Kişisel Verilerin Yurt Dışına Aktarımı

Abstract

Verilerin uluslararası dolaşımı globalleşen dünyanın vazgeçilmez bir unsuru olmakla birlikte verilerin korunması bakımından çeşitli riskleri de beraberinde getirmektedir. Kişisel Verilerin Korunması Kanunu'ndaki (KVKK) 12.03.2024 tarihli Resmi Gazete'de yayınlanan değişiklikler, bu konudaki çerçeveyi güncel uluslararası standartlara uygun hale getirmeyi amaçlamaktadır. İşbu makalede kişisel verilerin yurt dışına aktarımına ilişkin yenilenen hukuki rejim sistematik olarak analiz edilmektedir. Bu bağlamda ilk olarak veri aktarımı kavramının üzerinde kısaca durulduktan sonra kişisel verilerin yurt dışına aktarılmasında önceki dönemin sorunları ele alınmakta, ardından yeni hukuki çerçeve ortaya koyulmaktadır. Verilerin yurt dışına aktarılabilmesi için yeterlilik kararı, uygun güvence ve arızi hallerden oluşan kademeli bir düzenleme söz konusudur. Çalışmada bu düzenlemeler Avrupa Birliği mevzuatı ile karşılaştırmalı olarak incelenerek, Avrupa Birliği Adalet Divanının (ABAD) çeşitli kararlarının KVKK açısından yansımaları değerlendirilmektedir. Yapılan değerlendirmeler gerek yeterlilik kararı, gerekse uygun güvence mekanizmaları bağlamında KVKK'nın uygulanması bakımından dikkate değer bulgular ortaya koymaktadır. Özellikle "temel anlamda eşdeğer seviyede" bir korumanın sağlanıyor olması gerektiğine ilişkin Schrems I ve II kararlarında vurgulanan kriterin hem yeterlilik kararı hem de uygun güvence mekanizmalarının uygulanması açısından önem arz ettiğinin altı çizilmiş, Avrupa Birliği mevzuatı ile aynı standartlara erişilebilmesi için KVKK'da bu mekanizmaların uygulanması açısından da benzer bir yaklaşımın esas alınmasının yerinde olacağı değerlendirilmiştir. Yeterlilik kararı ve uygun güvencelerin söz konusu olmadığı haller için öngörülen arızi aktarım hallerinin ise yalnızca mevzuatta tanımlanan anlamda arızi olarak gerçekleşen ve uygun güvencelere dayanılmasının beklenemeyeceği durumlarda uygulanabileceği vurgulanmıştır.

Keywords

• Kişisel Veri
• Kişisel Verilerin Aktarımı
• Kişisel Verilerin Yurt Dışına Aktarımı
• Yeterlilik Kararı
• Uygun Güvence

Cross-Border Transfer Of Personal Data

Abstract

While cross-border transfers of personal data are an essential element of the globalized world, they also carry various risks in terms of data protection. Recent changes made to the Personal Data Protection Law (PDPL), which were published in the Official Journal on 12.03.2024, aim to bring its framework concerning cross-border transfers in line with current international standards. This article systematically analyzes the new legal framework of cross-border data transfers within PDPL. Within this context, after briefly discussing the concept of data transfer, the problems of the earlier legislation are addressed, which is followed by an outlining of the new legal framework. The new framework of cross-border transfers consists of a multi-layered legislative structure comprising adequacy decisions, appropriate safeguards and derogations. The study examines these regulations in comparison with European Union legislation, assessing the implications of various decisions of the Court of Justice of the European Union (CJEU) for the PDPL. Assessments show that the decisions of the CJEU reveal noteworthy findings regarding the implementation of the PDPL, both in terms of adequacy decisions and appropriate safeguards. Within this context, criterion of "essential equivalence" put forward by the Schrems I and II decisions of the CJEU, which must be ensured both in the adoption of adequacy decisions and in the use of appropriate safeguards, is of significant importance for the interpretation of these mechanisms. It has been concluded that it would be appropriate to adopt a similar approach for the interpretation of the PDPL in order to achieve European Union standards. Lastly, it is noted that the derogations provided for situations where there is no adequacy decision or appropriate safeguards are reserved for situations that are incidental within the meaning defined in the legislation, and where reliance to appropriate safeguards cannot be expected.

Keywords

• Personal Data
• Transfer of Personal Data
• Cross-Border Transfer of Personal Data
• Adequacy Decision
• Appropriate Safeguard

References

1. Aksoy HC, ‘Türk Veri Koruma Hukukunda Evrim’ (2024) (6) Adana Barosu Bilişim Komisyonu E-Dergi 4 google scholar
2. Arslan Ç, ‘Avrupa Birliği Hukukunda Kişisel Verilerin Üçüncü Ülkelere Aktarılması’ (2010) (1) Galatasaray Üniversitesi Hukuk Fakültesi Dergisi (Köksal Bayraktar’a Armağan) 447 google scholar
3. Arslan K, Evde Tele Çalışan İşçinin Kişisel Verilerinin Korunması (On İki Levha 2024) google scholar
4. Article 29 Working Party, ‘Working Document: Transfers of Personal Data to Third Countries: Applying Article 26 (2) of the EU Data Protection Directive to Binding Corporate Rules for International Data Transfers’ google scholar
5. ——, ‘Working Document on Adequacy Referential (WP 254 rev.01)’ google scholar
6. Aşıkoğlu Şİ ve Uzun FB, ‘Kişisel Verilerin Yurtdışına Aktarımının Açık Rızaya Dayandırılmasının Yarattığı Sorunlar Ve Çözüm Önerileri’ iç Abuzer Kendigelen (ed), Prof. Dr. Türkan Rado’nun Anısına Armağan (On İki Levha 2020) google scholar
7. Aydoğmuş Gisoldi AY, Milletlerarası Özel Hukukta Kişisel Verilerin Korunması (On İki Levha 2022) google scholar
8. Christakis T, ‘After Schrems II : Uncertainties on the Legal Basis for Data Transfers and Constitutional Implications for Europe’ (2020) European Law Blog Erişim Tarihi 29 Temmuz 2025 google scholar

9. ——, ‘The “Zero Risk” Fallacy: International Data Transfers, Foreign Governments’ Access to Data and the Need for a Risk-Based Approach’ (2024) CIPL/CBDF Paper Series google scholar
10. Cohen N, ‘The Privacy Follies: A Look Back at the CJEU’s Invalidation of the EU/US Safe Harbor Framework’ (2015) 1(3) European Data Protection Law Review 240 google scholar
11. Court of Justice of the European Union, ‘Press Release No 106/25’ (03 Eylül 2025) Erişim Tarihi 20 Eylül 2025 google scholar
12. Çekin MS, Kişisel Verilerin Korunması Hukuku: Avrupa Birliği Hukukuyla Mukayeseli Olarak 6698 Sayılı Kanun Çerçevesinde (3. Bası, On İki Levha 2020) google scholar
13. Çelik I, 6698 Sayılı Kişisel Verilerin Korunması Kanunu ve 2016/679 Sayılı Avrupa Birliği Genel Veri Koruma Tüzüğü Kapsamında Kişisel Verilerin Yurt Dışına Aktarılması (On İki Levha 2022) google scholar
14. Dülger MV, Kişisel Verilerin Korunması Hukuku (3. Bası, Hukuk Akademisi 2020) google scholar
15. EDPB, ‘Guidelines 2/2018 on Derogations of Article 49 under Regulation 2016/679’ google scholar
16. ——, ‘Guidelines 2/2020 on Articles 46 (2) (a) and 46 (3) (b) of Regulation 2016/679 for Transfers of Personal Data Between EEA and Non- EEA Public Authorities and Bodies’ google scholar
17. ——, ‘Guidelines 05/2021 on the Interplay Between the Application of Article 3 and the Provisions on International Transfers as Per Chapter V of the GDPR Version 2.0’ google scholar
18. ——, ‘Recommendations 01/2020 on Measures That Supplement Transfer Tools to Ensure Compliance with the EU Level of Protection of Personal Data Version 2.0 Adopted on 18 June 2021’ Erişim Tarihi 19 Temmuz 2025 google scholar
19. ——, ‘Recommendations 02/2020 on the European Essential Guarantees for Surveillance Measures’ Erişim Tarihi 19 Temmuz 2025 google scholar
20. Ekmekçi Ö vd., ‘Ceza Muhakemesi Kanunu ile Bazı Kanunlarda ve 659 Sayılı Kanun Hükmünde Kararnamede Değişiklik Yapılmasına Dair Kanun Teklifi ile 6698 Sayılı Kanun’da Yapılan Değişiklikler’ (Lexpera Blog, 2024) Erişim Tarihi 11 Ağustos 2025 google scholar
21. ——, Kişisel Verilerin Korunması Hukuku (3. Bası, On İki Levha 2025) google scholar
22. Eraslan S, ‘Türk Hukukunda Ki̇ı􀁭şı􀁭sel Verı􀁭lerı􀁭n Yurt Dışına Aktarılması Sorunu: Açık Rıza Kapsamında Bı􀁭r Değerlendı􀁭rme’ (2021) 1(1) Kırıkkale Hukuk Mecmuası 82 google scholar
23. Gunasekara G, ‘The ‘Final’ Privacy Frontier? Regulating Trans-Border Data Flows’ (2009) 17(2) International Journal of Law and Information Technology 147 google scholar
24. Kaya C, Assessing the Transfer of Personal Data in the European Union in the Light of the Data Protection Directive (On İki Levha 2011) google scholar
25. Kaya MB, KVKK Reformu: 2024 Değişiklikleri (2.0, 2025) google scholar
26. Kişisel Verileri Koruma Kurumu, ‘Standart Sözleşme Bildirim Modülü Hakkında Kamuoyu Duyurusu’ Erişim Tarihi 05 Ekim 2025 google scholar
27. —— Erişim Tarihi 05 Ekim 2025 google scholar
28. König T-R, Beschäftigtendatenschutz (Nomos 2020) google scholar
29. Kuner C, ‘Regulation of Transborder Data Flows under Data Protection and Privacy Law: Past, Present and Future’ (2011) 187 OECD Digital Economy Papers google scholar
30. ——, Transborder Data Flows and Data Privacy Law (Oxford University Press 2013) google scholar
31. ——, ‘Reality and Illusion in EU Data Transfer Regulation Post Schrems’ (2017) 18(4) German Law Journal 881 google scholar
32. ——, ‘Article 44. General Principle for Transfers’ iç Christopher Kuner vd. (edr), The EU General Data Protection Regulation (GDPR): A Commentary (Oxford University Press 2020) google scholar
33. ——, ‘Article 45. Transfers on the Basis of an Adequacy Decision’ iç Christopher Kuner vd. (edr), The EU General Data Protection Regulation (GDPR): A Commentary (Oxford University Press 2020) google scholar
34. ——, ‘Article 47. Binding Corporate Rules’ iç Christopher Kuner vd. (edr), The EU General Data Protection Regulation (GDPR): A Commentary (Oxford University Press 2020) google scholar
35. ——, ‘Article 49. Derogations for Specific Situations’ iç Christopher Kuner vd. (edr), The EU General Data Protection Regulation (GDPR): A Commentary (Oxford University Press 2020) google scholar
36. ——, ‘The Schrems II Judgment of the Court of Justice and the Future of Data Transfer Regulation’ (2020) European Law Blog Erişim Tarihi 29 Temmuz 2025 google scholar
37. ——, ‘Schrems II Re-Examined’ (2020) Verfassungsblog Erişim Tarihi 29 Temmuz 2025 google scholar
38. Kuner C, Bygrave LA ve Docksey C (edr), The EU General Data Protection Regulation: A Commentary/Update of Selected Articles, Covering Developments Between 1 August 2019 and 1 January 2021 (Oxford University Press 2021) google scholar
39. Küzeci E, Kişisel Verilerin Korunması (4. Bası, On İki Levha 2021) google scholar
40. KVKK, ‘Kişisel Verilerin Yurt Dışına Aktarılması Rehberi’ Erişim Tarihi 27 Temmuz 2025 google scholar
41. Murphy MH, ‘Assessing the Implications of Schrems II for EU–US Data Flow’ (2022) 71(1) International and Comparative Law Quarterly 245 google scholar
42. OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data (OECD 2002) google scholar
43. Philouze A-L, ‘The EU-US Privacy Shield: Has Trust Been Restored?’ (2017) 3(4) European Data Protection Law Review 463 google scholar
44. Propp K, ‘In the Shadow of the European Court of Justice: The Luxembourg Conference on Transatlantic Data Transfers’ (2023) European Law Blog Erişim Tarihi 29 Temmuz 2025 google scholar
45. Robertson QC G, ‘Opinion of Geoffrey Robertson QC’ Erişim Tarihi 28 Temmuz 2025 google scholar
46. Schantz P, ‘Art. 44 General Principle for Transfers’ iç Indra Spiecker gen. Döhmann vd. (edr), General Data Protection Regulation: Article‑by‑Article Commentary (Nomos 2023) google scholar
47. ——, ‘Art. 45 Transfers on the Basis of an Adequacy Decision’ iç Indra Spiecker gen. Döhmann vd. (edr), General Data Protection Regulation: Article‑by‑Article Commentary (Nomos 2023) google scholar
48. ——, ‘Art. 46 Transfers Subject to Appropriate Safeguards’ iç Indra Spiecker gen. Döhmann vd. (edr), General Data Protection Regulation: Article‑by‑Article Commentary (Nomos 2023) google scholar
49. ——, ‘Art. 47 Binding Corporate Rules’ iç Indra Spiecker gen. Döhmann vd. (edr), General Data Protection Regulation: Article‑by‑Article Commentary (Nomos 2023) google scholar
50. ——, ‘Art. 49 Derogations for Specific Situations’ iç Indra Spiecker gen. Döhmann vd. (edr), General Data Protection Regulation: Article‑by‑Article Commentary (Nomos 2023) google scholar
51. Schwartz PM, ‘European Data Protection Law and Restrictions on International Data Flows’ (1995) 80(3) Iowa Law Review 471 google scholar
52. ——, ‘Global Data Privacy: The EU Way’ (2019) 94 New York University Law Review 771 google scholar
53. Sevimli KA, ‘Kişisel Verilerin Korunması Kanunu’ndaki Temel Kavramların İşçi – İşveren İlişkisindeki Karşılıkları’ (2018) (165) İnsan İnşaat Sanayii Dergisi 74 google scholar
54. Taştan FG, ‘Kişisel Verilerin Yurt Dışına Aktarılmasında Açık Rıza’ (2024) (217) Terazi Hukuk Dergisi 110 google scholar
55. Tosoni L, ‘Article 4(20). Binding Corporate Rules’ iç Christopher Kuner vd. (edr), The EU General Data Protection Regulation (GDPR): A Commentary (Oxford University Press 2020) google scholar
56. Tosoni L ve Bygrave LA, ‘Article 4(2). Processing’ iç Christopher Kuner vd. (edr), The EU General Data Protection Regulation (GDPR): A Commentary (Oxford University Press 2020) google scholar
57. ——, ‘Article 4(18). Enterprise’ iç Christopher Kuner vd. (edr), The EU General Data Protection Regulation (GDPR): A Commentary (Oxford University Press 2020) google scholar
58. Uncular S, İş İlişkisinde İşçinin Kişisel Verilerinin Korunması (2. Bası, Seçkin 2019) google scholar
59. Wagner J, ‘The Transfer of Personal Data to Third Countries Under the GDPR: When Does a Recipient Country Provide an Adequate Level of Protection?’ (2018) 8(4) International Data Privacy Law 318 google scholar
60. Weber RH, ‘Transborder Data Transfers: Concepts, Regulatory Approaches and New Legislative Initiatives’ (2013) 3(2) International Data Privacy Law 117 google scholar