Madde 9

Yurt dışına aktarım, önce aktarılacak verinin işlenmesi için KVKK'nin 5. veya 6. maddesinde yer alan bir şart bulunup bulunmadığı incelenerek ele alınır.1 Bu şart varsa yeterlilik kararı kapsamındaki ülkeye, sektöre veya uluslararası kuruluşa aktarım yapılabilir.2 Yeterlilik kararı yoksa, ilgili kişinin aktarım yapılacak yerde haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi sağlanarak uygun güvencelerden biri kurulmalıdır.3 Bu iki yolun da bulunmadığı durumda Kanunda sayılan arızi sebepler araştırılacaktır.4

Aktarımın dayandığı yol, işleme amacını ve işleme şartını belirlemez. Amaçla bağlılık, sınırlılık ve ölçülülük ilkeleri aktarım sırasında da geçerlidir.5 Veri işleyen, aktarımı veri sorumlusunun belirlediği amaç ve kapsamda, onun talimatlarına uygun olarak gerçekleştirebilir.6

7499 sayılı Kanunla değiştirilen KVKK'nin 9. maddesi 1 Haziran 2024 tarihinde yürürlüğe girmiştir.1 Eski birinci fıkra ile yeni düzenleme 1 Eylül 2024 tarihine kadar birlikte uygulanmıştır.2 Bu nedenle geçmişteki bir aktarımın hangi kurala tabi olduğu, aktarım tarihine göre belirlenecektir.3

Değişiklik teklifinin gerekçesi, önceki rejimde yeterlilik kararlarının bulunmaması ve taahhütname izinlerinin sınırlı kalması nedeniyle uygulamanın açık rızaya yöneldiğini belirtmektedir. Gerekçede, yurt dışındaki sunuculardan yararlanan bulut hizmetlerinin hukuka uygun kullanımının bu sebeple güçleştiği de açıklanmıştır.4

Aktarım Yönetmeliğine göre yurt dışına aktarım, Kanun kapsamındaki veri sorumlusu veya veri işleyenin kişisel veriyi yurt dışındaki veri sorumlusu ya da veri işleyene iletmesi veya başka bir yolla erişilebilir hale getirmesidir. Bu nedenle teknik hizmetin adı değil, verinin kim tarafından hangi yabancı alıcıya iletildiği veya erişilebilir kılındığı belirlenmelidir.1

Bu sebeple inceleme, veriyi ileten aktörü, yurt dışındaki alıcıyı ve alıcının veriye eriştiği yolu somut veri akışı üzerinden göstermelidir.2 Sözleşmedeki tanım, Yönetmelikteki iletme veya erişilebilir kılma unsurlarının yerine geçmez.3

Yabancı bir sunucu, bulut hizmeti veya uzaktan destek sistemi kullanılması, aktarım sorusunu kendiliğinden cevaplamaz. Somut olayda yurt dışındaki sağlayıcının kişisel veriye erişip erişemediği ve bu erişimin veri sorumlusu veya veri işleyen tarafından kurulan aktarım ilişkisinden doğup doğmadığı belirlenecektir.1

Sağlayıcının sözleşmede teknik hizmet sunucusu olarak anılması, fiili erişim imkanını ortadan kaldırmaz.2 Erişim ve alıcı sıfatı ortaya konulduktan sonra, aktarımın hangi yola dayanacağı ayrıca belirlenmelidir.3

Yurt dışına aktarım için seçilen yol, KVKK'nin 4. maddesindeki genel ilkelerin ve 5. veya 6. maddesindeki işleme şartlarının yerine geçmez.1 Aktarılan veri, belirli ve meşru amaçla bağlantılı, gerekli ölçüde sınırlı olmalıdır.2 Veri sorumlusu, yurt dışına aktarılan veriler bakımından da hukuka aykırı işleme ve erişimi önlemek için uygun teknik ve idari tedbirleri almakla yükümlüdür.3

Bu nedenle standart sözleşme imzalanması veya başka bir güvence kurulması, aktarım amacının ve veri kapsamının ayrıca gösterilmesi ihtiyacını kaldırmaz.4

Kurul, aktarım yapılacak ülkenin tamamı, o ülkedeki bir veya birden çok sektör ya da uluslararası kuruluş hakkında yeterlilik kararı verebilir.1 Karar Resmi Gazete'de yayımlanır.2 Kurul, yeterlilik kararını en geç dört yılda bir değerlendirir ve değerlendirme sonucunda veya gerekli gördüğü diğer hallerde kararı ileriye etkili olarak değiştirebilir, askıya alabilir veya kaldırabilir.3

Dört yıllık süre kararın kendiliğinden sona erdiği anlamına gelmez.4 Kurul, karar verirken karşılıklılık durumunu, hedef ülkedeki mevzuat ve uygulamayı, bağımsız denetim makamının varlığını ve uluslararası yükümlülükleri öncelikle dikkate alır.5

Yeterlilik kararı bulunmayan yere aktarım yapılabilmesi için KVKK'nin 5. veya 6. maddesindeki işleme şartlarından biri bulunmalıdır.1 İlgili kişinin aktarım yapılacak ülkede haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi de gerekir.2 Bu şartlara ek olarak Kanunda sayılan uygun güvencelerden biri sağlanacaktır.3

Kamu makamları arasındaki anlaşma, bağlayıcı şirket kuralları, standart sözleşme ve yazılı taahhütname aynı hukuki işlemi yapmaz. Her yolun tarafları ile Kurula tanınan onay, izin veya bildirim görevi kendi düzenlemesine göre belirlenecektir.4 Bir teşebbüs grubu ilişkisi veya genel ticari sözleşme, tek başına uygun güvence oluşturmaz.5

Türkiye'deki kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları, yabancı ülkelerdeki kamu kurum ve kuruluşları veya uluslararası kuruluşlarla yaptıkları uluslararası sözleşme niteliğinde olmayan anlaşmaya dayanabilir.1 Anlaşma müzakere edilirken Kurulun görüşüne başvurulur.2 Aktarım, Kurul izin verdikten sonra başlayabilir.3

Bu görüş, ciddi zarar ihtimali ortaya çıktığında alınacak ilgili kamu kurum veya kuruluşu görüşüyle aynı değildir.4 Kişisel Verileri Koruma Kurumunun 10 Kasım 2025 tarihli duyurusundaki izin, bu anlaşmaya dayanan aktarımla sınırlıdır.5

Ortak ekonomik faaliyette bulunan teşebbüs grubu, Kurul tarafından onaylanan bağlayıcı şirket kurallarına dayanarak aktarım yapabilir.1 Kurul, başvuruyu grubu oluşturan her teşebbüsü bağlama, ilgili kişilere uygulanabilir hak tanıma ve bu hakların Türkiye'de ileri sürülebilmesini sağlama bakımından inceler.2 Onay verilmeden aktarım başlatılamaz.3

Kurallarda grup üyeleri, aktarım kategorileri, ilgili kişilerin hakları, şikayet ve denetim usulleri gibi konular açıkça yer almalıdır.4 Bu güvence yolu kullanıldığında da aktarım için gerekli işleme şartı aranır.5

Kurulun ilan ettiği standart sözleşme, yeterlilik kararı bulunmadığında kullanılabilecek uygun güvencelerden biridir.1 Metin değiştirilemez ve sözleşmenin taraflarca geçerli biçimde imzalanması gerekir.2 İmzalanan sözleşme, imzadan itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.3

Kurul, metnin değiştirildiğini veya imzanın geçerli olmadığını saptarsa KVKK'nin 15. maddesi uyarınca inceleme yapar.4 Bildirim yükümlülüğüne aykırılık ise KVKK'nin 18. maddesinde ayrıca kabahat olarak düzenlenmiştir.5

Aktarım tarafları arasında yapılan ve yeterli korumayı sağlayacak hükümler içeren yazılı taahhütname, uygun güvence yollarından biridir.1 İzin başvurusunda taahhütname metni ile gerekli bilgi ve belgeler Kurula sunulur. Aktarım, Kurulun izninden sonra başlar.2

Taahhütnamenin seçilmesi, işleme şartını veya ilgili kişinin haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi şartını ortadan kaldırmaz.3

Hedef ülkedeki mevzuat ve uygulama, yeterlilik kararı verilmesinde Kurulun öncelikle dikkate alacağı hususlar arasındadır.1 Uygun güvence yolunda ise ilgili kişinin haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi, aktarımın temel koşullarından biridir.2

Bu inceleme soyut bir ülke tanımına indirgenemez. Seçilen güvence aracının somut alıcı ve veri akışı bakımından gerçekten koruma sağlayıp sağlamadığı, aracın kendi içerik ve usul kurallarıyla birlikte değerlendirilecektir.3

Arızi aktarım, yeterlilik kararı ve uygun güvence bulunmadığında başvurulabilecek istisnai yoldur.1 Yönetmelik, bu aktarımın düzenli olmayan, tek veya birkaç sefer gerçekleşen ve süreklilik taşımayan nitelikte olmasını arar.2

Düzenli ve sürekli veri akışı arızi aktarım sebebine dayandırılamaz.3 Aktarımın veri sorumlusunun olağan faaliyeti içindeki yeri, akışın gerçekten arızi olup olmadığını gösterecektir.4

Arızi aktarım, ilgili kişinin muhtemel riskler hakkında bilgilendirilerek açık rıza vermesiyle yapılabilir.1 İlgili kişiyle yapılan sözleşmenin ifası veya sözleşme öncesi tedbirlerin uygulanması için zorunlu aktarım, ayrı bir sebep olarak düzenlenmiştir.2 İlgili kişinin yararına üçüncü kişiyle yapılan veya yapılacak sözleşmenin kurulması ya da ifası için zorunlu aktarım da başka bir bentte yer alır.3

Açık rızaya dayanılacaksa aktarımın arızi niteliği ve kişiye açıklanan riskler aranacaktır.4 Sözleşmeye dayanılan olayda ise aktarımın sözleşmenin ifası veya sözleşme öncesi tedbirler için zorunlu olup olmadığı belirlenecektir.5

Üstün bir kamu yararı için zorunlu aktarım, bir hakkın tesisi, kullanılması veya korunması için zorunlu aktarım ile hayat veya beden bütünlüğünün korunması için zorunlu aktarım, arızi aktarımın diğer sebepleridir.1

Kamuya veya meşru menfaati bulunan kişilere açık bir sicildeki verilerin aktarılabilmesi için sicile erişim şartlarının somut olayda gerçekleşmesi gerekir.2 Aktarım, sicillerde yer alan kişisel verilerin veya kişisel veri kategorilerinin tamamını kapsayamaz. Meşru menfaati bulunan kişilerin erişimine açık sicillerden aktarım ise yalnız bu kişilere veya bu kişilerin talebi üzerine yapılabilir.3

Yurt dışına aktarılmış kişisel verinin başka bir yabancı alıcıya sonraki aktarımında da KVKK'nin 5. veya 6. maddesindeki şartlar ile 9. maddede öngörülen yeterlilik, uygun güvence veya arızi aktarım yolu aranır.1 İlk aktarım için kurulan güvence, sonraki aktarımda kanuni şartların yeniden incelenmesinin yerini tutmaz.2

Kamu kurum ve kuruluşlarının kamu hukukuna tabi faaliyetleri bakımından açık rıza, sözleşme ve sözleşme öncesi tedbire dayanan üç arızi sebep uygulanmaz.3 Bu istisna, kamu kurumu niteliğindeki meslek kuruluşlarını kapsayacak biçimde genişletilmemiştir.4

Türkiye'nin veya ilgili kişinin menfaatinin ciddi biçimde zarar görebileceği somut aktarım durumunda, uluslararası sözleşme hükümleri saklı kalmak üzere ilgili kamu kurum veya kuruluşunun görüşü alınır ve Kurulun izni gerekir. Bu ek izin, aktarılacak ülkenin sınıflandırılmasına değil, belirli aktarımın Türkiye'nin veya ilgili kişinin menfaatinde doğurabileceği ciddi zarara bağlıdır.1

Anayasa Mahkemesi, ciddi zarar ihtimallerinin kanunda tek tek sayılmamasını belirsizlik saymamıştır.2 Mahkeme ayrıca Kurul iznini, 9. maddede yer alan diğer aktarım şartlarına ek bir güvence olarak değerlendirmiştir.3 Kişisel verilerin yurt dışına aktarılmasına ilişkin diğer kanun hükümleri saklıdır.4

Genel Veri Koruma Tüzüğü, üçüncü ülkelere ve uluslararası kuruluşlara aktarımda koruma düzeyinin zayıflamamasını amaçlar.1 Tüzük, yeterlilik kararı, uygun güvenceler ve bağlayıcı şirket kuralları ile istisnai durumlara ilişkin aktarım sebeplerini ayrı hükümler altında düzenler.2 Aktarımı yapan veri sorumlusu veya veri işleyen, sonraki aktarımlarda da bu bölümdeki şartlara uyar.3

Türkiye'deki aktarımın hukuka uygunluğu ise KVKK ve Aktarım Yönetmeliğindeki şartlara göre belirlenecektir.4