Modeli yurt dışında çalışan bir yapay zekâ aracına müvekkil verisi girilmesi, KVKK m.9 anlamında yurt dışına aktarımdır ve bir mekanizmaya dayanmak zorundadır. 7499 sayılı Kanun m.9’u tümüyle yeniden yazmış, 1 Haziran 2024’ten itibaren kademeli bir rejim getirmiştir: önce yeterlilik kararı, yoksa uygun güvenceler, o da yoksa yalnızca arızi istisnalar. Buradaki kritik pratik olgu şudur: Kurum’un Ocak 2025 tarihli Yurt Dışına Aktarım Rehberi’nde yeterlilik kararı listesinin henüz yayımlanmadığı ve bu nedenle uygulamada bir karşılığının bulunmadığı belirtilmiştir. Türkiye’nin Avrupa Birliği veya başka ülkeler için yeterlilik kararı verdiği yönündeki iddialar Kurum’un kendi belgeleriyle çelişmektedir. Sonuç, avukat için tek yönlüdür: rutin araç kullanımında gerçekçi olan yol, standart sözleşmenin imzalanması ve beş iş günü içinde Kuruma bildirilmesidir. Açık rıza yalnızca arızi aktarımlar için kullanılabilir ve düzenli kullanımı meşrulaştırmaz.
Kısaca
- 7499 sayılı Kanun m.9’u tamamen değiştirdi. Kanun 2/3/2024’te kabul edildi, 12 Mart 2024 tarihli ve 32487 sayılı Resmî Gazete’de yayımlandı; yeni rejim 1 Haziran 2024’te yürürlüğe girdi.
- Rejim üç kademelidir. Yeterlilik kararı; yoksa uygun güvenceler (anlaşma, bağlayıcı şirket kuralları, standart sözleşme, taahhütname); ikisi de yoksa yalnızca arızi istisnalar.
- Yeterlilik kararının uygulamada karşılığı yoktur. Kurum’un Ocak 2025 tarihli Rehberi listenin henüz yayımlanmadığını belirtmektedir; 2025 Faaliyet Raporu’nda da yeterlilik kararına ilişkin bir rakam yer almamaktadır.
- Ölçeklenebilir tek yol standart sözleşmedir. Metin değiştirilemez ve imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilir.
- Açık rıza rutin kullanımı kurtarmaz. m.9/6, açık rızayı yalnızca “arızi olmak kaydıyla” kullanılabilir kılar.
- Sonraki aktarımlar da kapsamdadır. m.9/8, aktarılan verinin sonraki aktarımlarına da aynı güvencelerin uygulanmasını arar; bir arayüzün arkasındaki model sağlayıcısı bu nedenle önemlidir.
- Bildirimin yapılmaması ayrı bir ceza sebebidir. 2026 yılında m.9/5 bildirim yükümlülüğünün ihlali 90.308 TL ile 1.806.177 TL arasında idari para cezası doğurur.
7499 neyi, ne zaman değiştirdi
7499 sayılı Kanun, kişisel verilerin korunması mevzuatında dört noktaya dokundu ve bunlardan biri yurt dışına aktarım rejiminin tamamıydı.
Kanunun resmî adı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun’dur ve kamuoyunda 8. Yargı Paketi olarak anılmıştır. Kabul tarihi 2/3/2024, Resmî Gazete yayımı 12 Mart 2024 tarihli ve 32487 sayılıdır.
| 7499 sayılı Kanun md. | 6698 sayılı Kanun üzerindeki etkisi |
|---|---|
| md. 33 | m.6/2 mülga edildi; m.6/3 değiştirildi (özel nitelikli veri için yeni kapalı şart listesi) |
| md. 34 | m.9 tamamen değiştirildi (yurt dışına aktarım rejimi) |
| md. 35 | m.18/1’e (d) bendi eklendi (standart sözleşme bildirim ihlali cezası) |
| md. 36 | Geçici madde 3 eklendi |
Yürürlük tarihi 1 Haziran 2024’tür. Bu tarih, Geçici madde 3’ün ikinci fıkrasındaki “1/6/2024 tarihi itibarıyla sulh ceza hâkimliklerinde görülmekte olan başvurular, bu hâkimliklerce görülmeye devam olunur” ifadesiyle ve hukuk bürolarının bültenleriyle doğrulanmaktadır; 7499’un kendi yürürlük maddesinin lafzı kamuya açık kaynaklarda teyit edilememiştir.
Geçiş rejimi açısından ikinci bir tarih daha vardır. Geçici madde 3’ün birinci fıkrası şudur: “9 uncu maddenin bu maddeyi ihdas eden Kanunla değiştirilmeden önceki birinci fıkrası, maddenin yürürlüğe giren değişik haliyle birlikte 1/9/2024 tarihine kadar uygulanmaya devam olunur.” Yani eski açık rıza temelli aktarım yolu 1 Eylül 2024’e kadar paralel olarak kullanılabilmiştir. O tarihten sonra geçiş dönemi kapanmıştır.
Uygulama esasları, 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete’de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile düzenlenmiştir. Yönetmelik yayımı tarihinde yürürlüğe girmiştir.
Bir hukuk bürosu için değişimin özeti tek cümledir: 1 Eylül 2024’ten itibaren yabancı bir bulut veya yapay zekâ hizmetinin rutin kullanımı, müvekkilden alınan bir onay metniyle meşrulaştırılamaz.
Yeni m.9 nasıl kurgulanmış
m.9 kademeli bir yapı kurar. Önce yeterlilik kararına bakılır, bulunmazsa uygun güvencelere geçilir, o da sağlanamazsa yalnızca arızi istisnalar kalır.
Birinci kademe: yeterlilik kararı. m.9/1, kişisel verilerin m.5 ve m.6’daki şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması hâlinde yurt dışına aktarılabileceğini söyler. Karar Kurul tarafından verilir, Resmî Gazete’de yayımlanır ve en geç dört yılda bir değerlendirilir.
İkinci kademe: uygun güvenceler. m.9/4, yeterlilik kararının bulunmaması durumunda, m.5 ve m.6 şartlarından birinin varlığı ile ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla dört güvenceden birini arar: kamu kurumları arasındaki anlaşma ve Kurul izni; Kurul tarafından onaylanan bağlayıcı şirket kuralları; Kurul tarafından ilan edilen standart sözleşme; yeterli korumayı sağlayacak hükümler içeren yazılı taahhütname ve Kurul izni.
Üçüncü kademe: arızi istisnalar. m.9/6, yeterlilik kararı bulunmaması ve uygun güvencelerden hiçbirinin sağlanamaması durumunda, “arızi olmak kaydıyla” sayılan hâllerden birinin varlığında aktarıma izin verir. Bunlar arasında muhtemel riskler hakkında bilgilendirilme kaydıyla açık rıza, sözleşmenin ifası, üstün kamu yararı ve bir hakkın tesisi, kullanılması veya korunması için zorunluluk yer alır.
Üç noktanın altı çizilmelidir. Birincisi, m.9/1 ve m.9/4 yükümlülüğü “veri sorumluları ve veri işleyenler” için birlikte kurar; sağlayıcı da doğrudan muhataptır. İkincisi, m.9/8 uyarınca yurt dışına aktarılan verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımlar bakımından da aynı güvenceler sağlanır. Üçüncüsü, m.9/10 uyarınca diğer kanunlardaki aktarım hükümleri saklıdır.
Yeterlilik kararının uygulamada karşılığı var mı
Yoktur. Kurum’un kendi belgeleri, yayımlanmış bir yeterlilik kararı listesi bulunmadığını göstermektedir.
Kurum’un Ocak 2025 tarihli Yurt Dışına Aktarım Rehberi’ndeki ifade şudur: “Henüz liste yayımlanmadığı için şu an için uygulamada bir karşılığı bulunmamaktadır.”
Kurum’un 2025 Faaliyet Raporu bu tabloyu destekler. Raporda 2025 yılında 2.497 standart sözleşme bildirimi yapıldığı belirtilmiştir; 2024 yılındaki sayı 1.364’tür. Taahhütname başvurularında ise 90 başvurudan 13’ü onaylanmış, 76’sı reddedilmiştir. Yeterlilik kararına ilişkin herhangi bir rakam raporda yer almamaktadır.
Burada yaygın bir yanlış bilgiye değinmek gerekir. Bazı internet kaynakları Türkiye’nin Avrupa Birliği, Avrupa Ekonomik Alanı, Birleşik Krallık, İsviçre, Japonya, Güney Kore ve Yeni Zelanda için yeterlilik kararı verdiğini ileri sürmektedir. Bu iddia Kurum’un kendi Rehberi ve Faaliyet Raporu ile çelişmektedir ve Avrupa Birliği’nin kendi yeterlilik listesiyle karıştırılmış görünmektedir. Bir yeterlilik kararı Resmî Gazete’de yayımlanmak zorundadır; böyle bir yayım teyit edilememiştir.
Bu tespitin bir sınırı vardır ve belirtilmelidir: yukarıdaki durum Kurum’un Ocak 2025 tarihli Rehberi ile 2025 Faaliyet Raporu üzerinden doğrulanmıştır. 2026 içinde bir yeterlilik kararı yayımlanmış olması ihtimaline karşı, aktarım kurgusu kurulmadan önce Kurum’un yurt dışına aktarım sayfası ve Resmî Gazete kontrol edilmelidir.
Pratik sonuç şudur: bugün bir avukat, kullandığı yabancı aracın bulunduğu ülke için “zaten yeterlilik kararı var” diyerek m.9’un ilk kademesine dayanamaz. İkinci kademeye geçilmesi gerekir.
Standart sözleşme nasıl işler
Standart sözleşme, Kurul tarafından ilan edilen ve metni değiştirilemeyen bir belgedir; imzalandıktan sonra beş iş günü içinde Kuruma bildirilmesi zorunludur.
Kurum, 10 Temmuz 2024’te dört senaryo için standart sözleşme modülleri yayımlamıştır:
| Modül | Taraflar | Hukuk bürosu için tipik karşılık |
|---|---|---|
| 1 | Veri sorumlusundan veri sorumlusuna | Sağlayıcı kendi amacını belirliyorsa |
| 2 | Veri sorumlusundan veri işleyene | Büro sağlayıcıdan hizmet alıyor ve sağlayıcı yalnızca talimatla işliyorsa |
| 3 | Veri işleyenden veri işleyene | Sağlayıcının alt işleyiciye aktarımı |
| 4 | Veri işleyenden veri sorumlusuna | Geri aktarım hâlleri |
Bir avukatlık bürosunun yabancı bir yazılım sağlayıcısıyla kuracağı tipik ilişkide Modül 2 kullanılır. Sağlayıcı yüklenen içeriği kendi modelini eğitmek veya kendi analitiği için kullanıyorsa, o faaliyet bakımından kendi amacını belirlemiş ve bağımsız veri sorumlusu hâline gelmiş olur; bu durumda değerlendirilmesi gereken modül değişir.
Yönetmeliğin 14. maddesi iki kuralı birlikte koyar. Standart sözleşme metninin üzerinde herhangi bir değişiklik yapılmaksızın kullanılması zorunludur; yalnızca metinde öngörülen seçimlik veya alternatif hükümler üzerinde tercih yapılabilir. İkinci olarak, standart sözleşme imzaların tamamlanmasından itibaren beş iş günü içinde fiziki olarak veya kayıtlı elektronik posta adresi ya da Kurul tarafından belirlenen diğer yöntemlerle Kuruma bildirilir.
İki sık yapılan hata vardır. Birincisi, sağlayıcının sunduğu kendi veri işleme sözleşmesini standart sözleşme yerine geçer sanmaktır. Bir sağlayıcının Avrupa Birliği standart sözleşme hükümlerini içeren belgesi, KVKK m.9 bakımından bir uygun güvence oluşturmaz. İkincisi, imzayı atıp bildirimi unutmaktır; bildirim, sözleşmenin geçerliliğinden bağımsız ve ayrı yaptırıma bağlı bir yükümlülüktür.
Buna ek olarak, sağlayıcıyla ayrıca bir veri işleme sözleşmesi yapılması gerekir. Kurum’un Ocak 2018 tarihli Kişisel Veri Güvenliği Rehberi bu sözleşmenin yazılı olmasını, işlemenin yalnızca veri sorumlusunun talimatları doğrultusunda yürütülmesini, veri işleyenin süresiz sır saklama yükümlülüğü altında olacağının belirtilmesini, ihlalin derhâl bildirilmesini ve aktarılan veri kategorilerinin sayılmasını arar. Yurt dışı ayağı için standart sözleşme, iç ilişki için veri işleme sözleşmesi gerekir; ikisi birbirinin yerine geçmez.
Bağlayıcı şirket kuralları ve taahhütname kimin için
Bağlayıcı şirket kuralları grup şirketleri içindir; taahhütname ise mümkündür ancak onay oranı düşüktür.
Bağlayıcı şirket kuralları. m.9/4-b, ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına ilişkin hükümler içeren ve Kurul tarafından onaylanan kuralları arar. Bu mekanizma, çok uluslu bir grubun kendi içindeki aktarımları içindir. Bağımsız bir hukuk bürosunun harici bir sağlayıcıyla ilişkisinde uygulanabilir değildir.
Taahhütname. m.9/4-ç, yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığını ve Kurul tarafından aktarıma izin verilmesini arar. Yani taahhütname tek başına yetmez; Kurul izni gerekir. Kurum’un 2025 Faaliyet Raporu’na göre o yıl 90 taahhütname başvurusundan 13’ü onaylanmış, 76’sı reddedilmiştir. Bu, taahhütname yolunun kapalı olduğu anlamına gelmez; ancak öngörülebilir ve hızlı bir çözüm olmadığını gösterir.
Kamu kurumları arasındaki anlaşma. m.9/4-a, yurt dışındaki kamu kurumları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurumları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan, uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığını ve Kurul iznini arar. Barolar ve Türkiye Barolar Birliği kamu kurumu niteliğinde meslek kuruluşudur; bu bendin meslek örgütü düzeyinde bir çözüm için teorik olarak kullanılabilir olduğu söylenebilir. Böyle bir anlaşmanın yapıldığına dair bir kaynak bulunmamaktadır.
Bir tarihsel not: Kurul’un 22/07/2020 tarihli ve 2020/559 sayılı kararı, 108 sayılı Sözleşme’nin dayanak gösterilerek yurt dışına aktarım yapılmasını konu almıştır. Karar 7499 öncesi m.9 döneminde verilmiştir ve mevcut mekanizma listesine ilişkin değildir. Genel bir uluslararası belgeye atıf yapmanın m.9’daki yükümlülüğü karşılamadığı yönündeki yaklaşım bakımından hâlâ öğreticidir. Aynı şekilde 17/03/2022 tarihli ve 2022/249 sayılı kararda bir teknoloji şirketinin ilgili kişinin kişisel verilerini açık rıza olmaksızın yurt dışına aktarması ele alınmıştır; kararın tam gerekçesi kamuya açık kaynaklarda teyit edilememiştir ve bu karar da 7499 öncesi döneme aittir.
Açık rıza neden çözüm değil
Çünkü m.9/6 açık rızayı yalnızca “arızi olmak kaydıyla” kullanılabilir kılar ve bir aracın günlük olarak kullanılması arızi değildir.
Eski rejimde açık rıza, yurt dışına aktarımın genel ve pratik yoluydu. 7499 bunu değiştirdi ve açık rızayı üçüncü kademeye, istisnalar arasına indirdi. Geçiş dönemi 1 Eylül 2024’te sona ermiştir.
“Arızi” kelimesi metinde bir sıfat değil, bir sınırdır. Bir defalık, olağan akışın dışında kalan bir aktarım arızidir. Bir yapay zekâ aracının her dosyada, her hafta, olağan iş akışının parçası olarak kullanılması arızi değildir. Bu nedenle müvekkile imzalatılan bir yurt dışı aktarım onayı, rutin araç kullanımını meşrulaştırmaz.
İkinci bir sorun daha vardır. Açık rıza, m.3’te “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanır. Bir dava dosyasında yalnızca müvekkilin verisi bulunmaz; karşı taraf, tanıklar ve üçüncü kişiler de vardır. Onlardan rıza alınması fiilen mümkün değildir. Müvekkilin rızası, karşı tarafın verisinin aktarımını hukuka uygun hâle getirmez.
m.9/6-d’deki “bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması” bendi, dava takibiyle doğrudan ilgili görünür ve tek tek dosyalarda savunulabilir. Ancak bu bent de “arızi olmak kaydıyla” kaydına tabidir. Bir yazılımın sürekli kullanımı için genel bir dayanak olarak kurulamaz.
Bir yapay zekâ aracında aktarım tam olarak ne zaman gerçekleşir
Veri, Türkiye dışındaki bir sistemde işlendiği anda aktarım gerçekleşir; arayüzün Türkçe olması veya şirketin Türkiye’de temsilcisi bulunması bu sonucu değiştirmez.
Dört yapıyı ayırmak gerekir.
Tümüyle yurt içinde çalışan araç. Model ve depolama Türkiye’deki sunucularda ise m.9 devreye girmez. Diğer bütün KVKK yükümlülükleri aynen uygulanır.
Yurt içi arayüz, yurt dışı model. Türkiye’de kurulu bir şirketin ürünü, arka planda yurt dışındaki bir model sağlayıcısına istek gönderiyor olabilir. Bu bir aktarımdır. m.9/8 uyarınca sonraki aktarımlar da kapsamdadır; zincirin tamamı sorulmalıdır.
Doğrudan yabancı hizmet. Kullanıcı hesabı yurt dışındaki bir şirkete aitse ve işleme orada yapılıyorsa doğrudan aktarım vardır.
Karma kurulum. Bazı ürünlerde depolama yurt içinde, model çağrısı yurt dışındadır. Bu durumda aktarım, model çağrısına giden içerik bakımından gerçekleşir. Belirleyici olan verinin nerede durduğu değil, nerede işlendiğidir.
Bir noktanın altı çizilmelidir: yükümlülük yalnızca büroya ait değildir. m.9/1 ve m.9/4 “veri sorumluları ve veri işleyenler” ifadesini kullanır ve m.9/5’teki beş iş günü bildirimi de her iki tarafı bağlar. Sağlayıcının kendi yükümlülüğünü yerine getirmemesi, bürodaki yükümlülüğü ortadan kaldırmaz.
Sağlayıcıya hangi sorular sorulur
Aşağıdaki sorular, işlemenin nerede gerçekleştiğini ve hangi mekanizmanın gerektiğini tespit etmeye yöneliktir. Cevaplar sözlü değil, sözleşme veya yazılı teknik dokümantasyon düzeyinde alınmalıdır.
- Model çağrısı hangi ülkede işleniyor? Şirketin merkezi değil, isteğin işlendiği yer sorulmalıdır.
- Depolama nerede? Yedeklerin ve log kayıtlarının bulunduğu ülke ayrıca sorulur.
- Alt işleyiciler kimler ve nerede? Liste yazılı olarak istenir. m.9/8 zinciri kapsadığı için bu liste eksiksiz olmalıdır.
- Alt işleyici listesi değiştiğinde bildirim yapılıyor mu? Yeni bir ülke eklendiğinde aktarım kurgusu değişebilir.
- KVKK standart sözleşmesinin hangi modülünü imzalamaya hazırsınız? Sağlayıcının Avrupa Birliği standart sözleşme hükümlerini sunması bu soruya cevap değildir.
- Bildirimi kim yapacak? Beş iş günü yükümlülüğü her iki tarafı bağlar; kimin ne zaman bildireceği yazılı olarak kararlaştırılmalıdır.
- İçerik model eğitiminde kullanılıyor mu? Kullanılıyorsa sağlayıcı kendi amacını belirlemiş olabilir ve rol dağılımı değişir.
- Destek talebi açıldığında içeriğe kimler erişiyor ve hangi ülkeden? Uzaktan destek erişimi de bir aktarım doğurabilir.
- Veri silme talebi yedekleri kapsıyor mu ve ne kadar sürede tamamlanıyor?
- İhlal hâlinde bildirim süresi nedir? m.12/5 kapsamındaki bildirim ödevi veri sorumlusu sıfatıyla avukatta kalır.
Uyumlu bir kurulum neye benziyor
Aşağıdaki tablo, m.9’un kademeli yapısını karar sırasına çevirir. Uygulaması büronuzun kullandığı ürüne ve dosya yapısına bağlıdır.
| Sıra | Soru | Cevap | Sonuç |
|---|---|---|---|
| 1 | Metinde kişisel veri var mı | Hayır, tam anonim | m.9 uygulanmaz. Anonimleştirme kaydı tutulur |
| 1 | Metinde kişisel veri var mı | Evet | 2. adıma geçilir |
| 2 | İşleme Türkiye’de mi gerçekleşiyor | Evet, model ve depolama yurt içinde | m.9 uygulanmaz. m.4, m.5, m.6, m.10 ve m.12 uygulanmaya devam eder |
| 2 | İşleme Türkiye’de mi gerçekleşiyor | Hayır veya belirsiz | 3. adıma geçilir |
| 3 | m.5 veya m.6’da bir işleme şartı var mı | Hayır | Aktarım yapılamaz. Veri kapsamı daraltılır veya araç değiştirilir |
| 3 | m.5 veya m.6’da bir işleme şartı var mı | Evet (tipik olarak m.5/2-e, m.6/3-d) | 4. adıma geçilir |
| 4 | Hedef ülke için yeterlilik kararı var mı | Kurum belgelerine göre yayımlanmış liste yoktur | 5. adıma geçilir. Kurum sayfası ve Resmî Gazete ayrıca kontrol edilir |
| 5 | Grup içi aktarım mı | Evet | Bağlayıcı şirket kuralları değerlendirilir (Kurul onayı gerekir) |
| 5 | Grup içi aktarım mı | Hayır | 6. adıma geçilir |
| 6 | Sağlayıcı standart sözleşmeyi imzalıyor mu | Evet | Modül 2 imzalanır, metin değiştirilmez, beş iş günü içinde Kuruma bildirilir |
| 6 | Sağlayıcı standart sözleşmeyi imzalıyor mu | Hayır | 7. adıma geçilir |
| 7 | Taahhütname yolu deneniyor mu | Evet | Kurul izni beklenir; 2025’te 90 başvurudan 13’ü onaylanmıştır |
| 7 | Taahhütname yolu deneniyor mu | Hayır | 8. adıma geçilir |
| 8 | Aktarım arızi mi | Evet, tek seferlik ve olağan akış dışı | m.9/6 istisnaları değerlendirilir; riskler hakkında bilgilendirme yapılır |
| 8 | Aktarım arızi mi | Hayır, rutin kullanım | Uygun bir mekanizma yoktur. Aktarım yapılmamalıdır |
Bu tablonun en çok başvurulan satırı altıncı sıradır. Standart sözleşme, bugünkü koşullarda rutin kullanım için tek ölçeklenebilir yoldur.
İhlalin bedeli nedir
Standart sözleşmenin süresinde bildirilmemesi başlı başına bir idari para cezası sebebidir ve 2026 yılında alt sınır 90.308 TL’dir.
m.18/1’e 7499 ile eklenen (d) bendi, m.9’un beşinci fıkrasındaki bildirim yükümlülüğünü yerine getirmeyenler hakkında idari para cezası öngörür. Bendin 2016 tarihli nominal tutarları 50.000 TL ile 1.000.000 TL’dir; bu tutarlar her yıl yeniden değerleme oranıyla güncellenir. 2026 için uygulanan oran yüzde 25,49’dur ve 27 Kasım 2025 tarihli, 33090 sayılı Resmî Gazete’de yayımlanan 585 Sıra No.lu Vergi Usul Kanunu Genel Tebliği ile belirlenmiştir.
| m.18/1 bendi | İhlal | 2026 alt sınır | 2026 üst sınır |
|---|---|---|---|
| b | m.12 veri güvenliği yükümlülüğü | 256.357 TL | 17.092.242 TL |
| d | m.9/5 standart sözleşme bildirimi | 90.308 TL | 1.806.177 TL |
Bu tutarları belirleyen Kurul kararının numarası kamuya açık kaynaklarda teyit edilememiştir; rakamlar birbirini doğrulayan ikincil kaynaklara dayanmaktadır. Ayrıca hukuka aykırı bir aktarım, çoğu zaman yalnızca (d) bendiyle sınırlı kalmaz; uygun güvence olmadan yapılan aktarım m.12 kapsamında da değerlendirilir.
Yargı yolu bakımından bir değişiklik de kaydedilmelidir. Hukuk bürolarının bültenlerinde, 7499 ile Kurul tarafından verilen idari para cezalarına karşı idare mahkemelerinde dava açılabileceğinin açıkça düzenlendiği belirtilmektedir; geçiş hükmü olarak Geçici madde 3, 1/6/2024 itibarıyla sulh ceza hâkimliklerinde görülmekte olan başvuruların bu hâkimliklerce görülmeye devam olunacağını söyler. Değişikliği yapan madde numarası doğrudan doğrulanamamıştır; bu bilgi firma kaynağına dayanmaktadır.
KVKK yükümlülüklerinin bütünü kümedeki KVKK yazısında, aktarımdan kaçınmanın en pratik yolu olan anonimleştirme ise anonimleştirme yazısında ele alınmaktadır. Sır saklama boyutu ayrı bir rejimdir ve sır saklama ve bulut yazısında incelenmektedir.
Sık sorulan sorular
Yabancı bir yapay zekâ aracına anonim bir metin verirsem yurt dışına aktarım olur mu?
Metin gerçekten anonimse, ortada kişisel veri bulunmadığı için m.9 uygulanmaz. Belirleyici olan, metnin belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilip ilişkilendirilemeyeceğidir. Takma adlandırma bu sonucu doğurmaz; eşleştirme kaydı bulunduğu sürece veri kişisel veri olmaya devam eder ve aktarım rejimi işler.
Sağlayıcının Avrupa Birliği standart sözleşme hükümleri var. Yeterli mi?
Yeterli değildir. KVKK m.9/4-c, Kurul tarafından ilan edilen standart sözleşmeyi arar. Avrupa Birliği’nin kendi standart sözleşme hükümleri farklı bir hukuk düzenine aittir ve Kurul’un ilan ettiği metnin yerine geçmez. Ayrıca Kurul metninde değişiklik yapılamaz ve imzadan itibaren beş iş günü içinde Kuruma bildirim zorunludur; bu bildirim yükümlülüğünün Avrupa Birliği belgelerinde karşılığı yoktur.
Müvekkilim yurt dışına aktarıma yazılı onay verdi. Bu yeterli mi?
Rutin kullanım için yeterli değildir. m.9/6 açık rızayı yalnızca “arızi olmak kaydıyla” kullanılabilir kılar. Bir aracın olağan iş akışının parçası olarak kullanılması arızi sayılmaz. Ayrıca dosyada karşı tarafın ve tanıkların verisi de bulunur; müvekkilin rızası onların verisi bakımından bir dayanak oluşturmaz.
Türkiye’de sunucusu olduğunu söyleyen bir ürün kullanıyorum. Kontrol etmem gerekir mi?
Gerekir. Depolamanın yurt içinde olması, model çağrısının da yurt içinde işlendiği anlamına gelmez. Karma kurulumlarda içerik, yanıt üretilirken yurt dışındaki bir modele gidebilir. Sorulacak soru depolamanın değil, işlemenin yerine ilişkindir. Alt işleyici listesi yazılı olarak istenmelidir.
Standart sözleşmeyi imzaladım ama bildirimi unuttum. Ne olur?
Bildirim yükümlülüğünün ihlali, m.18/1-d uyarınca ayrı bir idari para cezası sebebidir ve 2026 yılında alt sınır 90.308 TL’dir. Bildirim, sözleşmenin taraflar arasındaki geçerliliğinden bağımsız bir kamu hukuku yükümlülüğüdür. Süre, imzaların tamamlanmasından itibaren beş iş günüdür.
Türkiye Avrupa Birliği için yeterlilik kararı verdi mi?
Böyle bir karar teyit edilememiştir ve bu yöndeki iddialar Kurum’un kendi belgeleriyle çelişmektedir. Kurum’un Ocak 2025 tarihli Rehberi, listenin henüz yayımlanmadığını ve uygulamada bir karşılığı bulunmadığını belirtir. 2025 Faaliyet Raporu’nda da yeterlilik kararına ilişkin bir rakam yoktur. Bir yeterlilik kararı Resmî Gazete’de yayımlanmak zorundadır.
Beş iş günü bildirimini büro mu, sağlayıcı mı yapar?
m.9/5 yükümlülüğü hem veri sorumlusuna hem veri işleyene yöneliktir; metin “veri sorumlusu veya veri işleyen tarafından” der. Bu, kimin yapacağının taraflar arasında kararlaştırılabileceği anlamına gelir. Ancak sağlayıcının ihmali bürodaki riski ortadan kaldırmadığı için, bildirimin yapıldığına dair kaydın büroda bulunması tercih edilir.
Kaynakça
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kabul 24/3/2016; RG 7 Nisan 2016, S.29677), m.3, m.5, m.6, m.9 (Değişik: 2/3/2024-7499/34), m.12, m.18, Geçici m.3. Konsolide metin: kisiselverilerinkorunmasi.org (Erişim: 20 Ağustos 2026)
- 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun (Kabul 2/3/2024; RG 12 Mart 2024, S.32487). alomaliye.com (Erişim: 20 Ağustos 2026)
- 7499 sayılı Kanun, Resmî Gazete metni, 12 Mart 2024, S.32487 (Erişim: 20 Ağustos 2026).
- Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, RG 10 Temmuz 2024, S.32598; m.14. alomaliye.com (Erişim: 20 Ağustos 2026)
- Erdem & Erdem, “Yurt Dışına Kişisel Veri Aktarımı Rehberi Neleri Düzenliyor” (Kurum’un Ocak 2025 tarihli Rehberi ve yeterlilik kararı durumu). erdem-erdem.av.tr (Erişim: 20 Ağustos 2026)
- Erdem & Erdem, “Kişisel Verilerin Korunması Kanununda Neler Değişti” (7499 sayılı Kanunun yürürlüğü ve yargı yolu). erdem-erdem.av.tr (Erişim: 20 Ağustos 2026)
- GRC Legal, KVKK 2025 Faaliyet Raporu özeti (2.497 standart sözleşme bildirimi; 90 taahhütname başvurusundan 13 onay, 76 ret). grc-legal.com (Erişim: 20 Ağustos 2026)
- Moroğlu Arseven, “Guide on Cross-Border Data Transfers” (standart sözleşme modülleri). morogluarseven.com (Erişim: 20 Ağustos 2026)
- Kişisel Verileri Koruma Kurulu, 22/07/2020 tarih ve 2020/559 sayılı Karar Özeti (yurt dışına aktarımda açık rıza ve bilgilendirme yükümlülüğü). Kurum’un resmî sitesinde yayımlanmıştır (Erişim: 20 Ağustos 2026).
- Kişisel Verileri Koruma Kurulu, 17/03/2022 tarih ve 2022/249 sayılı Karar Özeti. Kurum’un resmî sitesinde yayımlanmıştır (Erişim: 20 Ağustos 2026).
- Kişisel Verileri Koruma Kurumu, Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler), Ocak 2018, Ankara, ISBN 978-975-19-6834-0; “Kişisel Verilerin Bulutta Depolanması” bölümü. Kurum’un resmî sitesinde PDF olarak yayımlanmıştır (Erişim: 20 Ağustos 2026).
- Vergi Usul Kanunu Genel Tebliği (Sıra No: 585), RG 27 Kasım 2025, S.33090 (yeniden değerleme oranı yüzde 25,49). alomaliye.com (Erişim: 20 Ağustos 2026)
- 2026 yılı KVKK idari para cezası tutarları. koksalpartners.com (Erişim: 20 Ağustos 2026)
Son güncelleme: 20 Ağustos 2026.
Bu yazı, Türk hukukuna özel yapay zekâ altyapısı geliştiren Hammurabi ekibi tarafından hazırlanmıştır. hammurabi.tr