Kişisel Verilerin Yurt Dışına Aktarılması Nedeniyle Açılacak Davalar

KVKK Kapsamında Kişisel Verilerin Yurt Dışına Aktarılması ve Hukuki Koruma Yolları

Kişisel verilerin korunması, dijitalleşen dünyada mülkiyet hakkı kadar hayati bir öneme sahip hale gelmiştir. özellikle sınır ötesi veri akışları; bulut depolama hizmetleri, global sosyal ağlar ve uluslararası ticari faaliyetler nedeniyle her an gerçekleşmektedir. Türkiye’de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin yurt dışına aktarılmasını sıkı denetim ve güvencelere bağlamıştır. 2026 yılı itibarıyla, Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile uyumlaştırılan yeni mevzuat çerçevesinde, yurt dışına veri aktarımı artık sadece "açık rıza" ile değil, daha kurumsal ve teknik güvencelerle yürütülmektedir.

1. Yurt Dışına Veri Aktarımında Yeni Dönem: üç Kademeli Sistem

7499 sayılı Kanun ile yapılan köklü değişiklikler neticesinde, kişisel verilerin yurt dışına aktarılabilmesi için aşağıdaki üç temel mekanizmadan birinin varlığı şarttır:

A. Yeterlilik Kararı (KVKK m. 9/1)

Kişisel Verileri Koruma Kurulu (Kurul), verinin aktarılacağı ülkede, sektörde veya uluslararası kuruluşta yeterli bir korumanın bulunduğuna karar verebilir. Eğer gidilecek ülke için bir "Yeterlilik Kararı" varsa, başka hiçbir ek izne gerek kalmaksızın veri aktarımı gerçekleştirilebilir.

B. Uygun Güvencelerin Sağlanması

Yeterlilik kararının bulunmadığı durumlarda, veri sorumlusu (veya veri işleyen) aşağıdaki güvencelerden birini sağlayarak veri aktarabilir:

Standart Sözleşmeler: Kurul tarafından ilan edilen, verinin yurt dışında da Türkiye’deki standartlarda korunacağını taahhüt eden sözleşmelerdir. Bu sözleşmelerin imzalanmasından itibaren 5 iş günü içinde Kurul’a bildirilmesi yasal zorunluluktur.
Bağlayıcı Şirket Kuralları (BCR): çok uluslu şirket gruplarının kendi içlerinde uyguladığı ve Kurul tarafından onaylanmış kurallardır.

C. Arızi (İstisnai) Haller

Yeterlilik kararı ve uygun güvencelerin bulunmadığı, süreklilik arz etmeyen tek seferlik veya sınırlı durumlarda; ilgili kişinin açık rızasının alınması veya sözleşmenin ifası gibi arızi nedenlerle aktarım yapılabilir.

2. Kişisel Veri İhlallerinde Hak Arama Yolları ve Dava Türleri

Kişisel verilerin usulsüz, izinsiz veya yeterli teknik tedbirler alınmadan yurt dışına aktarıldığını tespit eden "İlgili Kişi" (verisi işlenen gerçek kişi), anayasal haklarını korumak adına çeşitli yollara başvurabilir.

İdari Başvuru Yolu: KVKK Kurumu Şikâyet Süreci

İhlalin tespiti durumunda öncelikle veri sorumlusuna (veriyi aktaran kurum) başvurulması önerilir. Talebin reddedilmesi veya yanıtsız kalması halinde 60 gün içinde Kişisel Verileri Koruma Kurumu’na şikâyette bulunulabilir. Kurul, usulsüz aktarım yapan veri sorumlularına yüksek tutarlı idari para cezaları verme yetkisine sahiptir.

Adli Yargı Yolu: Maddi ve Manevi Tazminat Davaları

Kişisel verilerin yurt dışına hukuka aykırı aktarımı neticesinde bireyin kişilik hakları saldırıya uğrayabilir veya maddi bir kayıp yaşanabilir.

Görevli Mahkeme: Bu tür uyuşmazlıklarda Asliye Hukuk Mahkemeleri görevlidir.
Dava Konusu: Veri sahibinin profilinin yurt dışındaki reklam ağlarına satılması, mahrem bilgilerin yurt dışı sunucularda sızdırılması gibi durumlarda manevi tazminat; ihlal sonucu oluşan somut kayıplar için ise maddi tazminat ikame edilebilir.

3. İstanbul Anadolu Adliyesi ve Bölgesel Yargı Yetkisi

İstanbul’un Anadolu Yakası (Kartal, Maltepe, Pendik, Ataşehir vb.) yerleşkesindeki şirketlerin veya bu bölgede ikamet eden bireylerin veri ihlalleri, İstanbul Anadolu Adliyesi nezdinde dava konusu edilmektedir.

Yetki Kuralları: Tazminat davaları, davalının yerleşim yerinde veya zararın meydana geldiği yer mahkemesinde açılabilir.
Teknik İnceleme: Mahkeme, yurt dışına veri akışının gerçekleşip gerçekleşmediğini saptamak amacıyla bilişim uzmanı ve KVKK uzmanından oluşan bilirkişi heyetleri aracılığıyla sunucu lokasyonları ve log (kayıt) dosyaları üzerinde inceleme yaptırabilir.

4. Veri Sorumlularının "Aydınlatma Yükümlülüğü" ve Şeffaflık

Bir kurumun verileri yurt dışına aktarmadan önce ilgili kişiyi bilgilendirmesi, dürüstlük kuralının bir gereğidir. 2026 yılı yargı içtihatlarında, "genel ve muğlak" aydınlatma metinleri (örn: "Verileriniz yurt dışındaki iş ortaklarımıza aktarılabilir") geçersiz kabul edilmekte; hangi verinin, hangi amaçla ve hangi ülkeye aktarıldığının açıkça belirtilmesi aranmaktadır.

Sık Sorulan Sorular

Soru: "Yurt dışı merkezli bir e-posta servisi (Gmail, Outlook vb.) kullanmak veri aktarımı sayılır mı?" Cevap: Evet. Verinin Türkiye dışındaki bir sunucuda depolanması, hukuki açıdan yurt dışına aktarım teşkil eder. Şirketlerin kurumsal e-posta veya bulut sistemlerini seçerken KVKK m. 9 hükümlerine uyum sağlaması gerekir.

Soru: "İzinsiz aktarımı fark ettiğimde ne kadar sürede dava açmalıyım?" Cevap: İdari para cezası için Kurul'a şikâyet süresi ihlalin öğrenilmesinden itibaren genellikle 30-60 günlük periyotlara tabidir. Tazminat davalarında ise genel zamanaşımı süreleri uygulanır.

Soru: "Standart sözleşmeyi Kurul'a bildirmezsek ne olur?" Cevap: Yeni düzenleme ile standart sözleşmelerin bildirilmemesi, veri sorumlusu ve veri işleyenler için maktu idari para cezası yaptırımına bağlanmıştır.

Sonuç ve Değerlendirme

Kişisel verilerin yurt dışına aktarılması süreci, sadece bir "rıza metni"nden ibaret olmayıp; teknik altyapı, hukuki sözleşmeler (SCC) ve Kurul kararlarının takibini gerektiren dinamik bir alandır. 2026 yılı hukuk dünyasında, veri ihlalleri sadece bireysel bir mağduriyet değil, şirketler için ciddi itibar ve finansal riskler doğurmaktadır. Hak kaybına uğramamak, Kurul’a yapılacak şikâyet sürelerini kaçırmamak ve özellikle tazminat davalarında illiyet bağını doğru kurgulamak adına bir hukukçu rehberliğinde süreç yönetimi yapılması önerilir.

Yasal Uyarı (Disclaimer): Bu içerik, 6698 sayılı KVKK, 7499 sayılı Kanun ve ilgili yönetmelikler çerçevesinde genel bilgilendirme amacıyla hazırlanmış olup hukuki mütalaa teşkil etmez. Her veri işleme faaliyeti; aktarımın amacına, teknik altyapıya ve tarafların sıfatına göre yargı makamlarınca ve Kişisel Verileri Koruma Kurulu'nca özel olarak takdir edilir. Hak kaybı yaşanmaması için bir avukat ile çalışılması tavsiye edilir.

Yasal Uyarı: Bu içerik, teknolojik imkanlar desteğiyle hazırlanmış bir bilgilendirme metnidir. Sitede yer alan veriler genel bilgilendirme amaçlı olup, hukuki tavsiye veya mütalaa teşkil etmez. Mevzuat ve yargı kararları zamanla değişkenlik gösterebileceğinden, buradaki bilgilerin doğruluğu ve güncelliği noktasında kesinlik arz etmeyebilir. Olası hak kayıplarının önlenmesi adına, sürecin takibi için bir avukattan hukuki yardım alınması önem arz etmektedir. Sitedeki bilgilere dayanarak gerçekleştirilen işlemlerden doğabilecek sorumluluk kullanıcıya aittir.