Yurt dışına aktarımda üç aşamalı sistem
6698 sayılı Kanun m.9, kişisel verilerin yurt dışına aktarımını yeterlilik kararı, uygun güvenceler ve arızi hâller üzerinden düzenler. İlk aşamada m.5 veya m.6 kapsamındaki işleme şartlarından biri ile aktarılacak ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı birlikte aranır. Yeterlilik bulunmadığında uygun güvence yolu, bu da sağlanamadığında sınırlı arızi hâller değerlendirilir.
6698 sayılı Kanun m.9 · Resmî UYAP metin kontrolü · Erişim: 7 Ekim 2026.
Bir hizmet sağlayıcıya geçiş çalışmasında önce neyin, kime ve hangi amaçla aktarılacağını yazın. Sözleşmenin başlığından aktarım yolunu çıkarmak yerine gerçek veri akışını incelemeye hazırlayın. Bulut depolama, destek hizmeti veya grup içi paylaşım için farklı satırlar oluşturun. Bu rehber belirli bir ürünün veri konumunu veya uyumunu doğrulamaz; teknik ekibin ve hukukçunun aynı veri akışı hakkında konuşabilmesi için kaynaklı bir başlangıç sunar.
Yeterlilik kararı hangi alanı kapsar?
KVKK m.9/1-3 uyarınca yeterlilik kararı yalnız bir ülkenin geneli için değil, ülke içindeki sektörler veya uluslararası kuruluşlar için de verilebilir. Kararı Kurul verir ve Resmî Gazete’de yayımlar. Karar en geç dört yılda bir değerlendirilir; Kurul gerekli durumlarda ileriye etkili biçimde değiştirme, askıya alma veya kaldırma kararı verebilir.
6698 sayılı Kanun m.9 · Resmî UYAP metin kontrolü · Erişim: 7 Ekim 2026.
Ülke adı yazan bir sözleşmeyi yeterlilik kararının kanıtı kabul etmeyin. İnceleme dosyasında araştırılan kararın tarihi, kapsamı, ilgili sektör veya kuruluşu ve varsa sonraki değişiklikleri için alanlar açın. Bu metin güncel yeterli ülkeler listesi ilan etmez. Belirli bir aktarımda kullanılacak kararın varlığı ve kapsamı uygulama anında resmî kayıttan kontrol edilmelidir; kararın kapsamına ilişkin soruyu açık bırakmak, doğrulanmamış uygunluk sonucu yazmaktan daha yararlıdır.
Uygun güvence tek başına yeterli değildir
KVKK m.9/4, yeterlilik kararı yoksa m.5 veya m.6 şartlarından birinin varlığını, ilgili kişinin aktarım ülkesinde haklarını kullanma ve etkili kanun yollarına başvurma imkânını ve maddede sayılan uygun güvencelerden birini birlikte arar. Bu nedenle bir sözleşmenin imzalanmış olması, maddede yer alan diğer koşulların incelenmesini ortadan kaldıran genel bir izin değildir.
6698 sayılı Kanun m.9 · Resmî UYAP metin kontrolü · Erişim: 7 Ekim 2026.
Çalışma tablosunda işleme şartı, hak kullanım imkânı ve seçilen güvenceyi farklı sütunlarda gösterin. Her sütunda belge veya araştırma sorusunu belirtin. Bir hizmet sağlayıcının satış metnindeki güvenlik ifadesi, hukukî değerlendirme alanını kendiliğinden doldurmaz. Veri alıcısının rolü, aktarım kapsamı ve ilgili kişilerin başvuru imkânları hakkında somut bilgi isteyin. Eksik bilgi için tamamlandı işareti kullanmak yerine, kimin hangi belgeyi sağlayacağını takip edin.
Dört uygun güvence türü
KVKK m.9/4 uygun güvenceler olarak, belirli kamu kurumları veya uluslararası kuruluşlar arasındaki anlaşma ve Kurul iznini; Kurulca onaylı bağlayıcı şirket kurallarını; Kurulun ilan ettiği standart sözleşmeyi; yeterli koruma hükümleri içeren yazılı taahhütname ve Kurul iznini sayar. Bu yolların taraf kapsamı ve onay ya da izin koşulları birbirinin yerine geçirilemez.
6698 sayılı Kanun m.9 · Resmî UYAP metin kontrolü · Erişim: 7 Ekim 2026.
Kurumlar arası anlaşma, şirket grubu kuralı ve hizmet sözleşmesi için aynı evrak listesini kullanmayın. Seçilen yolun neden incelendiğini ve hangi tarafları kapsadığını dosyada açıklayın. Grup içi bir işlemde yalnız aynı markanın kullanılması yerine gerçek taraf ve organizasyon bilgisini toparlayın. Bir belgeye standart sözleşme adı verilmiş olmasıyla onun Kurulun ilan ettiği metin olduğu sonucunu eşitlemeyin; kaynak belgeyi ve uygulanacak yolu açık tutun.
Standart sözleşme ve beş iş günü bildirimi
KVKK m.9/4-c, Kurul tarafından ilan edilen standart sözleşmenin veri kategorileri, aktarım amaçları, alıcı ve alıcı grupları, teknik ve idari tedbirler ile özel nitelikli verilere ilişkin ek önlemler gibi hususları içermesini düzenler. M.9/5 uyarınca standart sözleşme imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.
6698 sayılı Kanun m.9 · Resmî UYAP metin kontrolü · Erişim: 7 Ekim 2026.
Sözleşme dosyasında taraf bilgileri, imzalar, imza tarihi ve bildirim işlemi için izlenebilir kayıt tutun. Veri akışına ilişkin ekleri belirsiz bir genel açıklamayla bırakmak yerine, hangi veri kategorisi ve amaç için doldurulduğunu incelemeye hazırlayın. Bildirim kaydını sözleşmeden ayrı saklayıp ikisi arasında bağlantı kurun. Bu rehber elektronik bildirim adımlarını veya belirli sözleşmenin kabulünü garanti etmez; Kurumun güncel metin ve duyuruları uygulamada ayrıca kontrol edilmelidir.
Açık rıza ve arızi aktarım
KVKK m.9/6, yeterlilik ve uygun güvence yolları sağlanamıyorsa yalnız arızi olmak kaydıyla sayılan hâllerde aktarımı düzenler. Bunlardan biri, ilgili kişinin muhtemel riskler hakkında bilgilendirilerek aktarıma açık rıza vermesidir. Bu hüküm, açık rıza metni alındığında bütün düzenli veya sürekli aktarımların bu istisnaya dayanabileceği şeklinde okunamaz; arızi olma koşulu ayrıca vardır.
6698 sayılı Kanun m.9 · Resmî UYAP metin kontrolü · Erişim: 7 Ekim 2026.
Aktarımın bir defalık olayla mı yoksa devamlı hizmet ilişkisiyle mi bağlantılı olduğunu teknik ve operasyonel ekiplerle birlikte belgeleyin. Sadece rıza kutusunun bulunmasına bakıp aktarım incelemesini tamamlamayın. Kullanılan metin, hangi risklerin anlatıldığı ve hangi olay için onay istendiği birlikte değerlendirilmelidir. Bu bölümde belirli bir aktarımın arızi olduğu kararı verilmez; okuyucuya düzenli iş akışıyla istisnai olayın neden ayrı araştırılması gerektiği gösterilir.
Diğer arızi hâller ve kamu kurumu ayrımı
KVKK m.9/6; belirli sözleşme zorunluluklarını, üstün kamu yararını, hakkın tesisi veya korunmasını, hayat veya beden bütünlüğüne ilişkin zorunluluğu ve belirli sicil aktarımını arızi hâller arasında sayar. M.9/7, altıncı fıkranın açık rıza ve iki sözleşme bendinin kamu kurumlarının kamu hukukuna tabi faaliyetlerine uygulanmayacağını belirtir. Her başlığın kendi koşulları bulunur.
6698 sayılı Kanun m.9 · Resmî UYAP metin kontrolü · Erişim: 7 Ekim 2026.
Bir aktarım için sadece sözleşmeyle ilgili etiketini kullanmak yerine, hangi sözleşmenin ve hangi gerekliliğin araştırıldığını yazın. İlgili kişinin taraf olduğu sözleşme ile onun yararına başka taraflar arasında yapılan sözleşmeyi dosyada ayırın. Kamu faaliyetinde özel şirket örneğini aynen uygulamaya taşımayın. Somut amaç, taraf ve aktarımın sıklığı birlikte belgelenirse hukukî inceleme daha açık yürütülebilir; bu tablolar kanundaki şartların yerine geçtiği iddiasıyla sunulmaz.
Sonraki aktarımlar ve özel kanunlar
KVKK m.9/8, yurt dışına aktarılan verilerin sonraki aktarımlarında ve uluslararası kuruluşlara aktarımda da kanundaki güvencelerin sağlanmasını ve aynı maddenin uygulanmasını öngörür. M.9/9 ciddi menfaat zararı durumunda ilgili kamu kurumunun görüşü ve Kurul iznini düzenler. M.9/10, yurt dışına aktarıma ilişkin diğer kanun hükümlerini saklı tutar.
6698 sayılı Kanun m.9 · Resmî UYAP metin kontrolü · Erişim: 7 Ekim 2026.
Veri alıcısının başka bir hizmet sağlayıcı kullanıp kullanmadığını araştırma sorusuna dönüştürün. İlk alıcıyı gösteren şema ile sonraki alıcıları gösteren şemayı karşılaştırın. Alt hizmet sağlayıcının ülkesi veya görevi bilinmiyorsa bu boşluğu açık kaydedin. Sektöre özgü inceleme gerektiğinde hangi özel kanunun araştırıldığı belirtilebilir; doğrulanmamış sektörel izin veya yasak listesi üretmeyin. Bu rehber bütün sektörlerin mevzuatını kapsayan bir uyum sertifikası değildir.
İşleme şartları ve veri türü
KVKK m.5 genel kişisel verilerin işleme şartlarını, m.6 özel nitelikli verilerin ayrı şartlarını düzenler. M.6/4 özel nitelikli veriler için Kurulun belirlediği yeterli önlemleri ayrıca arar. M.4 ise hukuka ve dürüstlüğe uygunluk, doğruluk, belirli ve meşru amaç, amaçla bağlantılı sınırlılık ve ölçülülük ile gerekli süre kadar saklama ilkelerini düzenler.
6698 sayılı Kanun m.4, 5, 6 · Resmî UYAP metin kontrolü · Erişim: 7 Ekim 2026.
Veri envanterine sadece müşteri verisi yazmak yerine gerçek alanları ve kullanım amacını ekleyin. Özel nitelikli veri olabileceği düşünülen alanları ayrıca incelemeye ayırın. Aktarım paketinde ihtiyaç duyulmayan alanların bulunup bulunmadığını teknik ekiple değerlendirin. Test veya araştırma çalışması için mümkünse gerçek kişisel veri yerine kişisel veri içermeyen örnek kullanın. Buradaki çalışma önerisi her kurum için aynı zorunlu teknik çözümün bulunduğu anlamına gelmez.
Aydınlatma, güvenlik ve araştırma dosyası
KVKK m.10, veriler elde edilirken veri sorumlusunun kimliği, amaçlar, aktarılabilecek kişiler ve amaçlar, toplama yöntemi, hukukî sebep ve ilgili kişi hakları konusunda bilgi verilmesini düzenler. M.12, hukuka aykırı işleme ve erişimi önleme ile muhafazaya yönelik gerekli teknik ve idari tedbirleri ve denetimi öngörür. İşleme şartı ile bu yükümlülükler ayrı değerlendirme başlıklarıdır.
6698 sayılı Kanun m.10, 12 · Resmî UYAP metin kontrolü · Erişim: 7 Ekim 2026.
Dosyayı veri akış şeması, dayanak incelemesi, güvence belgesi, bildirim kaydı ve açık sorular olarak düzenleyebilirsiniz. Güncel araştırmaya mevzuat araştırmasına hazırlık rehberinden başlayın. Genel bağlam için bilişim hukuku rehberini inceleyin. Ürün veya yapay zekâ çıktısını kanun metninin yerine koymayın. Bu yazı yalnız kaynaklı genel bilgilendirmedir; belirli bir hizmetin KVKK uyumunun doğrulandığını veya güvenli aktarım sonucu sağlandığını iddia etmez.