten de öte, gerçek veri akışının sözleşme, envanter ve güvenlik tedbirleriyle tutarlı olmasını sağlamaktır.

Yurt dışına veri aktarımı denetiminde ilk adım hangi verinin hangi ülkedeki hangi sağlayıcı tarafından ne şekilde işlendiğini haritalamaktır. Tarafların veri sorumlusu/veri işleyen rolleri, uygun aktarım yöntemi, standart sözleşmenin imza ve bildirim süreci, alt işleyenler ve sözleşme bitimindeki veri işlemleri aynı kapsamda ele alınmalıdır.

Hukuki Uyarı

Bu içerik genel hukuki bilgilendirme amacıyla hazırlanmıştır. Somut olayın tarihi, tarafların sıfatı, deliller ve yürürlükteki özel düzenlemeler hukuki sonucu değiştirebilir. Başvuru süresi ve görevli merci somut işlem belgeleri üzerinden ayrıca kontrol edilmelidir.