GDPR'da Yurt Dışına Veri Aktarımı Nasıl Yapılır?
Kişisel verinin Avrupa Ekonomik Alanı dışına aktarılabilmesi için GDPR Bölüm V'te öngörülen üç mekanizmadan birine dayanılması zorunludur: Komisyon'un yeterlilik kararı (m. 45), uygun güvenceler (m. 46-47) veya belirli durumlara özgü istisnalar (m. 49). Bu üç mekanizma birbirinin alternatifi değil, sırayla değerlendirilmesi gereken bir hiyerarşidir.
GDPR m. 44 bu zorunluluğu, sonraki aktarımları da kapsayacak şekilde kurar: veri üçüncü ülkeden başka bir üçüncü ülkeye gönderildiğinde koruma zinciri kopmaz. Maddenin son cümlesi kuralın amacını açıkça ortaya koyar: Tüzüğün sağladığı koruma düzeyinin zayıflatılmaması.
"Aktarım" tam olarak ne demek?
Şaşırtıcı olan şu: GDPR "aktarım" kavramını tanımlamaz. Tüzüğün tamamı bu kavram üzerine kurulu bir bölüm içerir, ancak kavramın kendisi tanımsız bırakılmıştır. Boşluğu denetim otoritelerinin yorumu doldurur.
Avrupa Veri Koruma Denetçisi'nin 2014 tarihli pozisyon belgesi, aktarımın üç unsurunu şöyle tarif eder: kişisel verinin iletilmesi, ifşa edilmesi veya başka bir şekilde erişilebilir kılınması; bunun Tüzüğe tabi bir göndericinin bilgisi ya da iradesiyle yapılması; ve alıcının veriye erişecek olması.
Bu tanımın pratik sonucu, "veri fiziken taşınmadı" savunmasını çürütmesidir. Üçüncü ülkedeki bir ekibe Avrupa'daki sunucuya uzaktan erişim yetkisi vermek, hiçbir dosya kopyalanmasa dahi erişilebilir kılma niteliğindedir.
Neyin aktarım sayılmadığı
Burada dikkatli olunması gereken bir ayrım var.
Salt transit aktarım sayılmaz. Kişisel verinin bir üçüncü ülke üzerinden yönlendirilmesi, o ülkede esaslı bir işleme faaliyeti gerçekleşmedikçe Bölüm V kısıtlamasına girmez. Veri paketinin bir yönlendiriciden geçmesi ile o ülkede depolanması veya analiz edilmesi arasındaki fark budur.
İşleme sayılmayan bir alışveriş, aktarım sayılabilir. Tersi de doğrudur. Avrupa Birliği'ndeki bir kişi telefonla üçüncü ülkedeki birine bilgi verdiğinde ve karşı taraf bu bilgiyi bilgisayara girdiğinde, ilk alışveriş teknik olarak otomatik işleme değildir; ancak aktarım sonrasında otomatik işleme yapılacağı biliniyorsa bu bir aktarımdır. Belirleyici olan gönderenin iradesidir.
Web sitesinde yayımlama meselesi. Adalet Divanı, Lindqvist kararında bir internet sayfasına kişisel veri yüklemenin işleme sayıldığını, ancak sayfanın dünya çapında erişilebilir olmasının verinin siteye erişen kişilere aktarılması anlamına gelmediğini tespit etmiştir. Bu karar Direktif döneminde verilmiştir ve dönemin doktrininde, aktarım kuralını büyük ölçüde işlevsiz bıraktığı yönünde eleştirilmiştir.
Buradan hareketle "üçüncü ülkeden uzaktan erişime izin vermek aktarım sayılmaz" sonucuna varmak, bugün hatalı olur. EDPB'nin uluslararası aktarım kavramına ilişkin 05/2021 sayılı kılavuzu, üçüncü ülkedeki bir veri sorumlusu veya işleyene erişim sağlanmasını aktarım olarak değerlendirmektedir. Lindqvist'in bugün geçerliliğini koruyan çekirdeği, herkese açık yayımlamanın belirsiz sayıda kişiye yapılmış bir aktarım sayılmamasıdır; kimliği belirli bir alıcıya sağlanan erişim ise aktarımdır. (Güven seviyesi: Orta. Doktrinde tartışmalıdır ve Adalet Divanı'nın GDPR dönemine ait doğrudan bir kararı bulunmamaktadır.)
Üç katmanlı sistem
Birinci katman: Yeterlilik kararı (m. 45). Komisyon hedef ülkeyi, ülkenin belirli bir bölgesini veya belirli bir sektörünü yeterli bulmuşsa kullanılır. Ek bir izin gerekmez, aktarım serbest dolaşımdaki bir aktarım gibi işler.
İkinci katman: Uygun güvenceler (m. 46-47). Yeterlilik kararı yoksa devreye girer. Koruma, kamusal bir karardan değil tarafların kurduğu hukuki araçtan doğar. Kural olarak ek izin gerekmez; yalnızca taraflarca özel olarak müzakere edilen sözleşme hükümlerinde ve bağlayıcı olmayan idari düzenlemelerde denetim otoritesinin onayı aranır.
Üçüncü katman: İstisnalar (m. 49). İlk iki katman kullanılamıyorsa başvurulur. Ek izin gerekmez, ancak istisna niteliği gereği dar yorumlanır ve süreklilik arz eden aktarımlar için uygun değildir.
Sıralama önemlidir. m. 49, ilk cümlesinde kendisini açıkça "yeterlilik kararının veya uygun güvencelerin yokluğunda" uygulanacak bir mekanizma olarak konumlandırır. İstisnaya doğrudan başvurmak, üst katmanların neden kullanılamadığı gösterilemediği sürece savunulabilir bir tercih değildir.
Katman 1: Yeterlilik kararı
Komisyon, bir ülkenin veya belirli bir sektörünün yeterli koruma sağladığına karar verirse, o ülkeye aktarım ek bir izne tabi olmaz (m. 45(1)). Değerlendirmede hukuk devleti ilkesi, kamu otoritelerinin veriye erişimi, bağımsız bir denetim otoritesinin varlığı ve uluslararası taahhütler dikkate alınır (m. 45(2)).
Adalet Divanı, "yeterli koruma düzeyi" ölçütünü, Birlik hukukunun güvence altına aldığı korumaya özü itibarıyla eşdeğer bir düzey olarak yorumlamıştır. Eşdeğerlik, birebir aynılık değildir; ancak koruma düzeyinin özünde bir gerileme kabul edilmez.
27 Temmuz 2026 itibarıyla yeterlilik kararı bulunan başlıca yargı alanları arasında Birleşik Krallık (19 Aralık 2025'te yenilendi, 27 Aralık 2031'e kadar geçerli), Brezilya (26 Ocak 2026), Japonya, Güney Kore, İsviçre, Kanada (ticari kuruluşlar bakımından), İsrail, Yeni Zelanda ve Uruguay bulunur. Avrupa Patent Örgütü, Temmuz 2025'te yeterlilik kararı verilen ilk uluslararası kuruluştur. Amerika Birleşik Devletleri için genel bir yeterlilik kararı yoktur; 2023 tarihli karar yalnızca Veri Gizliliği Çerçevesi kapsamında sertifikalı kuruluşlar bakımından geçerlidir ve bu karara karşı açılan iptal davası ilk derecede reddedilmiş olsa da temyiz incelemesi Adalet Divanı önünde derdesttir.
Yeterlilik kararının varlığı, ulusal denetim otoritesinin yetkisini ortadan kaldırmaz. İlgili kişi, yeterlilik kararı bulunan bir ülkeye yapılan aktarımın hukuka aykırı olduğu kanaatindeyse kendi ülkesinin otoritesine başvurabilir. Komisyon'un, ulusal otoritelerin denetim yetkisini sınırlandırma yetkisi bulunmamaktadır.
Katman 2: Uygun güvenceler
Yeterlilik kararı yoksa, veri sorumlusu veya işleyeni uygun güvenceler sağlamak zorundadır (m. 46). Kullanılabilecek araçlar şunlardır: kamu makamları arasında hukuken bağlayıcı ve icra edilebilir bir belge, bağlayıcı şirket kuralları (m. 47), Komisyon veya denetim otoritesi tarafından kabul edilmiş standart sözleşme hükümleri, davranış kuralları ve sertifikasyon mekanizmaları. Denetim otoritesinin izniyle, taraflar arasında özel olarak müzakere edilen sözleşme hükümleri de kullanılabilir (m. 46(3)).
Standart sözleşme hükümlerini işlevsel kılan iki unsur vardır. Birincisi, ilgili kişiye sözleşmenin tarafı olmadığı hâlde sözleşmesel hakları kullanma imkânı veren üçüncü kişi lehine şart. İkincisi, veri alıcısının uyuşmazlık hâlinde veri ihracatçısının denetim otoritesinin ve mahkemelerinin yetkisini kabul etmesi. Bu iki unsur olmaksızın sözleşme, ilgili kişi bakımından icra edilebilir bir koruma üretmez.
Katman 3: İstisnalar
Madde 49(1) yedi hâl sayar: ilgili kişinin risklerden haberdar edilerek verdiği açık rıza, sözleşmenin ifası için gereklilik, ilgili kişi yararına yapılan sözleşme, önemli kamu yararı, hukuki taleplerin tesisi ve savunulması, hayati menfaatlerin korunması ve kamuya açık sicillerden yapılan aktarımlar.
Maddenin ikinci fıkrası, çok az bilinen bir son çare mekanizması içerir. Diğer hiçbir dayanak kullanılamıyorsa aktarım, ancak şu koşulların tamamı birlikte gerçekleşirse yapılabilir: tekrar eden nitelikte olmaması, sınırlı sayıda ilgili kişiyi kapsaması, veri sorumlusunun zorlayıcı meşru menfaatlerinin bulunması ve bu menfaatlerin ilgili kişinin hak ve özgürlükleriyle bastırılmaması, tüm koşulların değerlendirilerek uygun güvencelerin sağlanmış olması. Ayrıca veri sorumlusu hem denetim otoritesini hem de ilgili kişiyi aktarımdan ve güttüğü zorlayıcı meşru menfaatten haberdar etmek zorundadır. Bu, uygulamada neredeyse hiç kullanılmayan ancak tek çıkış yolu olduğu vakalarda hayat kurtaran bir hükümdür.
Schrems II ne değiştirdi?
Adalet Divanı, Schrems II kararında standart sözleşme hükümlerinin geçerliliğini korumuş, ancak bunların otomatik bir güvence olmadığını tespit etmiştir. Kararın 134. paragrafı sorumluluğu doğrudan veri sorumlusuna yükler: hedef ülkenin hukukunun yeterli korumayı sağlayıp sağlamadığını, gerektiğinde veri alıcısıyla işbirliği içinde, vaka bazında doğrulamak veri sorumlusunun görevidir.
Kararın 142. paragrafı zinciri tamamlar: taraflar aktarımdan önce koruma düzeyini doğrulamak zorundadır; alıcı, hükümlere uyamayacak durumda olduğunu ihracatçıya bildirmekle yükümlüdür ve ihracatçı bu bildirim üzerine aktarımı askıya almak veya sözleşmeyi sonlandırmak zorundadır.
İlk paragraf ise denetim otoritesine takdir yetkisi bırakmaz: hükümlere üçüncü ülkede uyulamıyorsa ve koruma başka yollarla sağlanamıyorsa, taraflar aktarımı kendiliğinden durdurmamışsa otorite aktarımı askıya almak veya yasaklamakla yükümlüdür.
Aktarım etki değerlendirmesi (TIA) uygulaması, doğrudan bu üç paragrafın ürünüdür. Standart sözleşme hükümlerini imzalayıp değerlendirme yapmamak, Schrems II sonrasında uyumsuzluğun kendisidir.
Yabancı bir mahkeme kararı aktarım dayanağı olur mu?
Hayır. GDPR m. 48, üçüncü ülke mahkemesinin veya idari makamının bir veri sorumlusundan veri aktarmasını veya ifşa etmesini talep eden kararının, ancak karşılıklı adli yardım anlaşması gibi yürürlükteki bir uluslararası anlaşmaya dayanması hâlinde tanınabileceğini öngörür. Yabancı bir mahkeme kararının kendisi, Bölüm V'te öngörülen dayanakların yerine geçmez.
GDPR ile KVKK arasındaki fark
KVKK m. 9, 2 Mart 2024 tarihli ve 7499 sayılı Kanun'un 34. maddesiyle baştan yazıldı ve 1 Haziran 2024'te yürürlüğe girdi. Yeni yapı GDPR'ın üç katmanını doğrudan yansıtır: yeterlilik kararı (m. 9/1-3), uygun güvenceler (m. 9/4), arızi haller (m. 9/6). Benzerlik yapısaldır, ancak dört noktada esaslı ayrışma vardır.
Yeterlilik kararında karşılıklılık kriteri. KVKK m. 9(3)(a), Kurul'un yeterlilik kararı verirken hedef ülkeyle Türkiye arasındaki karşılıklılık durumunu öncelikle dikkate almasını öngörür. GDPR m. 45(2)'de böyle bir ölçüt yoktur; Komisyon'un testi temel hak odaklıdır. Karşılıklılık, hukuki değil diplomatik ve ticari bir ölçüttür ve iki rejimin yeterlilik anlayışını ayıran en belirgin farktır.
Bildirim yükümlülüğü. KVKK m. 9(5), standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesini zorunlu kılar. GDPR'da standart sözleşme hükümlerinin herhangi bir otoriteye bildirilmesi gerekmez. Bildirim yapılmaması, m. 18(1)(d) uyarınca idari para cezasına tabidir ve bu ceza Kanun'daki cezalar arasında veri işleyene de uygulanabilen tek cezadır.
İstisnalarda arızilik şartı. KVKK m. 9(6) tüm istisnaları "arızi olmak kaydıyla" ifadesiyle sınırlar. GDPR m. 49(1)'de sayılan yedi hâl için böyle genel bir arızilik şartı yoktur; tekrar etmeme koşulu yalnızca ikinci fıkradaki son çare istisnası için aranır. KVKK bu noktada GDPR'dan daha dardır ve açık rızaya dayalı sürekli aktarım modelini fiilen kapatır.
Kurul iznine bağlı özel hâl. KVKK m. 9(9), Türkiye'nin veya ilgili kişinin menfaatinin ciddi zarar göreceği durumlarda aktarımı ilgili kamu kurumunun görüşü ve Kurul izni şartına bağlar. GDPR'da bu hükmün karşılığı yoktur.
Uygulama tarafında Kurul, 4 Haziran 2024 tarihli ve 2024/959 sayılı kararıyla dört senaryo için standart sözleşme metinlerini kabul etti: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. Yapı, Komisyon'un 2021/914 sayılı kararındaki dört modüle paraleldir, ancak belgeler ayrıdır ve birbirinin yerine geçmez. Türkiye'den Avrupa Ekonomik Alanı dışına yapılan bir aktarımda Kurul metni, Avrupa'dan Türkiye'ye yapılan bir aktarımda ise Komisyon metni gerekir. İki yönlü veri akışı bulunan yapılarda her iki setin de imzalanması gerekebilir.
Son olarak iki eksiklik: bu yazının hazırlandığı tarih itibarıyla Kurul'un Resmî Gazete'de yayımlanmış bir yeterlilik kararı bulunmamaktadır ve Avrupa Komisyonu da Türkiye için bir yeterlilik kararı vermemiştir. Türkiye, GDPR bakımından üçüncü ülke konumundadır.
Sıkça Sorulan Sorular
Grup içi aktarımlar da Bölüm V kapsamında mıdır? Evet. GDPR grup şirketleri için genel bir muafiyet öngörmez. Aynı grubun Avrupa Ekonomik Alanı dışındaki bir iştirakine yapılan aktarım da bir mekanizmaya dayanmak zorundadır. Bağlayıcı şirket kuralları tam olarak bu ihtiyaç için tasarlanmıştır.
Standart sözleşme hükümlerini imzalamak tek başına yeterli mi? Hayır. Schrems II uyarınca hedef ülkenin hukuk düzeninin ayrıca değerlendirilmesi ve gerektiğinde ek teknik veya sözleşmesel önlemlerin alınması zorunludur. Değerlendirme yapılmamışsa hükümlerin imzalanmış olması korumaz.
İlgili kişinin açık rızası kalıcı bir çözüm olabilir mi? Uygulamada olamaz. m. 49(1)(a) rızası, aktarımın taşıdığı risklerin açıkça anlatılmış olmasını gerektirir ve her zaman geri alınabilir. Süreklilik arz eden operasyonel aktarımlar için istikrarlı bir dayanak sunmaz.
Yeterlilik kararı iptal edilirse ne olur? Aktarımın derhâl durması gerekmez, ancak dayanağın değiştirilmesi gerekir. Safe Harbour ve Privacy Shield deneyimleri, yeterlilik kararına tek başına bağımlı kalmanın operasyonel bir risk olduğunu göstermiştir. Kritik veri akışları için yedek bir mekanizmanın hazırda tutulması makul bir tedbirdir.
Verinin Avrupa'da kalması yükümlülüğü ortadan kaldırır mı? Verinin fiziken Avrupa'da bulunması tek başına yeterli değildir. Üçüncü ülkedeki bir kuruluşa erişim sağlanmışsa, erişim aktarım olarak değerlendirilir. Sunucu konumu değil, kimin eriştiği belirleyicidir.
KVK ve GDPR Uyum Serisi
Bu yazı serisi ile Avrupa’da faaliyet göstermek isteyen Türkiye’de kurulu firmalara GDPR ve uyum hakkında bilgi vermek amaçlanmıştır.
1) Veri Sorumlusu mu Veri İşleyen mi?
2) Yurt Dışına Veri Aktarımı Nasıl Yapılır?
3) Veri İşleme Sözleşmesi (DPA) Nedir, Ne Zaman Yapılır?
4) Standart Sözleşme Hükümleri (SCC) Nedir?
