Kişisel verilerin yurt dışına aktarılması, KVKK m.9 ile düzenlenmiştir. 2024 sonrası mevzuat değişiklikleri ile Avrupa GDPR modeline yakın bir çerçeve benimsenmiştir. Bu rehber standart sözleşmeler, bağlayıcı şirket kuralları ve yeterlilik kararı mekanizmalarını inceler.
Aktarım Temel Esasları
Kanun m.9’da aktarım için; ilgili kişinin açık rızası, yeterli koruma bulunan ülke kararı, veri sorumlusunun taahhüdü ve Kurul izni gibi alternatif dayanaklar sıralanmıştır. Yeni düzenleme ile standart sözleşme (SCC) ve bağlayıcı şirket kuralları (BCR) da dahil edilmiştir.
Yeterlilik Kararı
Kurul’un ilgili ülkenin veri koruma düzeyinin yeterli olduğuna karar verdiği ülkelere aktarım bildirim ile sınırlı usulde gerçekleşir. Liste KVKK tarafından yayınlanır.
Standart Sözleşme (SCC) Kullanımı
Kurul tarafından onaylanan standart sözleşme metinleri ile aktarım yapılabilir. Sözleşme imzalandıktan sonra 5 iş günü içinde Kurul’a bildirim yapılması zorunludur.
Bağlayıcı Şirket Kuralları (BCR)
Çok uluslu şirket grupları içinde aynı grup kuruluşlarına yapılacak aktarımlar için hazırlanan ve Kurul onayına sunulan bağlayıcı düzenlemelerdir. Onay süreci detaylıdır.
Transfer Etki Değerlendirmesi (TIA)
Aktarım yapılacak ülkenin hukuki güvenceleri, devletin erişim yetkileri ve alıcıda uygulanacak teknik tedbirler değerlendirilerek belge düzenlenmelidir.
Sıkça Sorulan Sorular
ABD’ye veri aktarılabilir mi?
Aktarım için yeterlilik kararı, SCC veya BCR gibi uygun bir mekanizma kullanılmalı; açık rıza istisnaidir.
Cloud sağlayıcı kullanımı aktarım mı?
Veri yurt dışı sunucuda işleniyorsa aktarım söz konusu olabilir; hizmet sağlayıcı ile veri işleme sözleşmesi aranır.
Bildirim yapılmazsa?
SCC imzasını takip eden 5 iş günü içindeki bildirim zorunludur; aksine idari yaptırım uygulanır.
TIA belgesi zorunlu mu?
Transfer etki değerlendirmesi sorumluluk kapsamında tutulmalı ve belgelenmelidir.
Bu içerik bilgilendirme amaçlıdır ve bireysel hukuki danışmanlık yerine geçmez. Somut olayınız için bir avukatla görüşmeniz önerilir.
İlgili Yargısal Yaklaşımlar
KVKK İdari Para Cezalarına İtiraz — Yargısal Görünüm
Sulh ceza hakimlikleri ve idari yargı mercilerinin kararlarında KVKK idari para cezalarında orantılılık ilkesinin uygulanması tartışılmaktadır. Danıştay kararlarında idari yaptırımın gerekçesinin yeterli olup olmadığı, veri sorumlusunun aldığı önleyici tedbirlerin somut olarak değerlendirildiği görülmektedir. Bölge idare mahkemelerince ise VERBİS kaydı eksiklikleri ve açık rıza metnindeki kusurlar ayrı ayrı değerlendirilmektedir.
Yargısal kararların güncel ve tam metinleri için mevzuat.adalet.gov.tr veritabanından sorgulama yapılabilir. Burada özetlenen yaklaşımlar somut olayın koşullarına göre değişebilir.
Bölgenizdeki Bilişim Avukatlığı Danışmanlığı
Konuyla İlgili Video İçerikler
Bilişim hukuku, KVKK, siber suçlar ve dijital delil konularındaki anlatımlarımız için @bilalalyar YouTube kanalını takip edebilirsiniz.
Bu içerik 17 Nisan 2026 tarihinde gözden geçirilmiştir.