Yurt Dışı Sunucu, Bulut ve CDN Kullanırken KVKK Veri Aktarımı

Güncel 9. madde: üç basamaklı sistem

7499 sayılı Kanunun 34. maddesiyle değişen ve 1 Haziran 2024 tarihinde yürürlüğe giren 9. madde, yurt dışına aktarımı sıralı üç basamağa bağlar. Kurumun rehberi de maddeyi aynı sırayla okur: önce yeterlilik kararına, yoksa uygun güvencelere, o da yoksa arızi (istisnai) hallere bakılır. Her basamakta ayrıca Kanunun 5. veya 6. maddesindeki bir işleme şartının bulunması gerekir; yalnızca arızi hallerde bu şart aranmaz.

Yeterlilik kararı var mı?

Kurumun Yurt Dışına Aktarım sayfasındaki "Yeterli korumanın bulunduğu ülkeler" başlığında, bu yazının kontrol tarihi olan 31 Ekim 2026 itibarıyla "Bu konuda Kurul tarafından henüz bir belirleme yapılmamıştır." ifadesi yer alıyor. Yani bu tarihte yayımlanmış bir yeterlilik kararı görünmüyor; AB ülkeleri dahil hiçbir ülke için "serbestçe aktarılabilir" demek mümkün değil. Bu durum değişebilir; güncel listeyi KVKK: Yurt Dışına Aktarım sayfası üzerinden kontrol edin.

Uygun güvenceler: küçük bir site için pratikte standart sözleşme

Kanun md. 9/4 dört uygun güvence sayar. Kamu kurumları arası anlaşma sıradan bir site sahibini ilgilendirmez. Bağlayıcı şirket kuralları aynı şirket grubu içindeki aktarımlar içindir ve Kurul onayı gerektirir (Yönetmelik md. 12). Yazılı taahhütname için Kurula izin başvurusu yapılır ve aktarıma ancak izinden sonra başlanabilir (Yönetmelik md. 15/3). Bu yüzden bir web sitesinin yabancı bir servis sağlayıcıyla ilişkisinde en uygulanabilir yol genellikle standart sözleşmedir.

Kurul dört standart sözleşme metni kabul etmiştir: veri sorumlusundan veri sorumlusuna (SS-1), veri sorumlusundan veri işleyene (SS-2), veri işleyenden veri işleyene (SS-3) ve veri işleyenden veri sorumlusuna (SS-4). Yurt dışındaki bir hosting, form veya e-posta servisini kendi adınıza veri işlemek için kullanıyorsanız, tipik senaryo SS-2'dir. Metinler KVKK: Standart Sözleşmeler sayfasında yayımlanır.

• Metin değiştirilemez: Standart sözleşme, seçimlik veya alternatif maddeler dışında değişiklik yapılmadan kullanılır (Yönetmelik md. 14/3). Yabancı dilde de yapılırsa Türkçe metin esas alınır.
• İmzalar Türkçe metinde olmalı: Kurumun 5 Şubat 2025 tarihli duyurusuna göre çift sütunlu sözleşmelerde her iki tarafın imzası Türkçe sütunda bulunmalı, her iki taraf imza tarihini metne yazmalı, imzalayanların yetkisi belgelenmelidir.
• 5 iş günü içinde bildirim: Standart sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde fiziki olarak, KEP ile veya Standart Sözleşme Bildirim Modülü üzerinden Kuruma bildirilir (Kanun md. 9/5, Yönetmelik md. 14/5). Modül, Kurulun 17.10.2024 tarihli ve 2024/1793 sayılı kararıyla kullanıma açılmıştır.
• Kim bildirir? Taraflar sözleşmede belirleyebilir; belirlenmemişse veri aktaran bildirir (Yönetmelik md. 14/5). Bildirime imza yetkisini gösteren belgeler ve yabancı dildeki her belgenin noter onaylı çevirisi eklenir (md. 14/6).
• Değişiklik ve sona erme de bildirilir: Taraflar veya sözleşmedeki bilgiler değişirse ya da sözleşme sona ererse aynı usulle Kuruma bildirim yapılır (md. 14/8).

Arızi haller ve açık rızanın yeni yeri

Eski 9. maddede yeterli koruma yoksa en sık başvurulan yol ilgili kişinin açık rızasıydı. 7499 sayılı Kanunun eklediği geçici 3. maddeye göre eski birinci fıkra, yeni metinle birlikte yalnızca 1 Eylül 2024 tarihine kadar uygulanmaya devam etti. Bu tarihten sonra açık rıza, md. 9/6-(a) kapsamında, muhtemel riskler anlatılarak alınan ve yalnızca arızi aktarımlar için kullanılabilen bir istisnadır.

Yönetmelik md. 16/1 arızi aktarımı "düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içinde bulunmayan" aktarım olarak tanımlar. Kurum rehberi bir veri tabanına doğrudan erişim izni verilmesini kural olarak düzenli ve sürekli aktarım sayar. Bir web sitesinin barındırma, form, bülten veya yedekleme servisi ise tanımı gereği her gün çalışır. Bu yüzden "yurt dışına aktarıma açık rıza veriyorum" kutusu, sürekli çalışan bir servisi tek başına hukuka uygun hale getirmez.

Yabancı sunucuda saklamak aktarım sayılır mı?

Kanunda "yurt dışına aktarım" tanımı yoktur. Yönetmelik md. 4/1-(e) tanımı verir: kişisel verilerin Kanun kapsamındaki bir veri sorumlusu veya veri işleyen tarafından yurt dışındaki bir veri sorumlusu veya veri işleyene iletilmesi ya da başka bir suretle erişilebilir hâle getirilmesi.

Kurumun rehberi bu tanımı üç ölçüte ayırır: veri aktaran Kanuna tabi olmalı; veriyi iletmeli veya erişilebilir kılmalı; alıcı (veri sorumlusu veya veri işleyen) yurt dışında olmalı. Rehber açıkça şunu söyler: üçüncü bir ülkeden uzaktan erişim (yalnızca ekranda görüntüleme yoluyla olsa bile) ve "bir hizmet sağlayıcı tarafından sunulan yurt dışında bulunan bir bulutta depolama" da bu üç ölçüt karşılanıyorsa aktarım kabul edilir. Rehberin örneklerine göre Türkiye'deki bir veri sorumlusunun verileri yurt dışındaki veri işleyene iletmesi ve Türkiye'deki bir veri işleyenin işi yurt dışındaki bir alt veri işleyene devretmesi de aktarımdır.

Rehber bir sınır da çizer: ziyaretçi verisini doğrudan yurt dışındaki bir şirkete kendisi gönderiyorsa (örneğin Türkiye'yi hedefleyen yabancı bir siteden alışveriş yapıyorsa), arada bir "veri aktaran" olmadığı için bu bir aktarım değildir; ancak o yabancı şirketin işlemesi yine de Kanuna tabidir.

Web sitenizde nereye bakmalısınız?

Aşağıdaki tablo, sık kullanılan bileşenleri Kurumun ölçütleriyle eşleştirir. "Muhtemelen aktarım" ifadesi, sağlayıcı yurt dışındaysa ve kişisel veriye erişebiliyorsa geçerlidir; kendi sözleşmenizi ve sağlayıcının veri işleme ekini (DPA) mutlaka okuyun.

Cloudflare kullanıyorsanız ziyaretçi IP adresleri hem Cloudflare'e hem de sizin sunucunuza ulaşır; sunucunuzda gerçek IP'yi nasıl gördüğünüz gerçek ziyaretçi IP adresi rehberinde anlatılıyor. Cloudflare'in nasıl çalıştığı ve proxy modunun ne yaptığı için Cloudflare kurulum yazısına bakabilirsiniz. Bu bilgi, envanterinizde CDN satırını doğru doldurmanıza yarar.

Analitik ve pazarlama araçları için ayrıca çerez kurallarına uymanız gerekir; bu konu çerez politikası ve çerez bandı rehberimizde işleniyor. Bülten gönderiyorsanız ticari ileti kuralları da devreye girer: İYS ve ticari e-posta kuralları.

Küçük bir site sahibi için pratik adımlar

• 1. Envanter çıkarın. Sitenizin kullandığı her servisi listeleyin: hosting, DNS/CDN, analitik, form, e-posta, ödeme, canlı destek, yedekleme. Her biri için şirket unvanını, sunucu konumunu ve hangi kişisel veriye eriştiğini yazın.
• 2. Gereksizi kaldırın. Kullanmadığınız izleme kodları, eski form eklentileri ve bırakılmış hesaplar aktarım yükünü boşuna artırır. Kanun md. 4/2-(ç) zaten verinin amaçla sınırlı ve ölçülü işlenmesini ister.
• 3. Konum seçeneği varsa kullanın. Barındırma, veri tabanı ve yedekler için Türkiye'de konumlanmış bir altyapı seçmek, yurt dışına aktarım sorusunu en çok verinin yaşadığı yerde ortadan kaldırabilir. Sağlayıcının alt yüklenicilerini de sorun.
• 4. Kalan her yabancı servis için güvenceyi belirleyin. Sağlayıcının KVKK standart sözleşmesi imzalayıp imzalamadığını sözleşme ve DPA sayfalarından ya da destek ekibinden öğrenin. İmzalanırsa uygun SS tipini seçin ve 5 iş günü içindeki bildirimi takvime koyun.
• 5. Açık rızaya güvenmeyin. Sürekli çalışan servisler için "yurt dışı aktarım onayı" kutusu, Yönetmelik md. 16 ve rehber karşısında genellikle yeterli değildir.
• 6. Aydınlatma metnini güncelleyin. Md. 10/1-(c) gereği verilerin kimlere ve hangi amaçla aktarılabileceğini belirtin; yurt dışındaki alıcı gruplarını ve ülkeleri yazın. Yapı için aydınlatma metni rehberimize bakın.
• 7. VERBİS kaydınız varsa güncelleyin. Md. 16/3-(d) sicil bildiriminde "yabancı ülkelere aktarımı öngörülen kişisel veriler" bilgisini ister; değişiklikler md. 16/4 gereği derhal bildirilir. Kayıt yükümlülüğünüz olup olmadığı için VERBİS yazımıza bakın.
• 8. Veri işleyen sözleşmesini unutmayın. Md. 12/2 gereği veri sorumlusu, kendi adına veri işleyen kişiyle birlikte güvenlik tedbirlerinden müştereken sorumludur. Yönetmelik md. 7/2 da veri işleyenin aktarımının veri sorumlusunun sorumluluğunu kaldırmadığını belirtir.
• 9. Yedeklerinizi ayrı düşünün. Yedeğin konumu çoğu zaman canlı sunucudan farklıdır. Şifreleme ve saklama süresiyle birlikte konumu da planlayın: veri tabanı yedekleme stratejileri.

Sık yapılan hatalar

• Sunucu AB'de olduğu için aktarım kurallarının uygulanmadığını sanmak. Kurulun yayımlanmış bir yeterlilik kararı görünmüyor.
• Standart sözleşmeyi kendi ihtiyacına göre düzenlemek. Seçimlik maddeler dışında değişiklik yapılmış metin standart sözleşme sayılmaz ve Kurul incelemesine konu olabilir (Yönetmelik md. 14/7).
• İmzadan sonra beş iş gününü kaçırmak veya imza tarihlerini metne yazmamak.
• Yalnızca İngilizce metin imzalamak. Kurum, imzaların Türkçe metin üzerinde bulunmasını istiyor.
• Sürekli aktarımı açık rıza kutusuna dayandırmak.
• Aydınlatma metninde yurt dışı alıcıları hiç anmamak.

Sık Sorulan Sorular

Sitem Türkiye'deki bir sunucuda ama Cloudflare kullanıyorum. Aktarım var mı?

Kurumun rehberinde CDN'e özgü bir örnek bulamadık. Ziyaretçi trafiği yurt dışındaki bir veri işleyenin sunucularından geçtiği için rehberin genel ölçütleri (veri işleyene iletme veya erişilebilir kılma) gündeme gelebilir; ancak bu soru tartışmalıdır ve Kurulun bu konuda yayımlanmış bir kararını görmedik. İhtiyatlı yaklaşım, Cloudflare'i envantere yazmak, aydınlatma metninde belirtmek ve güvence durumunu sağlayıcının sözleşmelerinden kontrol etmektir.

Ziyaretçiden "verilerimin yurt dışına aktarılmasına onay veriyorum" kutusuyla rıza alsam yeterli olur mu?

Sürekli çalışan bir servis için genellikle hayır. 1 Eylül 2024 sonrasında açık rıza yalnızca arızi aktarımlar için bir istisnadır (md. 9/6-a, Yönetmelik md. 16). Ayrıca rızanın muhtemel riskler anlatılarak alınması gerekir.

Standart sözleşmeyi kim Kuruma bildirir, hosting firması mı ben mi?

Sözleşmede kararlaştırılabilir; kararlaştırılmamışsa veri aktaran bildirir (Yönetmelik md. 14/5). Bildirim fiziki olarak, KEP ile veya Standart Sözleşme Bildirim Modülü üzerinden yapılabilir.

Hiç kişisel veri toplamayan bir tanıtım sitesi için de geçerli mi?

Sitede form, üyelik, yorum, analitik çerezi yoksa ve sunucu logları da tutulmuyorsa aktarılacak kişisel veri çok azdır. Ancak sunucu logları ve CDN kayıtları genellikle IP adresi içerir; IP kişiyi belirlenebilir kıldığı ölçüde kişisel veridir. Log ayarlarınızı kontrol etmeden "veri yok" demeyin.

Yurt dışındaki sağlayıcıda bir veri ihlali olursa ne olur?

Sağlayıcı sizin adınıza veri işliyorsa, ihlalin Kurula ve ilgili kişilere bildirimi veri sorumlusu olarak sizin yükümlülüğünüzdür (md. 12/5). Ayrıntılar için veri ihlali bildirimi yazımıza bakın.

Adı geçen yazılım ve hizmet adları sahiplerine aittir. Bu yazı bağımsız bir rehberdir; Kişisel Verileri Koruma Kurumu veya adı geçen şirketlerle bir bağı bulunmaz.

İlgili içerikler: Web sitesi KVKK uyum kontrol listesi · Aydınlatma metni nasıl hazırlanır · İletişim formu ve KVKK · Çerez politikası ve çerez bandı · Cloudflare nedir, nasıl kurulur · Üyelik ve bülten verileri