Yurt dışındaki bulut sunucularında müşteri verisi depolayan bir e-ticaret firmasının, 21.04.2026 tarihli KVKK Genelgesi nasil uygulanir?

Yasal Dayanak ve Mevcut Çerçeve

21 Nisan 2026 tarihli bir KVKK Genelgesi'ne ilişkin sorunuz, henüz yayımlanmamış hipotetik bir düzenlemeye işaret etmektedir. Ancak, Kişisel Verilerin Korunması Kanunu (KVKK) ve mevcut ikincil mevzuat çerçevesinde kişisel verilerin yurt dışına aktarımı konusu halihazırda detaylı bir şekilde düzenlenmiştir. Gelecekte yayımlanacak olası bir Genelge de, bu temel yasal çerçeveye uygun olarak mevcut uygulamaları detaylandıracak veya belirli alanlarda açıklık getirecektir. Bu nedenle, mevcut yasal düzenlemeler ışığında yurt dışı veri aktarım süreçlerinizi nasıl gözden geçirmeniz gerektiği aşağıda açıklanmıştır.

Kişisel verilerin yurt dışına aktarımı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 9. maddesi ile düzenlenmektedir. Bu maddeye göre, kişisel veriler ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamaz. Ancak, Kanun'un 5. maddesinin ikinci fıkrası ile 6. maddesinin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve aktarılacak ülkede yeterli korumanın bulunması durumunda, ilgili kişinin açık rızası aranmaksızın kişisel veriler yurt dışına aktarılabilir.

Yeterli korumanın bulunduğu ülkeler, Kişisel Verileri Koruma Kurulu (Kurul) tarafından ilan edilir. Mevcut durumda, Kurul tarafından henüz yeterli korumanın bulunduğu bir ülke ilan edilmemiştir. Yeterli korumanın bulunmaması halinde ise, Türkiye'deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurul'un izninin bulunması kaydıyla kişisel veriler yurt dışına aktarılabilir. Ayrıca, Bağlayıcı Şirket Kuralları (BCR) da Kurul onayı ile bir aktarım mekanizması olarak kullanılabilir.

Bu düzenlemelere ek olarak, Kişisel Verileri Koruma Kurumu'nun internet sitesinde yayımlanan rehberler ve Kurul kararları, yurt dışı aktarımlar konusunda yol gösterici niteliktedir. (Bkz. www.kvkk.gov.tr)

Uyum Stratejisi ve Adımlar

E-ticaret firması olarak yurt dışındaki bulut sunucularında müşteri verisi depolamanız durumunda, aşağıdaki adımları izleyerek mevcut veri aktarım süreçlerinizi gözden geçirmeli ve güncellemelisiniz:

• 1. Veri Haritalama ve Envanter Oluşturma:

  Hangi müşteri verilerinin (kimlik, iletişim, finansal, işlem, pazarlama vb.) yurt dışına aktarıldığını, hangi bulut sunucularında (ülke, sağlayıcı) depolandığını ve bu verilerin aktarım amacını detaylı bir şekilde belirleyin. Veri Envanterinizi güncelleyin ve VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kaydınızda yurt dışına aktarılan veri kategorilerini ve aktarım yapılan ülkeleri doğru bir şekilde beyan edin.

• 2. Yasal Aktarım Gerekçesini Belirleme:

  Her bir veri aktarımı için KVKK'da belirtilen yasal gerekçelerden hangisinin esas alındığını tespit edin ve bu gerekçeyi belgeleyin:

  • Açık Rıza: Müşterilerinizden, verilerinin yurt dışındaki bulut sunucularında işlenmesi ve depolanması için aydınlatılmış ve özgür iradeyle verilmiş açık rıza alıyor musunuz? Rıza metinlerinizde aktarımın yapılacağı ülke, aktarım amacı ve aktarılan veri kategorileri açıkça belirtilmeli ve rızanın geri alınabileceği bilgisi verilmelidir.
  • Yeterli Koruması Olan Ülke: Verilerinizi aktardığınız ülke, KVKK tarafından "yeterli korumaya sahip" ülke olarak ilan edilmiş mi? Mevcut durumda böyle bir ülke henüz Kurul tarafından ilan edilmemiştir.
  • Taahhütname ve Kurul İzni: Eğer aktarım yapılan ülke yeterli korumaya sahip değilse ve açık rıza alınamıyorsa, Türkiye'deki ve yurt dışındaki veri sorumlularının yeterli korumayı yazılı olarak taahhüt ettikleri bir anlaşma (standart sözleşme maddeleri) yaparak Kurul'dan izin almanız gerekmektedir.
  • Bağlayıcı Şirket Kuralları (BCR): Eğer çok uluslu bir şirket grubunun parçasıysanız, Kurul tarafından onaylanmış Bağlayıcı Şirket Kuralları aracılığıyla veri aktarımı yapabilirsiniz.
• 3. Bulut Sağlayıcısı ile Sözleşmesel İlişkinin Gözden Geçirilmesi:

  Bulut hizmeti sağlayıcınızla yaptığınız sözleşmeleri (SLA, DPA - Data Processing Agreement) KVKK hükümlerine uygunluk açısından inceleyin. Bu sözleşmelerde veri işleyenin (bulut sağlayıcısı) yükümlülükleri, veri güvenliği tedbirleri, veri ihlali durumunda bildirim süreçleri ve denetim haklarınız açıkça belirtilmelidir. Sağlayıcının KVKK ile uyumlu hareket ettiğine dair güvenceler (örneğin ISO 27001 sertifikası) talep edin.

• 4. Güvenlik Tedbirlerinin Artırılması:

  Yurt dışındaki sunucularda depolanan veriler için teknik ve idari güvenlik tedbirlerini gözden geçirin ve güçlendirin. Şifreleme (encryption), erişim kontrolü, yedekleme, sızma testleri ve veri maskeleme gibi yöntemleri uygulayın. Veri ihlalini önlemeye yönelik prosedürler oluşturun ve düzenli olarak test edin.

• 5. Aydınlatma Metinleri ve Gizlilik Politikalarının Güncellenmesi:

  Müşterilerinizi, kişisel verilerinin yurt dışına aktarıldığı, aktarımın amacı, aktarım yapılan ülkeler (veya ülke kategorileri) ve yasal dayanağı hakkında açık ve anlaşılır bir dille bilgilendirin. Web sitenizdeki gizlilik politikası ve aydınlatma metinlerini bu doğrultuda güncelleyin.

• 6. İç Politika ve Prosedürlerin Oluşturulması/Güncellenmesi:

  KVKK uyum çerçevesinde kişisel verilerin yurt dışına aktarımına ilişkin bir iç politika ve prosedür oluşturun veya mevcut olanı güncelleyin. Çalışanlarınıza bu konuda eğitimler verin.

• 7. Periyodik Gözden Geçirme ve Risk Değerlendirmesi:

  Yurt dışı veri aktarım süreçlerinizi ve uyum stratejinizi düzenli aralıklarla (örneğin yıllık) gözden geçirin. KVKK mevzuatındaki değişiklikleri takip edin ve risk değerlendirmeleri yaparak olası zafiyetleri giderme yoluna gidin.

Unutulmamalıdır ki, Kişisel Verileri Koruma Kurumu tarafından yayımlanacak olası bir Genelge, mevcut yasal çerçeveyi temel alacak ve belirli konularda daha detaylı uygulama esasları getirecektir. Bu nedenle, yukarıda belirtilen adımlar, her durumda sağlam bir KVKK uyum temeli oluşturacaktır.

Onemli Noktalar

• Veri Haritalama ve VERBİS Kaydının Güncellenmesi
• Yasal Aktarım Gerekçesinin Belirlenmesi ve Belgelenmesi (Açık Rıza, Taahhütname/BCR)
• Bulut Sağlayıcısı Sözleşmelerinin KVKK Uyumunun Sağlanması
• Teknik ve İdari Güvenlik Tedbirlerinin Güçlendirilmesi ve Aydınlatma Metinlerinin Güncellenmesi
• Yurt Dışı Veri Aktarım Süreçlerinin Periyodik Gözden Geçirilmesi ve Risk Değerlendirmesi

Not: Nihai uygulama oncesi GIB, SGK ve Resmi Gazete duyurulari ile teyit ediniz.