10 Haziran 2026 · AV. BARIŞ FARSAKOĞLU
Yurt dışı bulut servisleri kullanan şirketler için KVKK m.9: Sınır ötesi veri aktarımında yol haritası
¶1Türkiye’de yazılım geliştiren ya da hazır bulut servisleri kullanan hemen her şirket — çoğu zaman farkında olmadan — kişisel verileri yurt dışına aktarmaktadır. Sunucusu yurt dışında bulunan bir analitik aracı, bir e-posta servisi veya bir yapay zekâ API’si kullanmak, 6698 sayılı Kanun’un 9. maddesi6698 sayılı Kanun m.9Kişisel verilerin yurt dışına aktarılması(Değişik: 2/3/2024-7499/34 md.)Kişisel veriler, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.mevzuat.gov.tr anlamında “yurt dışına aktarım” teşkil edebilir.
Aktarım ne zaman söz konusu olur?
¶2Verinin fiziksel olarak nerede işlendiği belirleyicidir. Kullanıcı verilerinin yurt dışındaki bir sunucuda barındırılması, oradaki bir servise API çağrısıyla gönderilmesi veya yurt dışından erişime açılması, kural olarak aktarım sayılır.
Mevcut hukuki dayanaklar
¶32024 değişikliği sonrası KVKK m.96698 sayılı Kanun m.9Kişisel verilerin yurt dışına aktarılması(Değişik: 2/3/2024-7499/34 md.)Kişisel veriler, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.mevzuat.gov.tr, aktarım için kademeli bir sistem öngörmektedir: yeterlilik kararı bulunan ülkelere aktarım, uygun güvencelere dayalı aktarım (standart sözleşme, bağlayıcı şirket kuralları, taahhütname) ve istisnai hallerde arızi aktarım. Standart sözleşmenin imzadan itibaren beş iş günü içinde Kuruma bildirilmesi gerektiği sıklıkla gözden kaçırılan bir yükümlülüktür.
Pratikte ilk üç adım
¶4Birincisi, veri envanterinizi çıkarın: hangi veri, hangi servise, hangi ülkeye gidiyor? İkincisi, her aktarım için hukuki dayanağı belirleyin ve belgeleyin. Üçüncüsü, aydınlatma metinlerinizin yurt dışı aktarımı açıkça kapsadığından emin olun — uygulamada en sık rastlanan eksiklik budur.
Bu yazı bilgilendirme amaçlıdır; somut olaya ilişkin hukuki değerlendirme için ayrıca danışmanlık alınması gerekir.