Yabancı Şirketler İçin KVKK: GDPR Uyumunun Ötesinde Türkiye Ne İster

GDPR’a uyumlu bir şirket, Türkiye’de uyumlu değildir. Burada kişisel veri işleme, 24 Mart 2016 tarihinde kabul edilen ve 7499 sayılı Kanun’la 1 Haziran 2024’ten itibaren esaslı biçimde yeniden yazılan 6698 sayılı Kişisel Verilerin Korunması Kanunu ile düzenlenir. Avrupalı grupları en sık yanıltan dört yükümlülüğün GDPR’da doğrudan karşılığı yoktur: işlemeye başlamadan önce VERBİS’e kayıt, Türkiye’de yerleşik olmayan veri sorumluları için Türkiye’de yerleşik bir veri sorumlusu temsilcisi atanması, yurt dışı aktarımında kullanılan standart sözleşmenin imzadan itibaren beş iş günü içinde bildirilmesi ve — Temmuz 2026 itibarıyla — Türk düzenleyicinin hiçbir ülke için yeterlilik kararı vermemiş olması; dolayısıyla hiçbir yurt dışı aktarımı böyle bir karara dayanamaz. Düzenleyici, Ankara’da idarî ve malî özerkliğe sahip bir kamu tüzel kişisi olan Kişisel Verileri Koruma Kurumu’dur; karar organı olan Kurul, 21. madde uyarınca yetkilerini bağımsız kullanır ve hiçbir organ ya da kişi ona talimat veremez.

Hangi hukuka uygunluk sebeplerine dayanabilirsiniz?

Önce yaygın bir yanılgıyı bir kenara koyalım: KVKK’da meşru menfaat sebebi vardır. 5. maddenin ikinci fıkrasının (f) bendi, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesine olanak tanır.

Farklı olan, kurgudur. Madde 5/1, kural olarak kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceğini söyler; m. 5/2’deki diğer sebepler bu kuralın istisnası olarak işler — kanunlarda açıkça öngörülme, fiilî imkânsızlık hâlinde hayat ya da beden bütünlüğünün korunması, sözleşmenin kurulması ya da ifasıyla doğrudan ilgili olma, veri sorumlusunun hukuki yükümlülüğü, verinin ilgili kişice alenileştirilmiş olması, bir hakkın tesisi, kullanılması ya da korunması ve meşru menfaat. GDPR ise m. 6’da açık rızayı altı eşdeğer hukuka uygunluk sebebinden biri olarak sayar. Sonuç çoğu zaman örtüşür; ancak Türkçe aydınlatma metinlerinin ve rıza akışlarının Avrupa kurgusunu değil, Türk kurgusunu izlemesi gerekir.

Ayrışma asıl özel nitelikli verilerde keskinleşir. 7499 sayılı Kanun’la değiştirilen 6. madde; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik verileri sayar. Bu verilerin işlenmesi, m. 6/3’ün (a)–(g) bentlerindeki şartlardan biri gerçekleşmedikçe yasaktır ve bu bentler arasında meşru menfaat yoktur. Madde 6/4, ayrıca Kurulca belirlenen yeterli önlemlerin alınmasını arar. Örneğin işyeri sağlık kayıtlarını meşru menfaate dayandıran bir Avrupa analizi, Türkiye’ye taşındığında ayakta kalmaz.

2024 reformundan sonra veri Türkiye dışına nasıl çıkar?

Madde 9, Resmî Gazete’nin 12 Mart 2024 tarih ve 32487 sayılı nüshasında yayımlanan 7499 sayılı Kanun ile tümüyle değiştirilmiştir. Ayrıntı, 10 Temmuz 2024 tarih ve 32598 sayılı Resmî Gazete’de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik’tedir. Eski rejim, Geçici 3. madde uyarınca yeni rejimle birlikte yalnızca 1 Eylül 2024’e kadar uygulanmıştır.

Ortaya, GDPR’a aşina her uygulamacının tanıyacağı üç kademeli bir yapı çıkar:

Birinci kademe — yeterlilik kararı. Madde 9/1–3 uyarınca aktarım, m. 5 ya da m. 6’daki şartlardan biri varsa ve Kurul, aktarımın yapılacağı ülke, ülke içindeki sektör ya da uluslararası kuruluş hakkında yeterlilik kararı vermişse mümkündür. Kararlar Resmî Gazete’de yayımlanır ve en geç dört yılda bir değerlendirilir. Pratikteki güçlük, Kurumun kendi yurt dışına aktarım sayfasında yazılıdır: bu konuda henüz bir belirleme yapılmamıştır. Birinci kademe şimdilik boştur.

İkinci kademe — uygun güvenceler. Yükü bu nedenle m. 9/4 taşır. Yeterlilik kararı yoksa; m. 5 ya da m. 6’daki şartlardan biri varsa, ilgili kişinin aktarımın yapılacağı ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânı bulunuyorsa ve dört güvenceden biri sağlanmışsa aktarım yapılabilir: kamu kurumları arasında Kurul izniyle yapılan anlaşma; şirketler topluluğu için Kurulca onaylanan bağlayıcı şirket kuralları; Kurulun ilan ettiği standart sözleşme; ya da Kurul izinli yazılı taahhütname. Standart sözleşme metni değiştirilmeksizin kullanılır ve veri kategorilerini, aktarım amaçlarını, alıcıları, alıcının alacağı teknik ve idari tedbirleri ve özel nitelikli veriler için ek önlemleri kapsar.

Üçüncü kademe — arızi hâller. İkisi de yoksa m. 9/6, aktarıma yalnızca arızi olmak kaydıyla izin verir: riskler hakkında bilgilendirilen ilgili kişinin açık rızası, ilgili kişiyle sözleşmenin ifası ya da onun talebiyle alınan sözleşme öncesi tedbirler, ilgili kişi yararına kurulan bir sözleşme, üstün kamu yararı, bir hakkın tesisi veya korunması, hayat ya da beden bütünlüğünün korunması ve kamuya açık sicillerden aktarım. Madde 9/8, aynı düzeni sonraki aktarımlara da uzatır — Türk iştirakin veriyi Avrupa’daki ana şirkete gönderdiği, ana şirketin de ABD’li bir bulut sağlayıcısını kullandığı hâllerde en çok gözden kaçan nokta budur.

En keskin tuzak şudur: m. 9/5 uyarınca standart sözleşme, veri sorumlusu ya da veri işleyen tarafından imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmelidir. 2024 tarihli Yönetmelik’in 14. maddesi bunu tekrarlar ve bildirimin fiziksel yolla, kayıtlı elektronik posta (KEP) ile ya da Kurulca belirlenen diğer yöntemlerle yapılmasına imkân tanır. Bu süreyi kaçırmak, 7499 sayılı Kanun’la 18. maddeye eklenen ayrı bir kabahattir ve 2026 yılı için 90.308 TL ile 1.806.177 TL arasında idari para cezası gerektirir.

KVKK ile GDPR nerede ayrışır?

Boyut	KVKK (6698 sayılı Kanun)	GDPR
Hukuka uygunluk sebepleri	m. 5/1’de kural açık rızadır; m. 5/2’deki sebepler istisna olarak işler, meşru menfaat dâhil (m. 5/2-f)	m. 6’da açık rıza dâhil altı eşdeğer sebep
Özel nitelikli veriler	Yalnızca m. 6/3 şartları — meşru menfaat sebebi yok; ayrıca Kurulca belirlenen yeterli önlemler	m. 9/2 istisnaları
Yurt dışına aktarım	Yeterlilik kararı → uygun güvenceler → arızi hâller (m. 9); Temmuz 2026 itibarıyla yeterlilik kararı yok	Bir dizi üçüncü ülke için yürürlükte yeterlilik kararı
Aktarım evrakı	Standart sözleşme imzadan itibaren 5 iş günü içinde Kuruma bildirilir (m. 9/5)	Standart sözleşme hükümleri için otoriteye bildirim yok
Sicil	İşlemeye başlamadan önce VERBİS kaydı (m. 16), istisna eşikleri saklı	Genel bir sicil yükümlülüğü yok
Yönetişim rolü	irtibat kişisi; yabancı veri sorumlusu için Türkiye’de yerleşik veri sorumlusu temsilcisi	m. 37 kapsamında veri koruma görevlisi
İhlal bildirimi	Kurula 72 saat; ilgili kişilere makul olan en kısa sürede (Kurul kararı 2019/10)	Otoriteye 72 saat
İdari para cezası	m. 18’de sabit TL bantları, her yıl yeniden değerleme; ciro yüzdesi yok	Dünya çapındaki yıllık cironun bir yüzdesine kadar
Kanun yolu	İdare mahkemeleri (m. 18/3, 1 Haziran 2024’ten itibaren)	Ulusal usuller

VERBİS’e kim kaydolmak zorunda, kim istisna?

Madde 16, kişisel veri işleyen gerçek ve tüzel kişilerin, işlemeye başlamadan önce kamuya açık Veri Sorumluları Siciline kaydolmasını ister ve Kurula istisna tanıma yetkisi verir. Mevcut durumu iki karar belirler. 06/07/2023 tarih ve 2023/1154 sayılı kararla, yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon TL’nin altında olan ve asıl faaliyeti özel nitelikli veri işleme olmayan veri sorumluları istisna kapsamındadır; bu karar, 2018’de belirlenen 25 milyon TL’lik bilanço eşiğini yükseltmiştir. 1 Ekim 2025’te duyurulan 04/09/2025 tarih ve 2025/1572 sayılı kararla, asıl faaliyeti özel nitelikli veri işleme olan veri sorumluları da, çalışan sayısı 10’dan az ve bilançosu 10 milyon TL’nin altındaysa istisna kapsamına alınmıştır.

Kayıt yalnızca bir formdan ibaret değildir. Kayıtla yükümlü veri sorumluları Kişisel Veri İşleme Envanteri hazırlamak zorundadır; Türkiye’de yerleşik olmayan veri sorumlusu ise kaydı veri sorumlusu temsilcisi aracılığıyla yaptırır. Temsilci, Türkiye’de yerleşik bir tüzel kişi ya da Türk vatandaşı gerçek kişidir; atama kararının onaylı örneği kayıt sırasında Kuruma sunulur ve yetkisi asgari olarak Kurumun tebligat ve yazışmalarını kabul etmeyi, taleplerini veri sorumlusuna ve cevaplarını Kuruma iletmeyi ve ilgili kişi başvurularını almayı kapsamalıdır. Yabancı gruplar bunu genellikle Türkiye’ye giriş yapısını seçerken birlikte çözer; çünkü şube ile iştirak sicilde farklı konumlanır. Türk şirketi sıfırdan kuruluyorsa, kayıt analizi aylar sonrasına değil, şirket kuruluşuyla aynı aşamaya aittir.

İhlal olduğunda ne olur?

Madde 12/1, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü yükler; m. 12/2, veri sorumlusunu kendi adına veri işleyenle bu tedbirler bakımından müştereken sorumlu kılar. Buna rağmen veriler hukuka aykırı yollarla başkalarınca elde edilirse m. 12/5, ilgili kişiye ve Kurula “en kısa sürede” bildirim yapılmasını arar.

24.01.2019 tarih ve 2019/10 sayılı Kurul kararı bu ifadeye bir sayı verir: Kuruma gecikmeksizin ve en geç 72 saat içinde bildirim; bildirim, Kurumun resmî Veri İhlali Bildirim Formu ile yapılır ve süreye uyulamıyorsa gerekçeler bildirimle birlikte sunulur. Bilgiler aynı anda verilemiyorsa parçalar hâlinde sunulabilir; veri sorumluları ihlalleri ve alınan tedbirleri kayıt altına almak, veri işleyenler de öğrendikleri ihlali veri sorumlusuna gecikmeksizin bildirmek zorundadır. İlgili kişilere yapılacak bildirim farklı bir ölçüye tabidir: etkilenen kişiler belirlendikten sonra makul olan en kısa süre — sabit bir gün sayısı yoktur. 18.09.2019 tarih ve 2019/271 sayılı Kurul kararı ise bu bildirimin asgari unsurlarını belirler ve açık, sade bir dille yapılmasını arar.

2026’ya ilişkin bir gelişme ayrıca bilinmelidir. 20 Ocak 2026’da duyurulan 25/12/2025 tarih ve 2025/2451 sayılı Kurul kararı uyarınca, Kurumun kendi internet sitesinde yayımlanan ihlal duyuruları — daha önce süresiz yayımda kalırken — artık en çok 60 gün ile sınırlı bir süre yayımlanacak; veri sorumlusu ilgili kişilere daha kısa sürede bildirim yaptığını tevsik ederse duyuru siteden daha erken kaldırılacaktır. Böylece hızlı bildirim, yalnızca düzenleyici riski değil, kamuya açık teşhir süresini de kısaltır.

2026’da cezalar ne durumda?

Madde 18 sabit TL bantları öngörür; bu tutarlar her 1 Ocak’ta, 5326 sayılı Kabahatler Kanunu’nun 17/7 maddesi yoluyla 213 sayılı Vergi Usul Kanunu’nun mükerrer 298. maddesi uyarınca belirlenen yeniden değerleme oranında artırılır. 2026 için uygulanan oran %25,49’dur. Kurumun resmî ceza tablosuna göre 2026 bantları şöyledir: aydınlatma yükümlülüğü 85.437 – 1.709.200 TL; veri güvenliği yükümlülükleri 256.357 – 17.092.242 TL; Kurul kararlarının yerine getirilmemesi 427.263 – 17.092.242 TL; VERBİS kayıt ve bildirim yükümlülüğü 341.809 – 17.092.242 TL; standart sözleşme bildirimi 90.308 – 1.806.177 TL. Bunları yalnızca 2026 rakamları olarak okuyun — her ocak ayında değişirler.

Avrupalı bir yönetim kurulu için iki yapısal nokta önemlidir. Birincisi, KVKK’da ciro yüzdesine bağlı ceza yoktur; risk TL cinsinden sınırlıdır ve büyük bir grup için çoğu zaman asıl sarsıcı olan, bir Kurul kararının getirdiği operasyonel kesintidir. İkincisi, 7499 sayılı Kanun’un 1 Haziran 2024’ten itibaren eklediği m. 18/3 ile idari para cezalarına karşı artık daha önce görevli olan sulh ceza hâkimliklerine değil, idare mahkemelerinde dava yoluyla itiraz edilir.

Yabancı bir grup nereden başlamalı?

Verimli sıra, KVKK’yı bir çeviri işi olarak değil, GDPR dosyanızla aynı delil temeline oturan ayrı bir program olarak ele almaktır. Türkiye’deki işlemeyi haritalayın, her faaliyeti m. 5 ve m. 6 karşısında yeniden test edin, m. 9 mekanizmasını seçip evraka bağlayın, VERBİS eşiklerini kontrol edip temsilciyi atayın, ardından 72 saatlik hattı olay müdahale planınıza yerleştirin. İlk ele alınması gereken genellikle çalışan verileridir; çünkü özlük dosyaları özel nitelikli veriyle grup içi aktarımı bir arada barındırır — bu izlek Türkiye’de personel istihdamı rehberimiz boyunca da sürer. Tedarikçi ve grup içi evrakın aynı anda hizalanması gerekir; bu, bir uyum sorunu olduğu kadar bir sözleşme kaleme alma sorunudur ve ticari sözleşmeler alanına girer.

Veri koruma, bir yabancı şirketin Türkiye’ye gelme sebebi nadiren olur ve çoğu zaman Türk şirketi çoktan veri işlemeye başladıktan sonra sıraya alınır. Kişisel verilerin korunması pratiğimiz, mevcut bir Avrupa programı ile 6698 sayılı Kanun’un fiilen istedikleri arasındaki farkı ele alır — kayıt, temsilci, aktarım mekanizması ve bildirim süresi.