KVKK'DA YURT DIŞINA VERİ AKTARIMI: STANDART SÖZLEŞMEDEKİ BİR HATA ŞİRKETE 17 MİLYON TL'YE VARAN CEZA GETİREBİLİR

Giriş

Bir şirketin kullandığı e-posta sistemi, bulut depolama hizmeti, müşteri ilişkileri yönetimi yazılımı veya insan kaynakları uygulaması yurt dışında bulunuyorsa kişisel veriler fark edilmeden Türkiye dışına aktarılıyor olabilir.

Yurt dışına veri aktarımı, yalnızca müşteri listesinin yabancı bir şirkete gönderilmesinden ibaret değildir. Kişisel verilerin yurt dışındaki bir veri sorumlusu veya veri işleyene iletilmesi ya da bu kişilerin erişimine açılması da aktarım sayılabilir.

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 9'uncu maddesinde yapılan değişikliklerle yurt dışına veri aktarımı bakımından yeni bir sistem kabul edilmiş; standart sözleşmeler, şirketlerin uygun güvence sağlamak amacıyla kullanabileceği temel yöntemlerden biri hâline gelmiştir.

Ancak Kişisel Verileri Koruma Kurumu tarafından 6 Şubat 2025 tarihinde yayımlanan Kamuoyu Duyurusu, Kuruma bildirilen standart sözleşmelerde önemli hatalar yapıldığını göstermektedir.

Yanlış sözleşme türünün seçilmesi, taraflardan birinin imzasının bulunmaması, yetki belgelerinin sunulmaması veya sözleşmenin beş iş günü içinde bildirilmemesi; şirketin yurt dışına veri aktarım sürecini hukuka aykırı hâle getirebilir.

Yurt dışına veri aktarımı ne anlama geliyor?

Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik uyarınca yurt dışına aktarım; kişisel verilerin KVKK kapsamındaki bir veri sorumlusu veya veri işleyen tarafından yurt dışındaki veri sorumlusu ya da veri işleyene iletilmesi veya başka bir şekilde erişilebilir hâle getirilmesidir.

Bu nedenle aşağıdaki işlemler yurt dışına veri aktarımı oluşturabilir:

• Müşteri verilerinin yurt dışındaki bir bulut sunucusunda tutulması,

• Çalışan bilgilerinin global insan kaynakları sistemine yüklenmesi,

• Yabancı merkezli CRM veya pazarlama yazılımı kullanılması,

• Yurt dışındaki grup şirketinin Türkiye'deki çalışan verilerine erişmesi,

• Müşteri destek hizmetinin yabancı bir şirketten alınması,

• Yurt dışındaki hizmet sağlayıcının sistemlere uzaktan erişmesi,

• Türkiye'deki veri işleyenin yabancı bir alt veri işleyenden hizmet alması,

• Yabancı altyapı üzerinden toplu e-posta veya analiz hizmeti kullanılması.

Verilerin Türkiye'deki bir cihazdan silinmemiş olması veya bir örneğinin Türkiye'de tutulmaya devam edilmesi, yurt dışına aktarımın bulunmadığı anlamına gelmez. Yurt dışındaki kişinin verilere erişebilmesi de aktarım bakımından yeterli olabilir.

Şirketler aktarımı hangi hukuki sisteme göre yapabilir?

Yurt dışına kişisel veri aktarımında öncelikle KVKK'nın 5'inci veya özel nitelikli veriler bakımından 6'ncı maddesinde yer alan işleme şartlarından birinin bulunması gerekir.

Bu şartın bulunması tek başına yeterli değildir. Yurt dışına aktarım için ayrıca Kanun'un 9'uncu maddesindeki aktarım sistemine uyulmalıdır.

Sistem genel olarak üç kademeden oluşmaktadır:

1. Yeterlilik kararına dayalı aktarım

Kişisel Verileri Koruma Kurulu tarafından aktarımın yapılacağı ülke, ülke içerisindeki belirli sektör veya uluslararası kuruluş hakkında yeterlilik kararı verilmişse aktarım bu karara dayanılarak gerçekleştirilebilir.

2. Uygun güvenceye dayalı aktarım

Yeterlilik kararının bulunmadığı durumlarda Kanun'da öngörülen uygun güvencelerden biri kullanılabilir. Bunlar arasında;

• Kurul tarafından ilan edilen standart sözleşmeler,

• Kurulca onaylanan bağlayıcı şirket kuralları,

• Taahhütname hazırlanması ve Kuruldan izin alınması,

• Kamu kurumları veya meslek kuruluşları arasındaki uluslararası sözleşme niteliğinde olmayan anlaşmalar

bulunmaktadır.

Özel şirketlerin günlük faaliyetlerinde en sık başvurabileceği yöntemlerden biri standart sözleşmedir.

3. İstisnai aktarım hâlleri

Yeterlilik kararı ve uygun güvencelerden herhangi biri bulunmuyorsa Kanun'da sayılan istisnai hâllerden biri kapsamında, arızi olmak kaydıyla aktarım yapılabilir.

Ancak sürekli kullanılan bir bulut, e-posta, insan kaynakları veya müşteri yönetim sistemi kural olarak düzenli ve tekrarlanan veri aktarımı doğurur. Bu nedenle istisnai aktarım hükümlerinin, şirketlerin sürekli faaliyetlerini kapsayan genel bir çözüm gibi kullanılması hukuki risk yaratabilir.

Standart sözleşme nedir?

Standart sözleşme; kişisel verileri yurt dışına aktaran taraf ile verileri alan yurt dışındaki taraf arasında imzalanan, içeriği Kişisel Verileri Koruma Kurulu tarafından belirlenmiş model sözleşmedir.

Sözleşme ile aktarım tarafları;

• Veri koruma ilkelerine uyacaklarını,

• Gerekli teknik ve idari tedbirleri alacaklarını,

• İlgili kişilerin haklarını koruyacaklarını,

• Özel nitelikli kişisel veriler için ek önlemler uygulayacaklarını,

• Sonraki veri aktarımlarını mevzuata uygun yapacaklarını,

• Kamu makamlarının verilere erişimine ilişkin kurallara uyacaklarını

taahhüt eder.

Standart sözleşmenin imzalanması, genel bir ticari sözleşmeye KVKK maddesi eklenmesinden farklıdır. Kurul tarafından belirlenen modelin doğru türünün seçilmesi, usulüne uygun imzalanması ve süresi içinde Kuruma bildirilmesi gerekir.

Dört farklı standart sözleşmeden hangisi kullanılmalı?

Kurul, aktarım taraflarının veri sorumlusu veya veri işleyen olmasına göre dört ayrı sözleşme modeli belirlemiştir:

Standart Sözleşme–1

Türkiye'deki veri sorumlusundan yurt dışındaki veri sorumlusuna yapılan aktarımlarda kullanılır. Örneğin Türkiye'deki şirketin müşteri bilgilerini kendi amaçları için işleyecek yabancı grup şirketine aktarması bu kapsamda değerlendirilebilir.

Standart Sözleşme–2

Türkiye'deki veri sorumlusundan yurt dışındaki veri işleyene yapılan aktarımlarda kullanılır. Şirketin yurt dışındaki bir bulut hizmeti, CRM sistemi, e-posta sağlayıcısı veya bordro hizmeti kullanması bu tür aktarımın yaygın örneklerindendir.

Standart Sözleşme–3

Türkiye'deki veri işleyenden yurt dışındaki başka bir veri işleyene yapılan aktarımlarda kullanılır. Türkiye'deki yazılım veya hizmet şirketinin işleme faaliyetinin bir bölümünü yabancı bir alt veri işleyene devretmesi bu kapsamda olabilir.

Standart Sözleşme–4

Türkiye'deki veri işleyenden yurt dışındaki veri sorumlusuna yapılan aktarımlarda kullanılır. Tarafların veri işleme faaliyetindeki gerçek rolleri incelenmeden yalnızca ticari sözleşmedeki unvanlara bakılarak seçim yapılması, yanlış standart sözleşmenin kullanılmasına neden olabilir.

Kurumun tespit ettiği temel sözleşme hataları

Kişisel Verileri Koruma Kurumunun 6 Şubat 2025 tarihli Kamuoyu Duyurusunda, bildirilen sözleşmelerde karşılaşılan hatalar açıklanmıştır.

1. Taraflardan birinin imzasının bulunmaması

Standart sözleşmenin aktarım taraflarınca veya tarafları temsile yetkili kişilerce imzalanması zorunludur. Taraflardan birinin geçerli imzasının bulunmaması hâlinde sözleşme geçerli olmayacaktır. Yalnızca Türkiye'deki şirketin imzaladığı ancak yabancı hizmet sağlayıcının imzalamadığı bir metin uygun güvence oluşturmaz.

2. Türkçe metnin imzalanmaması

Sözleşme yabancı dilde de hazırlanabilir. Ancak hem veri aktaranın hem de veri alıcısının Türkçe sözleşme metni üzerinde imzası bulunmalıdır. Türkçe ve yabancı dilin çift sütun hâlinde kullanılması durumunda da tarafların Türkçe metnin bulunduğu sütunu imzalaması gerekir. Yalnızca İngilizce metnin imzalanması yeterli değildir.

3. İmza yetkisinin belgelenmemesi

Sözleşmeyi şirket adına imzalayan kişilerin temsil ve imza yetkisini gösteren belgeler Kuruma sunulmalıdır. Türkiye'deki şirket bakımından güncel ticaret sicili ve imza yetkisini gösteren belgeler; yabancı şirket bakımından ise ilgili ülke hukukuna göre hazırlanmış yetki belgeleri gerekebilir. Yabancı ülkede düzenlenen resmî belgelerin, uygulanabilir uluslararası kurallara göre apostil şerhi taşıması veya gerekli tasdik işlemlerinin tamamlanması gerekebilir.

4. Yabancı belgelerin Türkçe çevirisinin sunulmaması

Kuruma sunulacak yabancı dildeki belgelerin noter onaylı Türkçe çevirisi de bildirim dosyasına eklenmelidir. Yabancı şirketin ticaret sicili, temsil belgesi veya imza yetkisini gösteren dokümanların yalnızca yabancı dilde sunulması eksiklik oluşturabilir.

5. Sözleşmenin geçmişe yürütülmesi

Tarafların imzaları daha sonraki bir tarihte tamamlanmış olmasına rağmen sözleşmede geçmiş bir yürürlük tarihi belirlenmemelidir. Standart sözleşmenin sonradan imzalanması, geçmiş dönemde hukuki dayanak olmadan gerçekleştirilen aktarımları kendiliğinden hukuka uygun hâle getirmez.

6. Kurul metninin değiştirilmesi

Taraflar yalnızca seçimlik veya alternatif içerikli maddeler üzerinde değişiklik yapabilir. Bunun dışında Kurul tarafından yayımlanan standart metne hüküm eklenmesi, metinden hüküm çıkarılması veya maddelerin değiştirilmesi uygun güvence niteliğini ortadan kaldırabilir. Şirketler kendi ticari şartlarını ayrıca düzenleyebilir; ancak bunlar standart sözleşmenin zorunlu hükümleriyle çelişmemelidir.

Beş iş günlük bildirim süresi ne zaman başlar?

Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilmelidir.

Tarafların farklı tarihlerde imza atması durumunda, beş iş günlük süre son imza tarihinden itibaren hesaplanır. Bu nedenle imza tarihleri açık ve tereddütsüz olmalıdır.

Bildirim yükümlülüğünün hangi tarafça yerine getirileceği standart sözleşmede kararlaştırılabilir. Böyle bir belirleme yapılmamışsa bildirim kural olarak veri aktaran tarafından gerçekleştirilir.

Kurum, bildirimlerin yapılabilmesi için Standart Sözleşme Bildirim Modülü oluşturmuştur. Ancak sisteme belge yüklenmiş olması, yanlış veya eksik sözleşmenin geçerli olduğu anlamına gelmez.

Bildirim yapılmazsa ne kadar ceza uygulanabilir?

KVKK'nın 18'inci maddesi uyarınca standart sözleşmenin beş iş günü içinde bildirilmemesi hâlinde veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında idari para cezası uygulanabilir.

Yeniden değerleme sonucunda 2026 yılı için bu ceza 90.308 TL ile 1.806.377 TL arasındadır.

Ancak şirketin riski yalnızca bildirim cezasıyla sınırlı değildir. Sözleşmenin geçersiz olması veya aktarım için uygun bir hukuki dayanak bulunmaması hâlinde;

• Hukuka aykırı veri aktarımının durdurulması,

• Aktarılan verilerin silinmesi veya geri getirilmesi,

• Veri güvenliği yükümlülüğünün ihlali nedeniyle ayrıca yaptırım,

• İlgili kişi başvuruları ve şikâyetleri,

• Sözleşmesel sorumluluk,

• Şirket itibarının zarar görmesi

gibi sonuçlar ortaya çıkabilir.

KVKK kapsamında veri güvenliği yükümlülüklerinin ihlali için 2026 yılında uygulanabilecek idari para cezası 256.357 TL'den 17.092.242 TL'ye kadar çıkabilmektedir. Her somut olay kendi koşulları içinde ayrıca değerlendirilir.

Şirketler hangi sistemleri kontrol etmeli?

Yurt dışına veri aktarımı envanteri hazırlanırken yalnızca ana sunucuların bulunduğu ülkeye bakılmamalıdır.

Aşağıdaki sistemler ayrıca incelenmelidir:

• Kurumsal e-posta,

• Bulut depolama,

• CRM ve satış yazılımları,

• İnsan kaynakları ve bordro sistemleri,

• Çevrim içi toplantı uygulamaları,

• Müşteri destek ve çağrı merkezi sistemleri,

• İnternet sitesi analiz araçları,

• Çerez ve reklam teknolojileri,

• Toplu e-posta gönderim hizmetleri,

• Yedekleme sistemleri,

• Güvenlik ve log izleme hizmetleri,

• Yabancı grup şirketlerinin erişimleri,

• Hizmet sağlayıcıların alt veri işleyenleri.

Bir hizmet sağlayıcının Türkiye'de şirket kurmuş olması, verilerin mutlaka Türkiye'de tutulduğu anlamına gelmez. Sözleşme, sunucu konumu, alt hizmet sağlayıcılar ve uzaktan erişim yetkileri birlikte incelenmelidir.

Proaktif uyum için yapılması gerekenler

Şirketlerin yurt dışına veri aktarım süreçlerinde aşağıdaki adımları izlemesi gerekir:

1. Aktarım envanteri çıkarılmalı

Hangi kişisel verilerin, hangi ülkeye, hangi alıcıya, hangi amaçla ve hangi sistem üzerinden aktarıldığı belirlenmelidir.

2. Tarafların rolleri tespit edilmeli

Veri aktaran ve veri alıcısının veri sorumlusu mu yoksa veri işleyen mi olduğu somut faaliyet üzerinden değerlendirilmelidir.

3. Aktarım mekanizması seçilmeli

Yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları, taahhütname veya istisnai aktarım seçeneklerinden hangisinin uygulanabileceği belirlenmelidir.

4. Doğru standart sözleşme kullanılmalı

Dört model arasından tarafların rollerine uygun sözleşme seçilmeli ve Kurul metninde izinsiz değişiklik yapılmamalıdır.

5. İmza ve yetki belgeleri tamamlanmalı

Türkçe metin taraflarca geçerli şekilde imzalanmalı; imza yetkileri ile yabancı belgelerin apostil, tasdik ve tercüme işlemleri kontrol edilmelidir.

6. Beş iş günlük süre takip edilmeli

Son imza tarihinden itibaren bildirim süresi şirketin hukuki uyum takvimine işlenmelidir.

7. Sonraki aktarımlar kontrol edilmeli

Yabancı hizmet sağlayıcının verileri başka ülkelerdeki alt veri işleyenlere aktarıp aktarmadığı belirlenmelidir. İlk alıcıyla sözleşme yapılması, sonraki aktarımları denetleme sorumluluğunu tamamen ortadan kaldırmaz.

8. Belgeler güncel tutulmalı

Hizmet sağlayıcı, sunucu ülkesi, veri kategorisi veya işleme amacı değiştiğinde aktarım düzeni yeniden değerlendirilmelidir.

Sonuç olarak

Yurt dışına veri aktarımı, yalnızca uluslararası şirketlerin karşılaştığı özel bir konu değildir. Yabancı e-posta, bulut, CRM, insan kaynakları veya analiz hizmeti kullanan pek çok şirket farkında olmadan bu düzenlemelerin kapsamına girebilir.

Standart sözleşmenin yalnızca imzalanması da yeterli değildir. Doğru modelin seçilmesi, Türkçe metnin geçerli şekilde imzalanması, temsil yetkisinin belgelenmesi, yabancı belgelerin usulüne uygun sunulması ve sözleşmenin beş iş günü içinde Kuruma bildirilmesi gerekir.

Proaktif hukuki koruma; veri aktarımı tespit edildikten veya Kurumdan yazı geldikten sonra belge hazırlamak değil, şirketin kullandığı bütün dijital hizmetleri önceden haritalandırarak hukuki aktarım mekanizmasını faaliyetten önce kurmaktır.

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır. Her veri aktarımı; tarafların rolleri, veri kategorileri, aktarımın sürekliliği, alıcı ülke ve kullanılan teknolojik altyapı dikkate alınarak ayrıca değerlendirilmelidir.

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır. Her veri aktarımı; tarafların rolleri, veri kategorileri, aktarımın sürekliliği, alıcı ülke ve kullanılan teknolojik altyapı dikkate alınarak ayrıca değerlendirilmelidir.

Kaynaklar: KVKK – 6 Şubat 2025 tarihli Standart Sözleşmelerde Dikkat Edilmesi Gereken Hususlara İlişkin Kamuoyu Duyurusu, KVKK – Yurt Dışına Veri Aktarılması Rehberi, KVKK – Standart sözleşmeler, KVKK – 2026 idari para cezası tutarları