Sunucum Yurt Dışında: KVKK Yurt Dışına Veri Aktarımı Kuralları ve Standart Sözleşme

Bir kurumsal müşteri sözleşmesinin eki olarak ya da bir denetim yazışmasında karşınıza tek bir cümle gelir: "Kişisel veriler nerede tutuluyor, yurt dışına aktarım var mı?" Hosting panelinizi açarsınız, sunucunun Frankfurt'ta olduğunu görürsünüz, alan adınızın önünde bir CDN vardır, gece yedekleri bir nesne depolamaya gider, e-postalar Google Workspace üzerinden çıkar. Aydınlatma metniniz vardır, çerez bandınız vardır, VERBİS kaydınız bile tamamdır — ama bu sorunun cevabı hiçbirinde yazmaz.

Türkçe kaynakların büyük kısmı KVKK'yı site içi bir konu gibi anlatır: aydınlatma metni yazın, açık rıza kutucuğunu ayırın, çerez politikası koyun. Bunlar doğrudur ama eksiktir, çünkü uyumun en pahalı kalemi metinlerde değil altyapı kararındadır. Sunucunuzun, CDN'inizin, yedeğinizin ya da mail sağlayıcınızın Türkiye dışında olması, KVKK açısından "yurt dışına kişisel veri aktarımı"dır ve 2024'te değişen madde 9 rejimi bunu ayrı bir hukuki yola bağlar. Üstelik bu aktarım çoğu zaman hiç fark edilmeden, bir eklenti kurulurken ya da bir yedekleme betiği yazılırken başlar.

Bu yazıda zinciri baştan sona kuruyoruz: hangi bileşenlerin aktarım sayıldığını, hosting sağlayıcınızın veri sorumlusu mu veri işleyen mi olduğunu, 7499 sayılı Kanun sonrası açık rızanın sürekli aktarım için neden artık kullanılamayacağını, yeterlilik kararı yokken standart sözleşme yolunun nasıl işlediğini ve imzadan sonraki beş iş günlük bildirim yükümlülüğünü. Sonunda elinizde iki somut çıktı olacak: bir sağlayıcı envanteri ve sağlayıcınızdan istemeniz gereken belgelerin listesi. Baştan söyleyeyim: burada anlatılanlar teknik envanterinizi doğru kurmanız içindir, imzalanacak metinlerin nihai değerlendirmesi için bir hukukçuyla çalışmanız gerekir.

Sunucunuzun Yurt Dışında Olması Neden Veri Aktarımı Sayılır#

KVKK, aktarımı bir "gönderme" eylemi olarak değil, verinin yurt dışındaki bir tarafın erişimine açılması olarak okur. Bir dosyayı e-posta ekinde Almanya'ya yollamakla, verinin baştan Almanya'daki bir diskte oluşmasını sağlamak arasında sonuç açısından fark yoktur; her iki durumda da veri Türkiye dışındaki bir tüzel kişinin fiziksel ve hukuki kontrolündeki bir sistemde durur.

Buradaki en yaygın itiraz şudur: "Ben veriyi kimseye vermiyorum ki, sadece sunucu kiralıyorum." Kiralama ilişkisinin ticari adı ne olursa olsun, o sunucudaki diski işleten, yedekleyen, arıza durumunda müdahale eden ve yerel yargı yetkisine tabi olan taraf sağlayıcıdır. Sağlayıcının çalışanı teknik bir arıza için diske erişebiliyorsa, bulunduğu ülkenin makamları yasal bir talep gönderebiliyorsa, veri o ülkenin kontrolündedir. KVKK'nın aktarım rejimi tam olarak bu gerçekliği düzenler.

İkinci sık itiraz "veriler şifreli" olmasıdır. Şifreleme madde 12 kapsamında değerli bir tedbirdir ama aktarımı ortadan kaldırmaz: anahtar sizde olsa bile şifreli veri hâlâ kişisel veridir ve hâlâ yurt dışındaki bir sistemde durur. Şifreleme hukuki dayanağı değil, ihlal hâlindeki riski azaltır.

Üçüncüsü ve en önemlisi: aktarım tek başına bir hukuki sebep değildir. Her aktarımda iki ayrı testi geçmeniz gerekir. Önce verinin işlenmesi madde 5 veya madde 6'daki bir şarta dayanmalıdır (sözleşmenin ifası, hukuki yükümlülük, meşru menfaat ya da açık rıza). Ardından, veri yurt dışına çıkacaksa madde 9'daki aktarım yollarından biri sağlanmalıdır. İlk testi geçmiş olmanız ikincisini kendiliğinden geçirmez; işleme dayanağınız "sözleşmenin ifası" olsa bile aktarım için ayrıca standart sözleşme ya da başka bir güvence gerekir. Bu iki katmanlı yapı, uyum çalışmalarında en sık atlanan noktadır. İşleme dayanaklarının kendisini ayrıntılı görmek isterseniz KVKK web sitesi uyumluluğu yazısı iyi bir tamamlayıcıdır.

Hangi Bileşenler Yurt Dışına Aktarım Yaratır#

Sunucu, listenin yalnızca ilk maddesidir. Tipik bir kurumsal sitede aktarım yaratan bileşenler şunlardır ve bunların yarısı genellikle hiçbir envanterde görünmez.

Bu tablodaki en tehlikeli satır yedeklemedir. Web sunucunuzu Türkiye'ye taşıyıp "artık yurt dışı aktarımım yok" demek, gece 03:00'te bütün veritabanını yurt dışındaki bir kovaya yollayan cron kaydını görmediğiniz sürece yanlıştır. Yedek, üretim veritabanının tamamını içerir; yani en geniş kapsamlı aktarım kalemi çoğu zaman en görünmez olanıdır.

İkinci sırada hata izleme gelir. Bir istisna yakalandığında gönderilen paket, çoğu kurulumda oturum açmış kullanıcının kimliğini, IP adresini ve bazen istek gövdesini taşır. Geliştirici bunu bir hata ayıklama aracı olarak görür, KVKK ise kişisel veri aktarımı olarak görür.

Üçüncüsü DNS'tir. Otoritatif DNS'i yurt dışındaki bir sağlayıcıya verdiğinizde o sağlayıcı ziyaretçilerinizin çözümleyici IP'lerini görür; sipariş verisiyle kıyaslanmaz ama sıfır da değildir ve envanterde "sınırlı kapsam" notuyla yer alması yeterlidir. CDN ile DNS'in aynı sağlayıcıda toplandığı yaygın kurulumu Cloudflare DNS ve CDN yazısında ele alıyoruz.

Veri Sorumlusu Kim, Veri İşleyen Kim#

Bu ayrım sözleşme modülünü belirlediği için pratikte kritiktir. Veri sorumlusu, verinin neden ve nasıl işleneceğine karar veren taraftır — yani sizsiniz. Hosting sağlayıcısı, CDN, yedek deposu ve gönderim servisi ise sizin talimatınız doğrultusunda veriyi barındıran veya işleyen taraflardır; bunlar veri işleyendir.

Bu ayrım sorumluluğu sağlayıcıya devretmez. KVKK madde 12, veri güvenliğinin sağlanması bakımından veri sorumlusunun veri işleyenle birlikte müştereken sorumlu olduğunu söyler. Yani sağlayıcınızın sunucusundaki bir yapılandırma hatası yüzünden veri sızarsa, ilgili kişi ve Kurul karşısındaki muhatap sizsiniz. "Sağlayıcım halletti" savunması yoktur; sağlayıcıyı seçerken ve denetlerken gösterdiğiniz özen sizin yükümlülüğünüzdür.

Bir istisna vardır ve gözden kaçar: bazı sağlayıcılar bazı işlemler bakımından kendi adına veri sorumlusu konumundadır. Örneğin bir ödeme kuruluşu, mevzuattan doğan kendi saklama ve raporlama yükümlülüklerini yerine getirirken sizin talimatınıza değil kendi hukuki yükümlülüğüne dayanır. Aynı şekilde bir güvenlik hizmeti, kendi tehdit istihbaratını beslemek için topladığı veride kendi amacını takip ediyor olabilir. Envanterinizde her sağlayıcı için rolü ayrıca yazmanız gerekir, çünkü rol değiştiğinde imzalanacak standart sözleşme modülü de değişir.

7499 Sayılı Kanun Sonrası Açık Rıza Neden Yetmiyor#

2024 öncesinde uygulamanın büyük kısmı tek bir cümleye dayanıyordu: aydınlatma metnine "verileriniz yurt dışındaki sunucularımıza aktarılabilir" yazılır, forma bir onay kutusu konur, iş bitmiş sayılırdı. Bu yaklaşım artık geçerli değildir.

12 Mart 2024'te Resmî Gazete'de yayımlanan 7499 sayılı Kanun, KVKK'nın 9. maddesini yeniden yazdı ve değişiklik 1 Haziran 2024'te yürürlüğe girdi. Yeni madde 9, aktarımı kademeli bir yapıya oturtur. En üstte yeterlilik kararı vardır: Kurul bir ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı vermişse, o adrese aktarım ek bir güvence gerektirmez. İkinci kademede uygun güvenceler bulunur — bağlayıcı şirket kuralları, standart sözleşme, taahhütname ve kamu kurumları arası anlaşmalar. En altta ise arızi haller yer alır ve açık rıza tam olarak buradadır.

Kritik nokta "arızi" kelimesidir. Açık rıza, madde 9/6 kapsamında yalnızca arızi, yani süreklilik arz etmeyen tek seferlik aktarımlar için kullanılabilir. Web sitenizin her ziyaretçisinin IP'sinin yurt dışındaki bir CDN'e ulaşması ya da her gece veritabanı yedeğinin yurt dışına çıkması tanımı gereği süreklidir. Dolayısıyla bir hosting kurgusunda açık rıza doğru araç değildir. Eski madde 9 kapsamındaki açık rıza ve taahhütname temelli aktarımlar için tanınan geçiş süresi de 1 Eylül 2024'te sona ermiştir.

Bunun bir de pratik gerekçesi var. Açık rıza her an geri alınabilir. Bir kullanıcı rızasını geri çektiğinde, o kullanıcının verisini yurt dışındaki sunucudan ayıklayıp yalnızca Türkiye'de tutmanız gerekirdi; hiçbir barındırma mimarisi bunu satır bazında yapamaz. Yani açık rıza teknik olarak da uygulanamaz bir dayanaktı.

Bu yazının hazırlandığı tarihte Kurul'un ilan ettiği bir yeterlilik kararı bulunmuyor; yani pratikte birinci satır bugün boştur. Listeyi kararınızı vermeden önce kvkk.gov.tr üzerinden doğrulayın, çünkü tek bir yeterlilik kararı bütün tabloyu değiştirir.

Standart Sözleşme Yolu Nasıl İşler#

Yeterlilik kararı yoksa ve çok uluslu bir grubun parçası değilseniz, uygulamada gerçekçi tek yol standart sözleşmedir. Kurum, metinleri hazır olarak yayımlar; siz sıfırdan bir sözleşme yazmazsınız, ilgili modülü indirip taraf bilgilerini ve eklerini doldurursunuz.

Dört modül vardır ve doğru modülü seçmek tamamen taraflarınızın rolüne bağlıdır:

1. Veri sorumlusundan veri sorumlusuna — karşı taraf veriyi kendi amacı için işliyorsa.
2. Veri sorumlusundan veri işleyene — bir hosting, CDN veya yedekleme sağlayıcısıyla imzalayacağınız modül tipik olarak budur.
3. Veri işleyenden veri sorumlusuna — siz bir başkasının verisini işliyorsanız ve geri aktarım varsa.
4. Veri işleyenden veri işleyene — alt işleyen zincirinde.

Metin üzerinde değişiklik yapılamaz. Taraflar ek hükümler ekleyebilir, ancak bu ekler standart sözleşmenin hükümleriyle çelişemez; çelişen bir ek, sözleşmeyi uygun güvence olmaktan çıkarır. Sağlayıcınız size kendi hazırladığı bir "veri işleme ekini" (DPA) sunduğunda bu Kurul'un standart sözleşmesinin yerine geçmez — o ayrı bir ticari belgedir ve ikisini birlikte imzalamanız gerekir.

Asıl atlanan adım imzadan sonrasıdır: standart sözleşme, imza tarihinden itibaren beş iş günü içinde Kurul'a bildirilmelidir. Bu bir tescil ya da onay süreci değildir; Kurul'un cevap vermesini beklemezsiniz, ancak bildirimi yapmamak başlı başına bir aykırılıktır. Bildirim, Kurum'un duyurduğu bildirim modülü üzerinden, KEP aracılığıyla veya Kurul'un belirlediği diğer yöntemlerle yapılabilir. Bildirim yükümlülüğünün ihlali, her yıl yeniden değerleme oranıyla güncellenen bir idari para cezasına bağlanmıştır; 2026 için üst sınır 1,8 milyon TL bandındadır. Güncel tutarı işlem yapmadan önce doğrulayın.

Beş iş günü kısa bir süredir ve sahada şöyle kaçırılır: sözleşme imzalanır, imzalı PDF bir klasöre konur, bildirim "sonra yaparız" diye ertelenir. İmza ve bildirimi tek bir iş kalemi olarak takvime bağlayın.

Sağlayıcı Envanterinizi Nasıl Çıkarırsınız#

Envanter tahminle değil ölçümle çıkar. Aşağıdaki komutlar, kâğıt üzerindeki mimarinizle gerçekte olan biteni karşılaştırmanızı sağlar.

Önce ana bileşenlerin fiziksel olarak nerede olduğunu doğrulayın:

# Alan adının A kaydı ve o IP'nin sahibi / ülkesi
dig +short ornek.com A
whois 203.0.113.10 | grep -Ei 'country|orgname|netname|descr'

# Önde bir CDN var mı, hangi uç nokta cevap veriyor
curl -sI https://ornek.com | grep -Ei 'server|cf-ray|x-served-by|via|x-cache'

# E-postalar hangi sağlayıcıya gidiyor
dig +short ornek.com MX
dig +short ornek.com TXT | grep -i spf

Sonra uygulama kodunun dışarıya açtığı uç noktaları arayın. Burada aradığınız şey CDN'den yüklenen bir yazı tipi değil, veri gönderen bir istektir:

# Dışarıya istek atan uç noktaları tarayın
grep -rEn "https?://[a-z0-9.-]+\.[a-z]{2,}/" \
  --include="*.php" --include="*.js" --include="*.twig" \
  public_html/ | grep -viE "schema\.org|w3\.org|fonts\.g" | head -40

# Yapılandırmadaki üçüncü taraf kimlik bilgilerini listeleyin
grep -rEn "API_KEY|_SECRET|SMTP_HOST|DSN|WEBHOOK" wp-config.php .env 2>/dev/null

En kritik adım yedeklerin izini sürmektir; bu kalem envanterlerin çoğunda eksiktir:

# Zamanlanmış yedekleme işleri nereye yazıyor
crontab -l | grep -Ei 'rclone|restic|borg|aws|s3|backup|mysqldump'

# rclone kullanıyorsanız hedeflerin tamamını görün
rclone listremotes
rclone config show | grep -Ei '^\[|^type|^region|^endpoint|^provider'

Toparladığınız bilgiyi denetimde savunabileceğiniz tek bir dosyaya yazın. Envanteri VERBİS kaydınızın yanında, sürüm kontrolü altında tutmak en temiz yöntemdir:

# veri-aktarim-envanteri.yml
- hizmet: Web sunucusu
  saglayici: Örnek Barındırma A.Ş.
  ulke: Türkiye
  rol: veri işleyen
  aktarilan_veri: üyelik, sipariş, erişim kayıtları
  yurt_disi_aktarim: hayir
  dayanak: yurt içi barındırma

- hizmet: CDN ve WAF
  saglayici: Örnek CDN Inc.
  ulke: ABD
  rol: veri işleyen
  aktarilan_veri: IP adresi, çerez, istek başlıkları
  yurt_disi_aktarim: evet
  dayanak: standart sözleşme modül 2
  imza_tarihi: 2026-03-02
  kurul_bildirim_tarihi: 2026-03-06

- hizmet: Gece yedeği (nesne depolama)
  saglayici: Örnek Storage Ltd.
  ulke: İrlanda
  rol: veri işleyen
  aktarilan_veri: üretim veritabanının tamamı
  yurt_disi_aktarim: evet
  dayanak: standart sözleşme modül 2
  not: en geniş kapsamlı aktarım kalemi

Bu dosya aynı zamanda VERBİS bildiriminizin aktarım bölümünü doldururken kaynak belgeniz olur; VERBİS'in kendi mantığını VERBİS kaydı nedir yazısında ayrıca ele alıyoruz.

Sağlayıcınızdan İstemeniz Gereken Belgeler#

Envanteri çıkardıktan sonra her yurt dışı kalem için sağlayıcıya yazmanız gerekir. Talep listesi kısa ve somut olmalı:

1. Veri işleme ekinin (DPA) güncel sürümü — işleme amacı, süresi, veri kategorileri ve talimat kapsamı yazılı olmalı.
2. Alt işleyen listesi ve bunların ülkeleri — sağlayıcınız yedeği başka bir bölgeye kopyalıyorsa aktarım zinciri uzar; bu listeyi göremiyorsanız envanteriniz eksiktir.
3. Verinin fiziksel olarak tutulduğu bölge(ler) — sözleşmede "seçtiğiniz bölge" yazması yetmez, çoklu bölge çoğaltmanın kapalı olduğunu teyit edin.
4. Standart sözleşmenin ilgili modülünü imzalamaya hazır olduklarına dair teyit — büyük sağlayıcılar bunu genellikle merkezî bir sözleşme portalından yürütür.
5. Alt işleyen değişikliklerinde önceden bildirim taahhüdü — yeni bir alt işleyen yeni bir aktarım demektir.
6. İhlal bildirim süresi ve kanalı — sizin Kurul'a bildirim süreniz işlemeye başladığında sağlayıcıdan bilgi bekliyor olamazsınız; ihlal anındaki akışı veri ihlali müdahale planı yazısında adım adım kuruyoruz.
7. Sertifikasyon ve denetim raporları — ISO 27001 kapsam belgesi veya SOC 2 raporu, özen yükümlülüğünüzü belgelemenin en pratik yoludur.

Bu yazışmayı e-posta üzerinden yapıp cevapları saklayın. Denetimde sorulan soru "aktarım var mıydı" değil, "aktarımı yaparken hangi özeni gösterdiniz" olur; yazışma o özenin kanıtıdır.

Yurt İçine Taşımak Bu Yükü Kaldırır mı#

Kısmen kaldırır. Sunucu, veritabanı, yedek ve mail Türkiye'deki bir sağlayıcıdaysa madde 9 devreye girmez; standart sözleşme imzalamanız, modül seçmeniz ve beş iş günlük bildirimi takip etmeniz gerekmez. Uyum yükünüz aydınlatma, açık rıza, güvenlik tedbirleri ve VERBİS'e iner. Belirli sektörlerde — bankacılık, ödeme hizmetleri, sağlık, kamu ihaleleri — zaten yurt içinde barındırma bekleniyorsa bu tek başına belirleyici olabilir.

Ama tek kriter değildir. Yurt içine taşımak size otomatik uyum vermez: yerel bir sağlayıcıyla da veri işleyen sözleşmesi imzalamanız, alt işleyenlerini sorgulamanız ve teknik tedbirleri belgelemeniz gerekir. Ayrıca "sunucu Türkiye'de" demek, önündeki CDN, hata izleme aracı ve analitik etiketi yurt dışındaysa aktarımın bittiği anlamına gelmez — envanterin tamamını taşımadıysanız yükümlülük de tam olarak kalkmaz.

Kararı verirken hız, destek ve maliyet tarafını da aynı masaya koyun. Ziyaretçilerinizin çoğu Türkiye'deyse yurt içi barındırma yanıt süresinde ölçülebilir bir kazanç da sağlar; hedef kitleniz ağırlıklı olarak yurt dışındaysa denge değişir. Bu tarafın sayısal karşılaştırmasını yurt içi mi yurt dışı hosting mi yazısında TTFB ölçümleriyle ele alıyoruz; Clou.TR gibi Türkiye lokasyonlu bir sağlayıcıyla çalışmak aktarım yükünü kaldırır, ancak kararı yalnızca bu başlığa dayandırmayın.

Pratik bir orta yol da var: geniş kapsamlı kalemleri (veritabanı, yedek, mail) yurt içine alıp, kişisel veri kapsamı dar olanları yurt dışında bırakmak. Aktarım tümüyle bitmez ama envanter kısalır ve takip edilebilir hâle gelir. 5651 sayılı Kanun kapsamındaki log tutma yükümlülüğünüz varsa o kayıtların nerede saklandığını da aynı envanterde değerlendirin; teknik tarafı 5651 log tutma yükümlülüğü yazısında.

Sıkça Sorulan Sorular#

Sunucum yurt dışında ama veriler şifreli, yine de aktarım sayılır mı?#

Evet, sayılır. Şifreleme KVKK madde 12 kapsamında değerli bir teknik tedbirdir ve ihlal hâlindeki riski ciddi biçimde azaltır, ancak verinin yurt dışındaki bir sistemde bulunduğu gerçeğini değiştirmez. Şifreli kişisel veri de kişisel veridir. Şifreleme aktarımın hukuki dayanağı yerine geçmez; standart sözleşme veya başka bir uygun güvence yine gereklidir.

Aydınlatma metnime yurt dışı aktarım cümlesi eklemem yeterli mi?#

Hayır. Aydınlatma yükümlülüğü ile aktarım için gereken hukuki güvence iki ayrı konudur. Aydınlatma metninde aktarımdan söz etmek zorunludur ve bunu yapmamak ayrı bir eksikliktir, ancak metne cümle eklemek aktarımı hukuka uygun hâle getirmez. Sürekli aktarımlarda ayrıca standart sözleşme imzalayıp beş iş günü içinde Kurul'a bildirim yapmanız gerekir.

Küçük bir işletmeyim, sadece Google Analytics kullanıyorum. Bu da aktarım mı?#

Ziyaretçinin IP adresi ve cihaz kimliği kişisel veri niteliğindedir, dolayısıyla yurt dışındaki bir ölçümleme servisine gitmesi aktarım oluşturur. İşletme büyüklüğü kanunun kapsamını değiştirmez. Pratik yaklaşım, aktarım yaratan tüm etiketleri çerez onayına bağlamak ve rıza verilmeyen ziyaretçilerde bu araçların hiç yüklenmemesini sağlamaktır.

Standart sözleşmeyi Kurul onaylıyor mu, cevap beklemem gerekiyor mu?#

Hayır. Standart sözleşme bir izin süreci değildir; Kurul'un onayı gerekmez ve bir cevap beklemezsiniz. Yükümlülüğünüz, sözleşmeyi imzaladıktan sonra beş iş günü içinde Kurul'a bildirmektir. Onay gerektiren yollar farklıdır: taahhütname Kurul izni, bağlayıcı şirket kuralları ise Kurul onayı ile uygulanabilir hâle gelir.

Hosting sağlayıcım sorumluluğu üstleniyor, ben yine de sorumlu muyum?#

Evet. KVKK madde 12, veri güvenliğinin sağlanması bakımından veri sorumlusunun veri işleyenle birlikte müştereken sorumlu olduğunu düzenler. Sözleşmede yer alan sorumluluk paylaşımı taraflar arasında rücu ilişkisi kurar, ancak ilgili kişi ve Kurul karşısındaki muhatabı değiştirmez. Sağlayıcı seçiminde ve denetiminde gösterdiğiniz özeni belgelemeniz gerekir.

Yedeğimi yurt dışına almayı bırakırsam aktarım biter mi?#

Yedek genellikle en geniş kapsamlı kalem olduğu için bu ciddi bir iyileştirmedir, ancak tek başına aktarımı bitirmez. CDN, mail sağlayıcısı, hata izleme aracı, DNS ve analitik etiketleri yerinde kaldığı sürece aktarım sürer. Doğru yöntem, envanterin tamamını çıkarıp her kalem için ayrı karar vermek; kapatabildiklerinizi kapatmak, kalanlar için standart sözleşme ve bildirim sürecini işletmektir.