6698 sayılı Kişisel Verilerin Korunması Kanunu’nun yurt dışına veri aktarımını düzenleyen 9. maddesi, 12 Mart 2024 tarihli Resmî Gazete’de yayımlanan 7499 sayılı Kanun ile değişti ve değişiklik 1 Haziran 2024’te yürürlüğe girdi. Yeni düzende aktarım; yeterlilik kararı, standart sözleşme gibi uygun güvenceler ya da sınırlı arızi hâllere dayanıyor. Standart sözleşmenin imzalandıktan sonra beş iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirilmesi gerekiyor. Uygulamanın usul ve esasları ise Temmuz 2024’te yayımlanan yönetmelikle belirlendi.
Web sitesi yaptıran işletme için bu gelişmenin anlamı şu: yurt dışında barınan hosting, form aracı, analiz hizmeti ya da e-posta altyapısı kullanılıyorsa kişisel veri yurt dışına gidiyor olabilir. 2026’da yeni site kurarken bu araçların envanterini çıkarmak artık teknik değil, hukuki bir hazırlık adımı. Aşağıda altı kontrol noktasını sıralıyoruz; bu yazı hukuki danışmanlık yerine geçmez.
Güncelleme: Ekim 2026 · Gündem Masası · Denetleyen: Gürbüz Özdem
- Değişiklik tam olarak ne getirdi?
- Nokta 1 ve 2: Hosting nerede, form verisi nereye gidiyor?
- Nokta 3 ve 4: Analiz aracı ve e-posta altyapısı
- Nokta 5: Sohbet aracı, eklentiler ve gömülü içerikler
- Nokta 6: Aydınlatma metni ve çerez bildirimi
- Web sitesi yaptırırken ajansa ne sorulmalı?
- Sizin için ne anlama geliyor?
- Sık Sorulan Sorular
Değişiklik tam olarak ne getirdi?
Eski metinde yurt dışına aktarım için uygulamada en sık başvurulan yol ilgili kişinin açık rızasıydı. Yeni 9. madde aktarımı üç dayanağa bağlıyor: Kurulun yeterlilik kararı, standart sözleşme ve bağlayıcı şirket kuralları gibi uygun güvenceler ve süreklilik taşımayan arızi hâller. Standart sözleşme kullanılıyorsa Kuruma bildirim zorunlu hâle geldi.
Resmî metin
Kanun değişikliğinin tam metni Resmî Gazete arşivinde, 12 Mart 2024 tarihli sayıda yer alıyor.
Kurum duyuruları
Standart sözleşme metinleri, yönetmelik ve duyurular Kişisel Verileri Koruma Kurumu sitesinde yayımlanıyor.
Nokta 1 ve 2: Hosting nerede, form verisi nereye gidiyor?
İlk soru sitenin barındırıldığı sunucunun konumudur. Sunucu yurt dışındaysa, sitedeki formlardan gelen ad, telefon ve e-posta gibi veriler yurt dışında saklanıyor olabilir. İkinci soru formun kendisidir: form verisi sitenin kendi veritabanına mı, yoksa yurt dışındaki bir form hizmetine mi gidiyor? İki cevap da envantere yazılmalı.
Sunucu konumu
Hosting firmasından sunucunun bulunduğu ülkeyi yazılı olarak isteyin. Aynı firma farklı ülkelerde sunucu sunabilir.
Form akışı
Formun gönderdiği verinin hangi hizmette tutulduğunu ajansınıza sorun. Hazır form eklentileri veriyi farklı yerlerde saklayabilir.
Nokta 3 ve 4: Analiz aracı ve e-posta altyapısı
Ziyaretçi davranışını ölçen analiz araçları ve kurumsal e-posta ya da bülten hizmetleri çoğu zaman yurt dışı merkezli sağlayıcılardır. Bu araçların hangi veriyi topladığı, nerede işlediği ve sağlayıcının hangi güvenceyi sunduğu kontrol edilmelidir. Karar hukuki değerlendirme ister; ajansın görevi araçları ve veri akışını eksiksiz listelemektir.
Analiz
Ölçüm kurulumunun nasıl yapıldığı dönüşüm takibi ve ölçümleme yazısında. Kurulumda hangi verinin toplandığı envantere girmeli.
E-posta ve bülten
Bülten listesi tutuluyorsa liste verisinin hangi hizmette saklandığı ve bu hizmetin sözleşme koşulları ayrıca incelenmeli.
DIKKAT
Bu yazı genel bilgilendirmedir ve hukuki danışmanlık yerine geçmez. Hangi aktarımın hangi dayanağa oturacağı, işletmenizin veri işleme faaliyetine göre bir hukukçu tarafından değerlendirilmelidir.
Nokta 5: Sohbet aracı, eklentiler ve gömülü içerikler
Canlı sohbet kutuları, harita ve video gömmeleri, randevu ve ödeme eklentileri ziyaretçiden veri alabilir ya da ziyaretçinin tarayıcısını üçüncü taraf sunuculara bağlayabilir. Yeni sitede kullanılacak her eklentinin hangi veriyi topladığı listelenmeli. Gereksiz eklenti hem güvenlik hem veri yükü açısından risktir; kullanılmayan eklenti hiç kurulmamalıdır.
Eklenti listesi
Teslimde kurulu eklentilerin listesini ve her birinin işlevini isteyin. Bu liste aynı zamanda güvenlik bakımının da temelidir.
Güvenlik bağı
Eklenti ve güncelleme yönetimi web sitesi güvenliği yazısında anlatılıyor.
Nokta 6: Aydınlatma metni ve çerez bildirimi
Envanter çıkınca aydınlatma metni ve çerez bildirimi bu envantere göre güncellenmelidir. Metinde verinin hangi amaçla işlendiği ve aktarılıp aktarılmadığı açıkça yer alır. Metnin içeriği işletmenin sorumluluğundadır ve hukuki danışmanlıkla hazırlanmalıdır. Ajans ise metnin sitede doğru yerde durmasını ve çerez yapısının metne uygun çalışmasını sağlar.
Hazırlıkta yeri
Yasal metinler, site hazırlık klasörünün dokuzuncu dosyasıdır. Liste web sitesi için hazırlanacak bilgiler yazısında.
Kurum rehberleri
Kurumun çerez uygulamaları ve aydınlatma yükümlülüğüne dair yayımladığı rehberler, metni hazırlayan hukukçu için başlangıç kaynağıdır.
Web sitesi yaptırırken ajansa ne sorulmalı?
Üç soru yeterli bir başlangıçtır: sitenin barındırılacağı sunucu hangi ülkede, sitede kullanılacak üçüncü taraf araçlar hangileri ve form ile analiz verisi nereye gidiyor. Bu sorulara yazılı cevap alın ve envanter olarak saklayın. Envanter, hukuki değerlendirmenin de, ileride ajans değiştirdiğinizde devrin de temel belgesidir.
Envanter şablonu
Her satırda araç adı, işlevi, topladığı veri, sağlayıcının ülkesi ve sözleşme durumu yazsın. Altı satırlık bir tablo çoğu site için yeterlidir.
Teslimde yeri
Biz bu envanteri teslim dosyasına ekliyoruz. Dosyanın diğer kalemleri web sitesi teslim dosyası yazısında.
| Web sitesinde yurt dışına veri aktarımı nerede olabilir? | Kontrol sorusu |
|---|---|
| Hosting | Sunucu hangi ülkede |
| Form | Veri hangi hizmette saklanıyor |
| Analiz | Hangi veri toplanıyor, nerede işleniyor |
| E-posta ve bülten | Liste verisi hangi sağlayıcıda |
| Sohbet ve eklentiler | Hangi veri üçüncü tarafa gidiyor |
| Aydınlatma metni | Envanterle uyumlu mu |
Sizin için ne anlama geliyor?
Yeni site kuruyorsanız araç seçimini baştan envanterle birlikte yapın; sonradan düzeltmek daha zahmetlidir. Mevcut siteniz varsa altı noktayı bir kez kontrol edin ve sonucu hukukçunuzla paylaşın. Değişiklik web sitesini kurmayı zorlaştırmıyor; yalnız hangi aracın ne yaptığını bilmeyi zorunlu kılıyor.
Site yaptırmadan önceki altı karar web sitesi yaptırmadan önce yazısında; fiyat ve süreç rehberinin tamamı web sitesi yaptırmak istiyorum sayfasında.
HIZLI ÖZET
- 7499 sayılı Kanun ile KVKK’nın 9. maddesi değişti
- Aktarım yeterlilik kararı, uygun güvenceler ya da arızi hâllere dayanıyor
- Standart sözleşme beş iş günü içinde Kuruma bildiriliyor
- Hosting, form, analiz, e-posta ve eklentiler envantere yazılmalı
- Hukuki değerlendirme için envanteri hukukçunuzla paylaşın
KISA SÖZLÜK
Yeterlilik kararı: Kişisel Verileri Koruma Kurulu’nun bir ülke ya da sektörün yeterli koruma sağladığına dair verdiği karar için kullanılan terimdir.
Standart sözleşme: Yurt dışına veri aktarımında Kurumun ilan ettiği metne uygun olarak taraflar arasında imzalanan güvence sözleşmesidir.
Araç envanteri: Web sitesinde kullanılan hizmet ve eklentilerin işlevi, topladığı veri ve sağlayıcı ülkesiyle listelendiği belge için kullanılan addır.
GÜNDEM MASASI
AINEO destekli masa · Gelişme, güncelleme ve “ne anlama geliyor”
İlk paragraf tüm haberi verir. Kaynak zorunlu, spekülasyon yok; sonda sizin için anlamı. AINEO destekli masa · Denetleyen editör: Gürbüz Özdem
SITENIZIN ARAÇ ENVANTERINI BIRLIKTE ÇIKARALIM
Sitenizin adresini ya da planladığınız araçları yazın; hangi aracın hangi veriyi nereye gönderdiğini listeleyelim, hukukçunuza hazır bir envanter verelim.
