Hızlı Özet
Kişisel verilerin yurt dışına aktarımı, Türkiye’deki bir veri sorumlusu veya veri işleyen tarafından kişisel verilerin yurt dışındaki bir veri sorumlusu ya da veri işleyene aktarılması anlamına gelir. Google Workspace, Microsoft 365, CRM sistemleri, yurt dışı sunucular ve bazı bulut yazılımlar bu kapsamda dikkatle değerlendirilmelidir. Standart sözleşme, yeterlilik kararının bulunmadığı durumlarda başvurulabilecek uygun güvence yöntemlerinden biridir. Standart sözleşme imzalanırsa, imzaların tamamlanmasından itibaren 5 iş günü içinde Kişisel Verileri Koruma Kurumuna bildirim yapılması gerekir. Bu nedenle şirketlerin önce hangi verilerin hangi yazılım üzerinden, hangi ülkeye, hangi taraf sıfatlarıyla aktarıldığını tespit etmesi gerekir.
Yurt Dışına Veri Aktarımı Sürecinizi Birlikte Değerlendirelim
Google Workspace, Microsoft 365, CRM, yurt dışı sunucu veya bulut yazılım kullanıyorsanız, bu sistemlerdeki kişisel veri aktarım süreçlerinin KVKK bakımından ayrıca incelenmesi gerekir. Yurt dışına veri aktarımı süreçlerinizi KVKK danışmanlığı kapsamında birlikte değerlendirebiliriz.
- Kişisel Verilerin Yurt Dışına Aktarımı Nedir?
- Yurt Dışına Veri Aktarımında Değerlendirme Sırası Nasıl Olmalıdır?
- Standart Sözleşme Ne Zaman Gündeme Gelir?
- Aktarım Tarafları Nasıl Belirlenir?
- 5 İş Günü Bildirimi Hangi Hallerde Yapılır?
- Bulut Yazılımlar ve Yurt Dışına Veri Aktarımı Nasıl Değerlendirilir?
- Uygulamada Dikkat Edilmesi Gerekenler
- Sık Yapılan Hatalar
- Sık Sorulan Sorular (SSS)
- Resmi Kaynaklar
- İlgili Rehberler
Kişisel Verilerin Yurt Dışına Aktarımı Nedir?
Kişisel verilerin yurt dışına aktarımı, kişisel verilerin Türkiye’deki bir veri sorumlusu veya veri işleyen tarafından yurt dışındaki bir veri sorumlusu ya da veri işleyene aktarılmasıdır.
Bu aktarım yalnızca klasik anlamda dosya gönderme şeklinde ortaya çıkmaz. Bir şirketin çalışan, müşteri, tedarikçi, aday çalışan, kullanıcı veya üye verilerini yurt dışı sunucularda çalışan bir yazılım sistemine kaydetmesi de yurt dışına aktarım değerlendirmesini gündeme getirebilir.
Örneğin şu işlemler ayrıca incelenmelidir:
- Şirket e-postalarının Google Workspace veya Microsoft 365 üzerinde tutulması
- Müşteri bilgilerinin yurt dışı merkezli CRM sisteminde saklanması
- İnsan kaynakları dosyalarının yabancı bulut depolama alanına yüklenmesi
- Web sitesi formlarının yurt dışındaki sunucularda barındırılması
- Yedekleme sistemlerinin yurt dışı veri merkezlerinde tutulması
- Yazılım sağlayıcının kişisel verilere yurt dışından erişebilmesi
Burada önemli olan yalnızca firmanın hangi yazılımı kullandığı değildir. Kişisel verinin nerede tutulduğu, kim tarafından erişilebilir olduğu, hangi amaçla işlendiği ve aktarım taraflarının veri sorumlusu mu yoksa veri işleyen mi olduğu birlikte değerlendirilmelidir.
Yurt Dışına Veri Aktarımında Değerlendirme Sırası Nasıl Olmalıdır?
Yurt dışına veri aktarımı yapılmadan önce süreç belirli bir sırayla incelenmelidir. İlk aşamada aktarılacak verinin kişisel veri olup olmadığı belirlenmelidir. Ardından bu verinin işlenmesi için Kanunun 5. veya 6. maddesinde yer alan işleme şartlarından birinin bulunup bulunmadığı değerlendirilmelidir.
Yurt dışına aktarım bakımından genel değerlendirme sırası şu şekildedir:
- Aktarılan veri kişisel veri mi?
- Aktarılan veri özel nitelikli kişisel veri içeriyor mu?
- Aktarım için Kanunun 5. veya 6. maddesinde yer alan işleme şartlarından biri var mı?
- Aktarım yapılacak ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı var mı?
- Yeterlilik kararı yoksa uygun güvencelerden biri sağlanabiliyor mu?
- Uygun güvence olarak standart sözleşme kullanılacaksa doğru sözleşme tipi seçildi mi?
- Standart sözleşme imzalandıktan sonra 5 iş günü içinde Kuruma bildirim yapılacak mı?
- Aktarım envantere, aydınlatma metinlerine, tedarikçi sözleşmelerine ve teknik-idari tedbirlere yansıtıldı mı?
Bu sıra izlenmeden yalnızca “program yurt dışı menşeli mi?” sorusuna bakmak yeterli değildir. Aynı yazılım farklı şirketlerde farklı kişisel veri kategorileri, farklı erişim yetkileri ve farklı aktarım senaryoları doğurabilir.
Standart Sözleşme Ne Zaman Gündeme Gelir?
Standart sözleşme, yurt dışına kişisel veri aktarımında kullanılabilecek uygun güvence yöntemlerinden biridir. Yeterlilik kararının bulunmadığı durumlarda, Kanunun aradığı diğer şartlar da mevcutsa taraflar standart sözleşme yöntemini değerlendirebilir.
Ancak standart sözleşme, her yurt dışı bağlantılı yazılım kullanımında otomatik olarak “tek çözüm” değildir. Önce aktarımın gerçekten yurt dışına kişisel veri aktarımı niteliğinde olup olmadığı, sonra aktarım taraflarının sıfatı ve aktarımın hukuki zemini belirlenmelidir.
Standart sözleşme özellikle şu durumlarda gündeme gelebilir:
- Türkiye’deki şirketin kişisel verileri yurt dışındaki yazılım sağlayıcısına aktarması
- Yurt dışı merkezli CRM, e-posta, insan kaynakları veya bulut depolama sistemlerinin kullanılması
- Kişisel verilerin yurt dışındaki veri merkezlerinde saklanması
- Yurt dışındaki destek ekibinin kişisel verilere erişebilmesi
- Veri işleyen konumundaki hizmet sağlayıcının verileri yurt dışındaki alt işleyenlere aktarması
- Grup şirketleri arasında düzenli kişisel veri aktarımı yapılması
Standart sözleşme kullanılacaksa Kurum tarafından yayımlanan metinlerden, aktarım taraflarının sıfatına uygun olan sözleşme türü seçilmelidir.
Tablo: Standart Sözleşme Türleri
| Standart Sözleşme Türü | Aktarım Senaryosu | Uygulama Örneği |
|---|---|---|
| SS-1 | Veri sorumlusundan veri sorumlusuna aktarım | Türkiye’deki şirketin yurt dışındaki bağımsız grup şirketine müşteri verisi aktarması |
| SS-2 | Veri sorumlusundan veri işleyene aktarım | Türkiye’deki şirketin yurt dışı merkezli CRM veya bulut yazılım sağlayıcısına veri aktarması |
| SS-3 | Veri işleyenden veri işleyene aktarım | Türkiye’deki hizmet sağlayıcının veriyi yurt dışındaki alt hizmet sağlayıcıya aktarması |
| SS-4 | Veri işleyenden veri sorumlusuna aktarım | Türkiye’deki veri işleyenin yurt dışındaki veri sorumlusuna veri aktarması |
Aktarım Tarafları Nasıl Belirlenir?
Yurt dışına veri aktarımı analizinde en kritik adımlardan biri aktarım taraflarının doğru belirlenmesidir. Çünkü kullanılacak standart sözleşme türü, tarafların veri sorumlusu veya veri işleyen sıfatına göre seçilir.
Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen kişidir.
Örneğin bir şirket, çalışan e-posta hesaplarını, müşteri kayıtlarını veya teklif bilgilerini bir bulut yazılıma yüklüyorsa, çoğu durumda şirket veri sorumlusu; yazılım sağlayıcısı ise bu hizmet yönünden veri işleyen olarak değerlendirilebilir. Bu durumda yurt dışındaki yazılım sağlayıcısına veri aktarımı varsa SS-2 tipi standart sözleşme gündeme gelebilir.
Ancak her olayda aynı sonuca varılamaz. Bazı yazılım sağlayıcıları belirli verileri kendi amaçları için de işleyebilir. Bazı grup şirketi aktarımlarında iki taraf da veri sorumlusu olabilir. Bu nedenle aktarım tarafları belirlenirken yalnızca hizmet sözleşmesindeki unvana değil, fiilî veri işleme faaliyetine bakılmalıdır.
5 İş Günü Bildirimi Hangi Hallerde Yapılır?
Standart sözleşme kullanılarak yurt dışına kişisel veri aktarımı yapılacaksa, standart sözleşmenin imzalarının tamamlanmasından itibaren 5 iş günü içinde Kişisel Verileri Koruma Kurumuna bildirim yapılmalıdır.
Bu bildirim, standart sözleşmenin hazırlanması veya şirket içinde taslak olarak değerlendirilmesi aşamasında değil; tarafların imzalarının tamamlanmasından sonra gündeme gelir.
Bildirim bakımından uygulamada şu noktalara dikkat edilmelidir:
- 5 iş günü süresi, imzaların tamamlanmasından sonra başlar.
- Standart sözleşme taraflarca veya yetkili temsilcilerce imzalanmalıdır.
- İmza yetkisini gösteren belgeler kontrol edilmelidir.
- Türkçe metin esas alınmalıdır.
- Taraf adları, adresleri, irtibat bilgileri ve imza tarihleri eksiksiz olmalıdır.
- Bildirim fiziki olarak, KEP üzerinden veya Kurumun Standart Sözleşme Bildirim Modülü üzerinden yapılabilir.
- Standart sözleşmede bildirimi kimin yapacağı belirlenebilir.
- Böyle bir belirleme yoksa bildirimin veri aktaran tarafından yapılacağı kabul edilir.
- Standart sözleşmede yer alan bilgilerde değişiklik olması veya sözleşmenin sona ermesi halinde ayrıca değerlendirme yapılmalıdır.
Burada dikkat edilmesi gereken konu şudur: 5 iş günü bildirimi, “bulut yazılım kullanıldığı için” değil, yurt dışına aktarım için standart sözleşme imzalandığı için gündeme gelir.
Bulut Yazılımlar ve Yurt Dışına Veri Aktarımı Nasıl Değerlendirilir?
Google Workspace, Microsoft 365, CRM sistemleri, proje yönetim araçları, insan kaynakları yazılımları, e-posta pazarlama araçları ve yurt dışı sunucular, şirketlerin günlük işleyişinde yaygın olarak kullanılmaktadır. Bu sistemler KVKK bakımından özellikle kişisel verinin nerede saklandığı, kim tarafından erişilebildiği ve hangi amaçla işlendiği yönünden incelenmelidir.
Bulut sistemlerinde şu sorular sorulmalıdır:
- Yazılım içinde hangi kişisel veriler tutuluyor?
- Çalışan, müşteri, tedarikçi, aday çalışan veya özel nitelikli veri var mı?
- Veriler Türkiye’de mi, yurt dışında mı saklanıyor?
- Yurt dışındaki destek ekipleri verilere erişebiliyor mu?
- Hizmet sağlayıcının alt işleyenleri var mı?
- Veri merkezi ülkeleri ve aktarım yapılan taraflar belirlenebiliyor mu?
- Yazılım sağlayıcısı veri işleyen mi, veri sorumlusu mu?
- Aydınlatma metinlerinde yurt dışına aktarım bilgisi yer alıyor mu?
- Veri işleme envanteri bu aktarımı gösteriyor mu?
- Tedarikçi sözleşmesinde KVKK hükümleri var mı?
Tablo: Bulut Yazılımlarda KVKK Değerlendirme Tablosu
| Kullanılan Sistem | KVKK Bakımından Kontrol Edilecek Nokta | Uygulama Notu |
|---|---|---|
| Google Workspace / Microsoft 365 | E-posta, takvim, dosya ve kullanıcı verilerinin nerede tutulduğu | Çalışan ve müşteri verileri yönünden yurt dışına aktarım analizi yapılmalıdır. |
| CRM yazılımları | Müşteri, teklif, satış, çağrı ve pazarlama verileri | Müşteri verisi yoğun işlendiği için aktarım tarafları ayrıca belirlenmelidir. |
| Bulut depolama sistemleri | Dosya içerikleri, paylaşım yetkileri ve erişim kayıtları | Yetkisiz paylaşım ve özel nitelikli veri yükleme riski kontrol edilmelidir. |
| İnsan kaynakları yazılımları | Aday çalışan, bordro, performans ve özlük verileri | Çalışan verileri ve özel nitelikli veri ihtimali ayrıca incelenmelidir. |
| Web sitesi ve form altyapısı | İletişim formu, teklif formu ve bülten kayıtlarının tutulduğu sunucu | Form kayıtlarının hangi ülkede saklandığı ve kimlerin eriştiği belirlenmelidir. |
| Yedekleme sistemleri | Otomatik yedeklerin bulunduğu ülke ve erişim yetkileri | Yedeklerin de kişisel veri içerebileceği unutulmamalıdır. |
Uygulamada Dikkat Edilmesi Gerekenler
Yurt dışına veri aktarımı değerlendirmesi yalnızca bir standart sözleşme imzalama işlemi olarak görülmemelidir. Şirketin veri işleme envanteri, aydınlatma metinleri, tedarikçi sözleşmeleri, erişim yetkileri ve bilgi güvenliği tedbirleri birlikte gözden geçirilmelidir.
Kontrol Listesi:
- Kullanılan tüm bulut yazılımlar listelendi mi?
- Her yazılımda hangi kişisel verilerin tutulduğu belirlendi mi?
- Özel nitelikli kişisel veri içeren süreçler ayrıştırıldı mı?
- Veri merkezi ülkeleri ve erişim ülkeleri tespit edildi mi?
- Yazılım sağlayıcısının veri sorumlusu mu veri işleyen mi olduğu değerlendirildi mi?
- Alt işleyenler ve sonraki aktarımlar kontrol edildi mi?
- Uygun standart sözleşme türü belirlendi mi?
- Standart sözleşme yetkili kişilerce imzalandı mı?
- 5 iş günü içinde Kuruma bildirim süreci planlandı mı?
- Aydınlatma metinlerinde yurt dışına aktarım bilgisi yer alıyor mu?
- Veri işleme envanteri güncellendi mi?
- Tedarikçi sözleşmelerinde gizlilik, güvenlik ve alt işleyen hükümleri var mı?
- Şirket içinde hangi verilerin buluta yüklenemeyeceği personele bildirildi mi?
- Erişim yetkileri, çok faktörlü kimlik doğrulama ve log kayıtları kontrol edildi mi?
Sık Yapılan Hatalar
- Yurt dışı merkezli yazılım kullanıldığı halde veri aktarımı analizi yapılmaması
- “Açık rıza aldık, başka bir şeye gerek yok” şeklinde eksik değerlendirme yapılması
- Standart sözleşme türünün taraf sıfatları incelenmeden seçilmesi
- Veri sorumlusu ve veri işleyen ayrımının yalnızca sözleşme başlığına göre yapılması
- Standart sözleşmenin imzalanmasına rağmen 5 iş günü bildiriminin unutulması
- İmza yetkisi belgelerinin eksik bırakılması
- Aydınlatma metinlerinde yurt dışına aktarım bilgisinin yer almaması
- Veri işleme envanterinde bulut yazılımların gösterilmemesi
- Çalışanların özel nitelikli verileri kontrolsüz şekilde bulut depolama alanlarına yüklemesi
- Tedarikçi ve alt işleyenlerin düzenli olarak takip edilmemesi
Sık Sorulan Sorular (SSS)
Bu sistemlerde kişisel verilerin yurt dışındaki sunucularda saklanması veya yurt dışından erişilebilir olması halinde yurt dışına veri aktarımı değerlendirmesi yapılmalıdır. Sonuç, kullanılan hizmetin ayarlarına, veri merkezi yapısına, işlenen veri türlerine ve tarafların sıfatına göre belirlenir.
Standart sözleşme, yurt dışına veri aktarımında kullanılabilecek uygun güvence yöntemlerinden biridir. Her durumda otomatik olarak zorunlu değildir. Önce aktarımın niteliği, yeterlilik kararı, uygun güvence seçenekleri ve somut işlem yapısı değerlendirilmelidir.
5 iş günü süresi, standart sözleşmede tarafların imzalarının tamamlanmasından sonra başlar. Bu süre içinde standart sözleşmenin Kuruma bildirilmesi gerekir.
Standart sözleşmede bildirimi hangi tarafın yapacağı belirlenebilir. Böyle bir belirleme yapılmamışsa bildirimin veri aktaran tarafından yapılacağı kabul edilir.
Evet. E-posta içeriklerinde çalışan, müşteri, tedarikçi veya üçüncü kişilere ait kişisel veriler bulunabilir. Bu nedenle şirket e-posta altyapısı da kişisel veri işleme ve aktarım süreçleri bakımından değerlendirilmelidir.
Açık rıza, her durumda ilk başvurulacak veya tek başına yeterli kabul edilecek yöntem değildir. Yurt dışına aktarımda Kanunun 5. ve 6. maddesindeki işleme şartları, yeterlilik kararı, uygun güvenceler ve istisnai aktarım halleri birlikte değerlendirilmelidir.
CRM sistemlerinde müşteri adı, iletişim bilgisi, teklif kayıtları, satın alma geçmişi ve pazarlama tercihleri gibi birçok kişisel veri işlenebilir. Bu nedenle CRM sağlayıcısının konumu, veri merkezi, alt işleyenleri, erişim yetkileri ve sözleşme hükümleri kontrol edilmelidir.
Hayır. Standart sözleşme bildirimi önemli bir adımdır; ancak veri işleme envanteri, aydınlatma metinleri, tedarikçi sözleşmeleri, teknik-idari tedbirler ve şirket içi kullanım kuralları da güncel tutulmalıdır.
Bulut Yazılımlarınızı KVKK Bakımından Kontrol Edelim
Şirketinizde Google Workspace, Microsoft 365, CRM, yurt dışı sunucu veya benzeri bulut sistemler kullanılıyorsa, bu sistemlerin yurt dışına veri aktarımı bakımından ayrıca incelenmesi gerekir. KVKK danışmanlığı hizmetimiz kapsamında veri aktarımı, standart sözleşme ve envanter süreçlerinizi birlikte değerlendirebiliriz.
Resmî Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
- Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik
- Kişisel Verileri Koruma Kurumu — Kişisel Verilerin Yurt Dışına Aktarılması Rehberi
- Kişisel Verileri Koruma Kurumu — Standart Sözleşmeler
- Kişisel Verileri Koruma Kurumu — Standart Sözleşme Bildirim Modülü Duyurusu
- Kişisel Verileri Koruma Kurumu — Kişisel Veri Güvenliği Rehberi
- Kişisel Verileri Koruma Kurumu — Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi
İlgili Rehberler
VERBİS Kayıt Zorunluluğu ve Muafiyetler
KVKK Veri Envanteri Hazırlama Rehberi
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. KVKK kapsamındaki yükümlülükler; veri sorumlusunun faaliyet konusu, çalışan sayısı, mali bilanço durumu, işlenen kişisel veri türleri, özel nitelikli veri işleme faaliyeti, yurt dışına aktarım yapılıp yapılmadığı, kullanılan yazılım altyapısı, tedarikçi ilişkileri ve somut olayın özellikleri dikkate alınarak ayrıca değerlendirilmelidir.
Yayın Tarihi: 25 Haziran 2026 | Son Güncelleme: 26 Haziran 2026
