TBMM Madde Gerekçesi
Güncel metin1 Haziran 2024’ten itibaren
Maddeyle, 6698 sayılı Kanunun 9 uncu maddesinin değiştirilmesi öngörülmektedir. Kanunun 9 uncu maddesinde kişisel verilerin yurt dışına aktarılması usulü düzenlenmiştir. Maddenin mevcut birinci fıkrasına göre kişisel veriler ilgili kişinin açık rızasıyla yurt dışına aktarılabilmektedir. Maddenin mevcut ikinci fıkrasına göre, ilgili kişinin açık rızası aranmaksızın kişisel verilerin yurt dışına aktarılabilmesi için Kanunun 5 inci maddesinin ikinci fıkrası ile 6 ncı maddesinin üçüncü fıkrasında belirtilen şartlardan birinin bulunması ve Kurul tarafından kişisel verilerin aktarılacağı ülke bakımından yeterli korumanın bulunduğuna karar verilmiş olması (yeterlilik kararı) gerekmektedir. Bununla birlikte hakkında yeterli korumayı sağladığı yönünde karar bulunmayan ülkelere, ilgili kişinin açık rızası aranmaksızın kişisel verilerin aktarılması, veri işleme şartlarından birinin bulunması şartıyla sadece Türkiye'deki ve ilgili ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izin vermesi durumunda mümkündür.
Kanunun uygulamasına bakıldığında, Ülkemizden yabancı ülkelere kişisel veri aktarılması, ilgili kişilerin tek tek açık rızasının alınması dışında sadece Türkiye'deki ve ilgili ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izin vermesiyle yapılabilmektedir. Günümüze kadar Kurula sekseni aşkın taahhütname başvurusu yapılmış olup, bunlardan çok azına izin verilmiştir. Bu nedenle yurt dışına veri aktarılması uygulamada sadece ilgili kişilerin açık rızalarının alınmasına bağlı hale gelmiştir. Bu durum, ticari hayatta hemen hemen her şirket ve gerçek kişi tarafından sıklıkla kullanılan ve sunucuları yurt dışında bulunan ve çoğu bulut tabanlı yazılım ve uygulamaların hukuka uygun olarak kullanılabilmesini neredeyse imkânsız hale getirdiği gibi, Ülkemize yapılacak yatırımları da engelleyici bir hal almıştır.
Avrupa Birliği, 2018 yılında yürürlüğe koyduğu Genel Veri Koruma Tüzüğüyle her geçen gün gelişen teknoloji ve dijitalleşme ile ticari hayatın dinamikliğinin doğurduğu ihtiyaçları nazara alarak, ilgili kişilerin haklarını da koruyacak şekilde Avrupa Birliği dışına veri aktarılması bakımından yeni yöntemler öngörmüştür. Maddeyle Kanunun 9 uncu maddesi Tüzüğün ilgili hükümleri esas alınarak değiştirilmektedir.
Maddenin birinci fıkrasına göre kişisel verilerin yurt dışına aktarılabilmesi için kural olarak, Kanunun 5 inci ve 6 ncı maddelerindeki veri işleme şartlarından birinin varlığı ve kişisel verilerin aktarılacağı ülke, uluslararası kuruluş veya ülke içerisindeki sektörler hakkında yeterlilik kararı verilmiş olması gerekmektedir. Mevcut hükümden farklı olarak yabancı ülkenin tamamı yerine o ülke içerisindeki bir sektör veya uluslararası kuruluş özelinde de yeterlilik kararı verilmesine imkân tanınmaktadır. Örneğin; Ülkemizdeki otomotiv sektörünün yoğun ticari ilişki kurduğu bir yabancı ülkenin tamamı yerine, o ülkedeki otomotiv sektörü bakımından yeterlilik kararı verilmesi mümkün hale gelmektedir.
Maddenin ikinci fıkrasında yeterlilik kararının alınma usulü düzenlenmektedir. Buna göre, Kurul ihtiyaç duyması halinde ilgili kurum ve kuruluşlardan görüş almak suretiyle yeterlilik kararını en geç dört yılda bir değerlendirecektir. Bu süre zarfında Kurul tarafından verilen yeterlilik kararının değerlendirilmemesi durumunda yeterlilik kararı geçerliliğini korumaya devam edecektir. Aynı fıkra gereğince Kurul, değerlendirme sonucunda veya gerekli gördüğü diğer hallerde yeterlilik kararını ileriye etkili olmak üzere değiştirebilecek, askıya alabilecek veya kaldırabilecektir. Fıkrada düzenlenen dört yıllık süre düzenleyici süre olup, Kurul bu süre dolmadan da yeterlilik kararını gözden geçirebilecektir.
Maddenin üçüncü fıkrasında yeterlilik kararı verilirken Kurulun öncelikle dikkate alacağı ölçütler düzenlenmektedir. Fıkrada sayılan bu ölçütler tahdidi nitelikte olmayıp, Kurul yeterlilik kararı verirken gerekli gördüğü başkaca hususları da dikkate alabilecektir.
Dördüncü fıkrada, hakkında yeterlilik kararı bulunmayan ülkelere kişisel veri aktarılması bakımından Tüzüğün ilgili hükümleri nazara alınarak yeni yöntemler getirilmektedir. Buna göre hakkında yeterlilik kararı bulunmayan ülke, uluslararası kuruluş veya ülke içerisindeki sektörlere, 5 inci ve 6 ncı maddelerdeki veri işleme şartlarından birinin varlığı halinde, aktarımın yapılacağı ülkede de ilgili kişinin haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması şartıyla, fıkrada bentler halinde sayılan "uygun güvencelerden" birinin sağlanması durumunda kişisel veri aktarılması mümkün olacaktır.
Dördüncü fıkranın (a) bendine göre yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye'deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurulun aktarıma izin vermesiyle yurtdışına veri aktarılması mümkün olabilecektir. Buna göre, Ülkemizdeki bir kamu kurumunun yabancı ülkedeki ilgili kamu kurumuyla belli alanda yapacağı işbirliği protokolü çerçevesinde, Kurulun izin vermesi şartıyla, karşılıklı yapılacak faaliyetlerin gerektirdiği kişisel verilerin yurt dışındaki kamu kurumuna aktarılması mümkün olacaktır.
Dördüncü fıkranın (b) bendine göre, aynı teşebbüs grubundaki şirketlerin uymakla yükümlü oldukları ve kişisel verilerin korunmasına ilişkin hükümler ihtiva eden Kurulun onayladığı bağlayıcı şirket kurallarının varlığı halinde, 5 inci ve 6 ncı maddedeki veri işleme şartlarından birinin bulunması kaydıyla, Kuruldan ayrıca izin almaya gerek olmadan bu şirketler arasında veri aktarımı yapılabilecektir. Böylece Kurulca onaylanmış bağlayıcı şirket kurallarını haiz bir teşebbüs grubunun Ülkemizdeki şirketinden, aynı grubun yabancı ülkedeki şirketine Kuruldan ayrıca izin alınmaksızın veri aktarılması mümkün olacaktır.
Dördüncü fıkranın (c) bendi uyarınca, Kurul tarafından ilan edilen standart sözleşmenin imzalanması suretiyle ayrıca bir izne ihtiyaç olmaksızın veri aktarılması mümkün olabilecektir. Standart sözleşme; veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva edecektir.
Dördüncü fıkranın (ç) bendine göre yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi durumunda da yeterlilik kararı bulunmayan bir ülkeye kişisel veri aktarılabilecektir.
Maddenin beşinci fıkrasında, standart sözleşmenin, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna bildirilmesi düzenlenmektedir.
Maddenin altıncı fıkrasındaki düzenlemeyle, yeterlilik kararı bulunmayıp ve dördüncü fıkrada öngörülen uygun güvencelerden birinin sağlanamadığı bazı istisnai durumlarda; arızi olmak kaydıyla, diğer bir ifadeyle tek veya birkaç sefer ve süreklilik taşımayacak şekilde, yurt dışına veri aktarılmasına imkân sağlanmaktadır. Örneğin; Türkiye'deki bir şirketin yurt dışında bulunan bir şirketle arızi olarak gerçekleştirmeyi düşündüğü ticari faaliyet bakımından muhatap şirketle irtibat halinde olacak çalışanlarına ilişkin bilgileri paylaşması bu fıkranın (c) bendi kapsamında değerlendirilecektir.
Yedinci fıkrayla özel statüleri nazara alınarak, kamu kurum ve kuruluşlarının kamu hukukuna tabi faaliyetlerine altıncı fıkranın (a), (b) ve (c) bentlerinin uygulanmayacağı hüküm altına alınmaktadır.
Sekizinci fıkrada, kişisel verilerin yurt dışına aktarılmasından sonraki aktarımlar bakımından da bu Kanundaki güvencelerin sağlanacağı ve bu madde hükümlerinin uygulanacağı düzenlenmektedir.
Maddenin mevcut beşinci ve altıncı fıkraları dokuzuncu ve onuncu fıkra olarak aynen korunmakta ve onbirinci fıkrayla maddenin uygulanmasına ilişkin usul ve esasların yönetmelikle düzenlenmesi hüküm altına alınmaktadır.
Maddeyle kişisel verilerin, yurtdışına aktarılması düzenlenmektedir. Kanunun hem 5 inci maddesinde düzenlenen kişisel veriler hem de 6 ncı maddesinde düzenlenen özel nitelikli (hassas) kişisel veriler madde kapsamındadır.
Maddenin birinci fıkrasında, kişisel verilerin ilgilinin açık rızası olmaksızın yurtdışına aktarılamayacağına ilişkin ilke hükme bağlanmaktadır.
Maddenin ikinci fıkrasında kişisel verilerin, ilgilinin açık rızası olmaksızın yurtdışına aktarılmasına ilişkin düzenleme yapılmaktadır. Bu düzenleme yapılırken 5 inci maddenin ikinci fıkrası kapsamındaki kişisel veriler ile 6 ncı maddenin dördüncü fıkrasının (a), (c), (ç) ve (d) bentlerinde belirtilen özel nitelikli kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenmesine izin veren şartlar esas alınmakta ve bu şartlardan birinin varlığı halinde, kişisel verinin aktarılacağı yabancı ülkede, yeterli korumanın bulunması kaydıyla ilgili kişinin açık rızası aranmaksızın yurtdışına aktarılmasına imkân tanınmaktadır. Şayet ilgili yabancı ülkede yeterli koruma bulunmuyorsa, Türkiye'deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması kaydıyla ilgili kişinin açık rızası aranmaksızın kişisel verilerin yurtdışına aktarılmasına imkân verilmektedir.
Maddenin üçüncü fıkrasına göre yabancı ülkelerde yeterli koruma bulunup bulunmadığı Kurulca belirlenerek ilan edilecektir.
Maddenin dördüncü fıkrasıyla, Kurulun, yabancı ülkede yeterli koruma bulunup bulunmadığına karar ve verilerin yurtdışına aktarılmasına izin verirken hangi kriterleri dikkate alacağı düzenlenmektedir. Buna göre Kurul, maddede sayılan hususları değerlendirecek, ihtiyaç duyması halinde ilgili kurum ve kuruluşların da görüşünü almak suretiyle bir karar verecektir.
Maddenin beşinci fıkrasında, kişisel verilerin yurtdışına aktarılmasına ilişkin ilgili kanunlarda yer alan hükümlerin saklı olduğu hüküm altına alınmaktadır. Buna göre, örneğin 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanunun, uluslararası bilgi değişimi konusunda Malî Suçları Araştırma Kurulu Başkanına yetki veren 12 nci ve 19 uncu maddeleri öncelikli olarak uygulanacaktır.
Önceki yürürlük metni7 Ekim 2016–31 Mayıs 2024
Maddeyle kişisel verilerin, yurtdışına aktarılması düzenlenmektedir. Kanunun hem 5 inci maddesinde düzenlenen kişisel veriler hem de 6 ncı maddesinde düzenlenen özel nitelikli (hassas) kişisel veriler madde kapsamındadır.
Maddenin birinci fıkrasında, kişisel verilerin ilgilinin açık rızası olmaksızın yurtdışına aktarılamayacağına ilişkin ilke hükme bağlanmaktadır.
Maddenin ikinci fıkrasında kişisel verilerin, ilgilinin açık rızası olmaksızın yurtdışına aktarılmasına ilişkin düzenleme yapılmaktadır. Bu düzenleme yapılırken 5 inci maddenin ikinci fıkrası kapsamındaki kişisel veriler ile 6 ncı maddenin dördüncü fıkrasının (a), (c), (ç) ve (d) bentlerinde belirtilen özel nitelikli kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenmesine izin veren şartlar esas alınmakta ve bu şartlardan birinin varlığı halinde, kişisel verinin aktarılacağı yabancı ülkede, yeterli korumanın bulunması kaydıyla ilgili kişinin açık rızası aranmaksızın yurtdışına aktarılmasına imkân tanınmaktadır. Şayet ilgili yabancı ülkede yeterli koruma bulunmuyorsa, Türkiye'deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması kaydıyla ilgili kişinin açık rızası aranmaksızın kişisel verilerin yurtdışına aktarılmasına imkân verilmektedir.
Maddenin üçüncü fıkrasına göre yabancı ülkelerde yeterli koruma bulunup bulunmadığı Kurulca belirlenerek ilan edilecektir.
Maddenin dördüncü fıkrasıyla, Kurulun, yabancı ülkede yeterli koruma bulunup bulunmadığına karar ve verilerin yurtdışına aktarılmasına izin verirken hangi kriterleri dikkate alacağı düzenlenmektedir. Buna göre Kurul, maddede sayılan hususları değerlendirecek, ihtiyaç duyması halinde ilgili kurum ve kuruluşların da görüşünü almak suretiyle bir karar verecektir.
Maddenin beşinci fıkrasında, kişisel verilerin yurtdışına aktarılmasına ilişkin ilgili kanunlarda yer alan hükümlerin saklı olduğu hüküm altına alınmaktadır. Buna göre, örneğin 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanunun, uluslararası bilgi değişimi konusunda Malî Suçları Araştırma Kurulu Başkanına yetki veren 12 nci ve 19 uncu maddeleri öncelikli olarak uygulanacaktır.
2014 Tasarısı2014
Maddeyle kişisel verilerin, üçüncü kişilere ve yurtdışına aktarılması düzenlenmektedir.
Maddenin birinci fıkrasında, kişisel verilerin ilgilinin açık rızası olmaksızın üçüncü kişilere ve yurtdışına aktarılamayacağına ilişkin ilke hükme bağlanmaktadır.
Maddenin ikinci fıkrasında, ilgilinin açık rızası olmaksızın kişisel verilerin üçüncü kişilere ve yurtdışına aktarılmasına ilişkin düzenleme yapılmaktadır. Burada Kanunun 5 inci maddesinde düzenlenen kişisel verilerin işlenmesine ilişkin şartlar ile 6 ncı maddesinde düzenlenen özel nitelikli kişisel verilerin işlenmesine ilişkin şartlar dikkate alınmakta ve bunların yabancı ülkelere aktarılması için ilgili ülkede yeterli koruma bulunması şart koşulmaktadır. 6 ncı maddenin ikinci fıkrasının (c) bendinde düzenlenen kişisel veriler, bu fıkradaki düzenlemenin kapsamı dışında tutulmaktadır.
Maddenin üçüncü fıkrasında, kişisel verilerin ikinci fıkra uyarınca yurtdışına aktarılması sırasında ilgili yabancı ülkede yeterli koruma bulunmaması hali düzenlenmektedir. Bu halde aktarma için kişinin açık rızası ile iki ülke veri sorumlularının karşılıklı taahhüdü ve Kurulun izni birlikte aranacaktır.
Maddenin dördüncü fıkrasında 6 ncı maddenin ikinci fıkrasının (c) bendinde belirtilen kişisel veriler için özel düzenleme yapılmaktadır. Bu tür özel nitelikli kişisel verilerin yeterli koruma bulunmayan yabancı ülkelere aktarı İması mümkün değildir. Bu tür veriler, kanunlarda açıkça öngörülmesi halinde üçüncü kişilere ve yeterli koruma bulunan yabancı ülkeye aktarılabilecektir. Bunun gibi bu tür verilerin, ilgilinin açık rızası ile Kurulun izninin birlikte bulunması halinde de üçüncü kişilere ve yine yeterli koruma bulunan yabancı ülkeye aktarılabilmesi mümkündür.
Maddenin beşinci fıkrasına göre yabancı ülkede yeterli koruma bulunup bulunmadığı Kurulca belirlenerek ilan edilecektir.
Maddenin altıncı fıkrasıyla, Kurulun, yabancı ülkede yeterli koruma bulunup bulunmadığına karar ve verilerin yurtdışına aktarılmasına izin verirken hangi kriterleri dikkate alacağı düzenlenmektedir. Buna göre Kurul, maddede sayılan hususları değerlendirecek, gerekirse ilgili kamu kurum ve kuruluşlanmn da görüşünü almak suretiyle bir karar verecektir.
Maddenin yedinci fıkrasında, kişisel verilerin üçüncü kişilere ve yurtdışına aktarımına ilişkin ilgili kanunlarda yer alan hükümlerin saklı olduğu hüküm altına alınmaktadır. Buna göre, örneğin 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanunun, uluslararası bilgi değişimi konusunda Mali Suçlan Araştırma Kurulu Başkanına yetki veren 12 nci ve 19 uncu maddeleri öncelikli olarak uygulanacaktır.
2008 Tasarısı2008
Maddeyle, Direktifin 25 ve 26 ncı maddeleri dikkate alınarak, kişisel verilerin yurtdışına aktarımı düzenlenmektedir. Kural olarak, kişisel verilerin Türkiye dışındaki bir ülkeye aktarılabilmesi için yabancı ülkede de, ülkemizdekine eşdeğer ve etkin bir korumanın bulunması gerekecektir. Veri kütüğü sahipleri ilgili ülkede yeterli düzeyde koruma olup olmadığını kontrol etmek zorundadır. Bu değerlendirme, işleme konu verinin niteliği, veri işlemenin amacı ve işleme süresi, verinin aktarıldığı ülkenin konuyla ilgili genel ve özel düzenlemeleri ile uygulanan güvenlik tedbirleri dikkate alınarak yapılacaktır. Maddenin ikinci fıkrasıyla bu kuralın istisnaları düzenlenmektedir. Üçüncü fıkraya göre, kişilerin özel hayatlarının gizliliği ile temel hak ve hürriyetlerin korunmasına ilişkin yeterli tedbirlerin, yabancı ülkede bulunan veri kütüğü sahibi tarafından yazılı olarak taahhüt edilmesi durumunda, ilgili veriler Kurulun izniyle aktarılabilecektir. Son fıkrayla göre ise Kurulun üçüncü fıkraya göre karar alırken dikkate alması gereken kriterler belirlenmektedir.
Yeterlilik kararı, güvence ve arızi aktarım
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 9. maddesi uyarınca yurt dışına aktarım öncesinde KVKK m.5 veya m.6 kapsamındaki işleme şartlarından birinin bulunması gerekir.1 Yeterlilik kararı varsa aktarım bu karar kapsamında yapılabilir.2 Yeterlilik kararı bulunmuyorsa ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi güvence altına alınmalı, ayrıca KVKK m.9/4'te sayılan uygun güvencelerden biri sağlanmalıdır.3 Ne yeterlilik kararı ne de uygun güvence varsa aktarımın kanunda sayılan arızi hallerden birine girip girmediği incelenecektir.4
Aktarım yeterlilik kararına, uygun güvenceye veya arızi bir sebebe dayansa da amacı ile KVKK m.5 veya m.6 kapsamındaki işleme şartı ayrıca belirlenmelidir.56 Veri işleyen, aktarımı veri sorumlusunun belirlediği amaç ve kapsam dahilinde, onun talimatlarına göre gerçekleştirir.7
7499 sonrası geçiş
7499 sayılı Kanunla değiştirilen KVKK m.9, 1 Haziran 2024 tarihinde yürürlüğe girmiştir.1 KVKK'nin geçici 3. maddesi uyarınca eski m.9/1 ile yeni kural 1 Eylül 2024 tarihine kadar birlikte uygulanmıştır.2 Aktarıma hangi hükmün uygulanacağı, aktarım tarihi ile geçiş kuralı dikkate alınarak belirlenecektir.3
Teklif gerekçesinde, yeterli koruma kararlarının verilmemesi ve taahhütname başvurularının çok azına izin verilmesi nedeniyle yurt dışına aktarımın uygulamada açık rızaya bağlı hale geldiği belirtilmiştir. Gerekçeye göre bu durum, özellikle sunucuları yurt dışında bulunan bulut tabanlı hizmetlerin hukuka uygun biçimde kullanılmasını ciddi ölçüde güçleştirmiştir.4
Aktarımın varlığı
Aktarım Yönetmeliğine göre yurt dışına aktarım, KVKK kapsamındaki veri sorumlusu veya veri işleyenin kişisel veriyi yurt dışındaki veri sorumlusuna ya da veri işleyene iletmesi veya başka suretle erişilebilir hale getirmesidir.1
Bir işlemin yurt dışına aktarım sayılıp sayılmayacağı belirlenirken kişisel veriyi kimin yurt dışındaki hangi alıcıya ilettiği veya hangi alıcının erişimine açtığı incelenecektir.23
Yabancı altyapı ve erişim
Yabancı bir sunucu, bulut hizmeti veya uzaktan erişim imkanı kullanıldığında, yurt dışındaki hizmet sağlayıcının hangi verilere erişebildiği ve bu erişimin hangi işleme faaliyeti kapsamında gerçekleştiği incelenecektir.1
Sağlayıcının yabancı olması veya sözleşmede belirli bir sıfatla anılması, fiili veri akışının belirlenmesi için yeterli değildir.2 Fiili erişim saptandıktan sonra kullanılabilecek aktarım yolu ayrıca belirlenecektir.3
İşleme şartı ve genel ilkeler
Yeterlilik kararı
Kişisel Verileri Koruma Kurulu, yeterli korumanın bulunduğu ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı verebilir.1 Karar Resmi Gazete'de yayımlanır ve en geç dört yılda bir yeniden değerlendirilir.2 Kurul, değerlendirme sonucunda veya gerekli gördüğü diğer hallerde yeterlilik kararını ileriye etkili olarak değiştirebilir, askıya alabilir ya da kaldırabilir.3
Dört yıllık sürenin dolması, yeterlilik kararını kendiliğinden sona erdirmez.4 Kurul, yeterlilik kararını verirken KVKK m.9/3'te sayılan hususları öncelikle dikkate alır.5
Uygun güvencelerin ortak şartları
Yeterlilik kararı bulunmadığında aktarım için KVKK m.5 veya m.6'daki işleme şartlarından birinin varlığı aranır.1 İlgili kişinin yurt dışında haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi de güvence altına alınmalıdır.2 Bu şartlara ek olarak KVKK m.9/4'te sayılan uygun güvencelerden birinin sağlanması gerekir.3
Uygun güvence yollarının her biri farklı bir hukuki araç ve usule tabidir.4 Tarafların aynı şirketler grubunda bulunması veya aralarında genel nitelikte bir ticari sözleşme olması, KVKK m.9/4'te sayılan şartlar karşılanmadıkça uygun güvence oluşturamaz.5
Kamu makamları arasındaki anlaşmalar
Türkiye'deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları ile yabancı ülkelerdeki kamu kurum ve kuruluşları ya da uluslararası kuruluşlar arasında yapılan bir anlaşma, uluslararası sözleşme niteliği taşımıyorsa uygun güvence sağlayabilir.1 Anlaşmanın müzakere sürecinde Kurulun görüşüne başvurulur.2 Aktarıma, Kurul izin verdikten sonra başlanır.3
KVKK m.9/9'daki ciddi zarar halinde ise ilgili kamu kurum veya kuruluşunun görüşü alınır.4 10 Kasım 2025 tarihli duyuruda, Göç İdaresi Başkanlığı ile Birleşmiş Milletler Mülteciler Yüksek Komiserliği arasındaki somut anlaşmaya dayanan aktarıma izin verildiği belirtilmiştir. Duyuruda verilen izin, bu anlaşmaya dayanan aktarımla sınırlıdır.5
Bağlayıcı şirket kuralları
Bağlayıcı şirket kuralları, ortak ekonomik faaliyette bulunan bir teşebbüs grubu bakımından uygun güvence yollarından biridir.1 Bu kuralların kullanılabilmesi için Kurulun onayı gerekir.2 Başvuru usulü ile bağlayıcı şirket kurallarında bulunması gereken hususlar Aktarım Yönetmeliğinde ayrıca düzenlenmiştir.3
Kurulca onaylanacak kurallarda, kapsanan şirketler, aktarım türleri, ilgili kişilerin hakları ve uyumun nasıl sağlanacağı gösterilmelidir.4 Aktarımın dayandığı KVKK m.5 veya m.6'daki işleme şartı, bu yol seçildiğinde de aranır.5
Standart sözleşme ve bildirim
Kurulun ilan ettiği standart sözleşme, uygun güvence yollarından biridir.1 Standart sözleşme metni değiştirilmeden kullanılmalıdır. Sözleşme, taraflar veya yetkili temsilcileri tarafından geçerli biçimde imzalanmalıdır.2 Tüm imzalar tamamlandıktan sonra sözleşme beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilir.3
Yayımlanan standart sözleşmede değişiklik yapılması veya geçerli imzanın bulunmaması, Aktarım Yönetmeliği m.14/7 uyarınca KVKK'nin 15. maddesi kapsamında incelenir.4 Bildirimin yapılmaması veya süresinde yapılmaması ise KVKK m.18/1-d'de ayrı bir kabahat olarak düzenlenmiştir.5
Yazılı taahhütname ve izin
Aktarım tarafları arasında yapılan ve yeterli korumayı sağlayacak hükümler içeren yazılı taahhütname, uygun güvence yollarından biridir.1 Başvuruya taahhütname metniyle birlikte Kurulun değerlendirmesi için gerekli bilgi ve belgeler sunulur. Aktarıma, Kurulun izin vermesinden sonra başlanır.2
KVKK m.5 veya m.6 kapsamındaki işleme şartı ile ilgili kişinin haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi, yazılı taahhütname kullanıldığında da aranır.3
Hedef ülke hukuku ve ek tedbirler
Hedef ülkenin hukuk düzeni ve uygulaması, yeterlilik kararında Kurulun dikkate alacağı unsurlardandır.1 Yeterlilik kararının bulunmadığı durumlarda, uygun güvenceye dayanılarak aktarım yapılabilmesi için ilgili kişinin haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi gerekir.2
Somut aktarımda seçilen güvence yolunun bu koşulu karşılayıp karşılamadığı, alıcı ve veri akışı dikkate alınarak belirlenecektir.4 Aktarım Yönetmeliğinde ilgili güvence yolu için öngörülen içerik ve usul de bu incelemede dikkate alınacaktır.3
Arızi aktarımın sınırı
Yeterlilik kararı ve uygun güvence bulunmayan bir aktarımın KVKK m.9/6'da sayılan sebeplerden birine dayanabilmesi için arızi nitelikte olması gerekir.1 Aktarım Yönetmeliği, arızi aktarımı düzenli ve sürekli olmayan, tek veya birkaç kez gerçekleşen ve olağan faaliyet akışında yer almayan aktarım olarak tanımlar.2
Düzenli ve sürekli veri akışı arızi aktarım hükümlerine dayandırılamaz.3 Aktarım sayısı tek başına belirleyici olmadığından, veri akışının olağan faaliyet içindeki yeri somut olayda ayrıca değerlendirilecektir.4
Rıza ve sözleşmeye dayalı arızi aktarım
Arızi aktarım, ilgili kişinin muhtemel riskler hakkında bilgilendirilmiş açık rızasına dayanabilir.1 İlgili kişi ile veri sorumlusu arasındaki sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu aktarım ayrı bir arızi aktarım sebebidir.2 İlgili kişi yararına veri sorumlusu ile üçüncü kişi arasında kurulacak veya ifa edilecek sözleşme için zorunlu aktarım ise başka bir bentte düzenlenmiştir.3
Bu sebeplerden biri bulunsa da aktarım arızi nitelikte olmalıdır.4 Açık rızaya dayanılacaksa ilgili kişinin muhtemel riskler hakkında bilgilendirilip bilgilendirilmediği değerlendirilecektir.5 Sözleşmeye dayalı aktarımın, sözleşmenin ifası veya sözleşme öncesi tedbirler için zorunlu olup olmadığı da ayrıca belirlenecektir.6
Diğer arızi aktarım sebepleri
Üstün kamu yararı veya bir hakkın tesisi, kullanılması ya da korunması için zorunlu olan aktarımlar, ayrı arızi aktarım sebepleri olarak düzenlenmiştir.1 Hayatın veya beden bütünlüğünün korunması için zorunlu aktarım da ayrı bir sebep olarak sayılmıştır.2
Kamuya veya meşru menfaati bulunan kişilere açık bir sicildeki verilerin aktarılabilmesi için ilgili mevzuatta öngörülen erişim şartlarının sağlanması ve meşru menfaati olan kişinin talepte bulunması gerekir.3 Bu yolla sicildeki tüm kişisel veriler veya veri kategorileri aktarılamaz.4
Sonraki aktarımlar ve kamu faaliyetleri
KVKK m.9/8 ile Aktarım Yönetmeliği m.5/2 uyarınca, KVKK ve Aktarım Yönetmeliğinde öngörülen şart ve güvenceler sonraki aktarımlarda da uygulanır.12
KVKK m.9/6'nın (a), (b) ve (c) bentleri, kamu kurum ve kuruluşlarının kamu hukukuna tabi faaliyetlerine uygulanmaz.3 Bu sınırlı istisna kamu kurumu niteliğindeki meslek kuruluşlarını kapsamaz.4
Ciddi zarar halinde izin ve özel düzenlemeler
KVKK m.9/9, Türkiye'nin veya ilgili kişinin menfaatinin ciddi biçimde zarar görebileceği aktarımlarda ilgili kamu kurum veya kuruluşunun görüşü ile Kurul iznini arar. Aynı fıkrada uluslararası sözleşme hükümleri saklı tutulmuştur. Hüküm, belirli bir ülke grubunu değil, somut aktarımın doğurabileceği ciddi zarar ihtimalini esas alır.1
Anayasa Mahkemesi, ciddi zarar durumlarının farklı biçimlerde ortaya çıkabileceğini ve bu nedenle bütün ihtimallerin kanunda tek tek sayılmasının zorunlu olmadığını kabul etmiştir.2 Mahkeme ayrıca Kurul izninin KVKK m.9'daki diğer aktarım koşullarına ek olarak aranacağını belirtmiştir.3 Diğer kanunlardaki yurt dışına aktarıma ilişkin hükümler de saklıdır.4
GDPR ile karşılaştırma
Genel Veri Koruma Tüzüğü (GDPR), uluslararası aktarımlarda genel koruma kuralını m.44'te, yeterlilik kararını m.45'te ve uygun güvenceleri m.46'da düzenler.1 Bağlayıcı şirket kuralları m.47'de, belirli istisnalar ise m.49'da yer alır.2
GDPR'daki düzenleme yeterlilik, uygun güvence ve istisna yolları bakımından KVKK m.9'a benzer bir sıra izlemektedir.4 Ancak Türkiye'den yapılacak aktarımın koşulları KVKK m.9 ve Aktarım Yönetmeliğine göre belirlenecektir.3