Günümüzde birçok şirket bulut hizmetlerinden yararlanıyor: e-posta için Microsoft 365, depolama için Google Drive, müşteri yönetimi için yurt dışı merkezli CRM sistemleri... Peki şirket verilerinizi yurt dışındaki sunucularda tutmak KVKK'ya (6698 sayılı Kişisel Verilerin Korunması Kanunu) uygun mu? Kısa cevap: uygun olabilir, ama belli koşulları yerine getirmeniz gerekiyor. Bu rehberde, yurt dışı veri aktarımının ne anlama geldiğini, hangi durumlarda yasal olduğunu ve hangi adımları atmanız gerektiğini adım adım açıklıyoruz.
Evet. Verilerin fiziksel olarak yurt dışındaki bir sunucuda tutulması aktarım sayılır. Örneğin web siteniz Almanya'daki bir sunucuda barındırılıyorsa, e-posta hizmetiniz ABD merkezli bir sağlayıcıdan geliyorsa ya da müşteri bilgilerinizi yurt dışı bir bulut platformunda saklıyorsanız, bu KVKK açısından 'yurt dışına kişisel veri aktarımı' kapsamına girer. Yani verilerinizin fiziksel konumu önemlidir.
2024 yılında 7499 sayılı kanunla KVKK'nın yurt dışı aktarım rejimi baştan yazıldı. Geçmişte yapılan 'sadece açık rıza alarak aktarma' yöntemi artık hukuken riskli ve sürdürülemez bir hale gelmiştir. Eskiden şirketler çalışanlarından veya müşterilerinden bir imza alıp 'verilerim yurt dışına aktarılabilir' diye onay aldıklarında işin içinden çıkabiliyordu. 1 Haziran 2024'te yürürlüğe giren yeni düzenleme ile bu yaklaşım tamamen değişti.
7499 sayılı Kanun'la değişen KVKK madde 9, açık rızayı üçüncü ve son kademeye indirdi: yalnızca yeterlilik kararı bulunmuyorsa ve uygun güvencelerden hiçbiri sağlanamıyorsa, üstelik arızi (düzenli olmayan) olmak kaydıyla kullanılabilir. Yani açık rıza artık ilk başvuracağınız yol değil, en son çare.
KVKK'nın 9. maddesi üç kademeli bir yapı kurmuştur. Aktarım yapmadan önce sırasıyla şu basamakları kontrol etmeniz gerekiyor:
İlk aşamada aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararının bulunup bulunmadığına bakılmalıdır. Kurul tarafından verilen yeterlilik kararlarının amacı, aktarımın yapılacağı ülke, sektör veya uluslararası kuruluşun veri koruma seviyesinin Türkiye'deki veri koruma seviyesine eşdeğer olduğunu teyit etmektir.
Ancak şu an için bir sorun var: KVKK'nın 9. maddesinde Kurul tarafından veri aktarımının yapılacağı güvenli ülkelerin ilan edileceği belirtilmiş ancak halihazırda bu ülkeler açıklanmamıştır. Yani şu anda hiçbir ülke için 'yeterli koruma var' diye bir liste yok. Bu nedenle ikinci veya üçüncü kademeye geçmek zorundasınız.
Yeterlilik kararı yoksa, Kanunun 5 inci ve 6 ncı maddelerinde belirtilen şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, uygun güvencelerden birinin taraflarca sağlanması hâlinde kişisel verilerin yurt dışına aktarılabileceği hükme bağlanmıştır.
Uygun güvenceler arasında en yaygın kullanılan yöntem standart sözleşmelerdir. KVKK Kurumu'nun web sitesinde örnek standart sözleşme şablonları (taahhütnameler) yayınlanmıştır. Şirketiniz ile yurt dışındaki veri alan taraf (örneğin bulut hizmeti sağlayıcı) arasında bu sözleşmeyi imzalamanız gerekir.
Kritik önemde bir nokta: Standart sözleşmeler imzalandıktan sonra 5 iş günü içerisinde KVKK'nın dijital bildirim modülü üzerinden Kuruma iletilmelidir. Bu bildirim yükümlülüğünü ihmal ederseniz ciddi cezalarla karşılaşabilirsiniz.
Eğer yukarıdaki iki yöntem de mümkün değilse ve aktarım düzenli değil, tek seferlik veya arızi nitelikte ise, ilgili kişilerden açık rıza alarak veri aktarabilirsiniz. Belirli bir konu ile sınırlandırılmayan ve ilgili işlemle sınırlı olmayan genel nitelikteki açık rızalar 'battaniye rızalar' olarak kabul edilmekte ve hukuken geçersiz sayılmaktadır. Yani 'her türlü veri işleme faaliyeti için rıza veriyorum' gibi belirsiz ifadeler yeterli değildir. Hangi verilerin, hangi ülkeye, hangi amaçla aktarılacağını net belirtmelisiniz.
Yurt dışına veri aktarımı kurallarına uymamanın maliyeti 2026 yılı itibarıyla yeniden değerleme oranlarıyla artmıştır: Sözleşme Bildirim Yükümlülüğüne Aykırılık: 90.000 TL'den başlayarak 1.8 Milyon TL'ye kadar çıkabilmektedir. Veri Güvenliği İhlalleri: Verinin hukuka aykırı aktarılması durumunda cezalar 17 Milyon TL sınırını aşabilmektedir. Bu rakamlar gösteriyor ki KVKK'yı ciddiye almak zorundasınız.
Verileriniz Türkiye sınırları içinde kalıyorsa yurt dışı aktarım rejimi hiç devreye girmiyor: standart sözleşme yok, bildirim yok, bu başlıkta ceza riski yok. Eğer mümkünse kritik kişisel verileri Türkiye'deki sunucularda tutmak uyum sürecini büyük ölçüde sadeleştirir. Bazı şirketler karma model kullanıyor: kişisel veri içeren veritabanı Türkiye'de, genel içerik ve görseller gibi kişisel olmayan veriler yurt dışı CDN'lerde tutuluyor.
Şirket verilerinizi yurt dışı sunucularda tutmak KVKK'ya uygun olabilir, ancak bunun için doğru adımları atmanız şart. 2024 reformu ile açık rıza almak artık yeterli değil; standart sözleşmeler imzalamanız ve 5 iş günü içinde bildirimde bulunmanız gerekiyor. Veri envanterinizi çıkarın, hangi verilerin nereye aktığını belirleyin ve gerekli sözleşmeleri yapın. Unutmayın, cezalar oldukça yüksek, ama doğru adımları takip ederseniz hem KVKK'ya uyumlu olur hem de bulut teknolojilerinden güvenle yararlanabilirsiniz.
Eğer yurt dışı veri aktarımı konusunda şirketinizin mevcut altyapısını gözden geçirmek, standart sözleşme hazırlamak veya KVKK uyum süreçlerinizi tamamlamak isterseniz, Sprint Teknoloji olarak Kağıthane merkezli ekibimizle size profesyonel danışmanlık desteği sağlayabiliriz.
