Yurt Dışına Kişisel Veri Aktarımı KVKK Rehberi 2026

Kişisel verilerin yurt dışına aktarılması, KVKK m.9 ile düzenlenmiştir. 2024 sonrası mevzuat değişiklikleri ile Avrupa GDPR modeline yakın bir çerçeve benimsenmiştir. Bu rehber standart sözleşmeler, bağlayıcı şirket kuralları ve yeterlilik kararı mekanizmalarını inceler.

Aktarım Temel Esasları

Kanun m.9 (7499 sayılı Kanunla değişik) kademeli bir sistem kurar: önce yeterlilik kararı (m.9/1-2), karar yoksa uygun güvenceler (m.9/4: kamu kurumları arası anlaşma, Kurulca onaylı bağlayıcı şirket kuralları, standart sözleşme, taahhütname ve Kurul izni), bunlar da yoksa yalnızca arızi olmak kaydıyla açık rıza gibi istisnalar (m.9/6). Standart sözleşme (SCC) ve Kurulca onaylı bağlayıcı şirket kuralları (BCR) uygun güvence olarak m.9/4’te yer alır.

Yeterlilik Kararı

Yeterlilik kararı Kurul tarafından verilir ve Resmî Gazete’de yayımlanır; karar bulunan ülke, sektör veya uluslararası kuruluşa, 5. ve 6. maddedeki şartlardan birinin varlığı halinde ayrıca izin veya bildirim aranmaksızın aktarım yapılabilir. Yeterlilik kararları Resmî Gazete’de yayımlanır (m.9/2).

Standart Sözleşme (SCC) Kullanımı

Kurul tarafından onaylanan standart sözleşme metinleri ile aktarım yapılabilir. Sözleşme imzalandıktan sonra 5 iş günü içinde Kurul’a bildirim yapılması zorunludur.

Bağlayıcı Şirket Kuralları (BCR)

Çok uluslu şirket grupları içinde aynı grup kuruluşlarına yapılacak aktarımlar için hazırlanan ve Kurul onayına sunulan bağlayıcı düzenlemelerdir. Onay süreci detaylıdır.

Transfer Etki Değerlendirmesi (TIA)

Aktarım yapılacak ülkenin hukuki güvenceleri, devletin erişim yetkileri ve alıcıda uygulanacak teknik tedbirler değerlendirilerek belge düzenlenmelidir.

Sıkça Sorulan Sorular

ABD’ye veri aktarılabilir mi?

Aktarım için yeterlilik kararı, SCC veya BCR gibi uygun bir mekanizma kullanılmalı; açık rıza istisnaidir.

Cloud sağlayıcı kullanımı aktarım mı?

Veri yurt dışı sunucuda işleniyorsa aktarım söz konusu olabilir; hizmet sağlayıcı ile veri işleme sözleşmesi aranır.

Bildirim yapılmazsa?

SCC imzasını takip eden 5 iş günü içindeki bildirim zorunludur; aksine idari yaptırım uygulanır.

TIA belgesi zorunlu mu?

Transfer etki değerlendirmesi sorumluluk kapsamında tutulmalı ve belgelenmelidir.

Bu içerik bilgilendirme amaçlıdır ve bireysel hukuki danışmanlık yerine geçmez. Somut olayınız için bir avukatla görüşmeniz önerilir.

Bu içerik 17 Nisan 2026 tarihinde gözden geçirilmiştir.