Google Workspace ve Cloud'da KVKK Yurt Dışına Aktarım: Standart Sözleşme ve Bildirim (2026)

Google Workspace verilerinizi yalnızca ABD veya Avrupa bölgesinde tutabilir, Türkiye seçeneği yoktur. Bu nedenle kişisel veri içeren Workspace kullanımı, 6698 sayılı Kanun'un 9. maddesi anlamında yurt dışına aktarım sayılabilir ve bir hukuki dayanak ister. Dayanak olarak standart sözleşme seçerseniz, imzadan itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirim yapmanız zorunludur.

Google Workspace verisi neden yurt dışına aktarım sayılır

Google, Workspace için veri bölgesi seçeneğini yönetici konsolunda sunar. Kapsamdaki hizmetler arasında Gmail, Drive, Takvim, Meet, Dokümanlar, Sheets, Slides ve Chat bulunur. Google'ın Türkçe yardım sayfasına göre seçilebilecek iki bölge vardır: ABD veya Avrupa. Türkiye bu listede yer almaz. Aynı sayfa, günlükler ya da önbelleğe alınmış içerik gibi müşterinin kendisinin sağlamadığı veri türlerinin veri bölgeleri kapsamına girmediğini belirtir.

Şirketinizin e-postalarında, Drive'daki dosyalarda ya da takvim kayıtlarında çalışan ve müşteri kişisel verisi bulunur. Bu verinin Türkiye dışındaki bir bölgede tutulması, Kanun'un 9. maddesindeki yurt dışına aktarım kurallarını gündeme getirir. Türkiye bölgesi ve KVKK sayfamızda Google Cloud tarafındaki bölge seçimini ayrıca ele alıyoruz. Google Cloud'da kaynağı hangi bölgede açtığınız sizin kararınızdır ve aktarım değerlendirmesinin ilk girdisi odur.

6698 sayılı Kanun'un 9. maddesi hangi aktarım dayanaklarını tanır

Mart 2024'te kabul edilen 7499 sayılı Kanun 9. maddeyi baştan değiştirdi. Değişiklikler 1 Haziran 2024'te yürürlüğe girdi. Madde, aktarım için sırayla üç yol tanır.

Şirketlerin Workspace gibi sürekli kullanılan bir hizmet için pratikte en çok başvurduğu yol standart sözleşmedir. Arızi aktarım, adı üzerinde tekrar eden ve sürekli veri akışı için tasarlanmamıştır.

Standart sözleşme ile aktarım adım adım nasıl yapılır

Kurul'un 10 Temmuz 2024 tarihli duyurusu ile dört standart sözleşme metni yayımlandı: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. Hangisinin kullanılacağı taraflarınızın rolüne bağlıdır.

1. Aktarılan veriyi ve alıcıyı belirleyin: hangi veri kategorileri, hangi amaçla, hangi alıcıya gidiyor.
2. Tarafların rolüne uyan standart sözleşme metnini Kurum'un sayfasından alın. Metni değiştirmeden doldurun.
3. Sözleşmeyi taraflarla imzalayın ve imza tarihini kayda geçirin.
4. İmza tarihinden itibaren beş iş günü içinde Kurum'a bildirin. Bildirim fiziken, kayıtlı elektronik posta (KEP) ile ya da Kurul'un belirlediği diğer yöntemlerle yapılabilir.
5. Bildirim kaydını ve imzalı sözleşmeyi denetime hazır saklayın.

Kurul, 17 Ekim 2024 tarihli ve 2024/1793 sayılı kararıyla bildirimin Standart Sözleşme Bildirim Modülü üzerinden yapılmasına imkân tanıdı. Modül 25 Ekim 2024'te kullanıma açıldı ve standartsozlesme.kvkk.gov.tr adresinden erişilir.

Bildirimi yapmazsanız ne olur

Kanun'un 18. maddesinin (d) bendi, 9. maddenin beşinci fıkrasındaki bildirim yükümlülüğünü yerine getirmeyenler için 50.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası öngörür. Bu ceza, veri sorumlusu ya da veri işleyen olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır. Kurulun verdiği idari para cezalarına karşı idare mahkemesinde dava açılabilir. Kanun metnindeki tutarlar, çıkarıldığı tarihteki tutarlardır. Güncel hadleri uygulamadan önce Kurum'un duyurularından kontrol edin.

Google'ın veri işleme eki Türkiye için ne söyler

Google Cloud Veri İşleme Eki (Cloud Data Processing Addendum), Google Cloud, Google Workspace ve Cloud Identity sözleşmelerine eklenir. Ekin üçüncü ekinde belirli ülkelerin gizlilik mevzuatına özel hükümler bulunur ve Türkiye bunlardan biridir. Ekteki Türkiye bölümünün söylediği üç şey öne çıkar:

• Fatura adresiniz Türkiye'deyse ve Google isteğe bağlı ek şartları (Türkiye standart sözleşmeleri dahil) kabule sunuyorsa, bu şartlar Kurum'a bildirildikleri tarihten itibaren veri işleme ekini tamamlar.
• Türkiye standart sözleşmelerini imzalarsanız Kurum'a beş iş günü içinde bildirim yapmaktan müşteri olarak siz sorumlusunuz.
• Standart sözleşme ile veri işleme eki çelişirse standart sözleşme geçerli olur.

Yani bildirim yükü Google'a değil size aittir. Google'ın bu ek şartları hangi sözleşme türleri için kabule sunduğunu hesabınızın kayıtlarından ve Google'ın güncel sözleşme sayfasından kontrol edin. Bu yazı bunu sizin yerinize doğrulamaz.

Hangi tarihler bu süreci belirler

Bu tarihlerden önce açık rızaya dayanarak yaptığınız aktarım kurguları varsa, bunları yeni düzene göre yeniden değerlendirmek gerekir. Sürekli kullanılan bir bulut hizmetinde açık rıza tek başına sağlam bir dayanak sayılmaz.

Aktarım envanteri nasıl çıkarılır

Standart sözleşmeyi doldurmak için önce neyin nereye gittiğini bilmeniz gerekir. Workspace ve Cloud için pratik bir envanter şu sorulara cevap verir:

• Hangi hizmetler kişisel veri taşıyor: Gmail, Drive, Meet kayıtları, Cloud'daki veritabanları.
• Veri hangi bölgede duruyor: Workspace'te seçtiğiniz veri bölgesi, Cloud'da her kaynağın bölgesi.
• Hangi veri kategorileri işleniyor ve özel nitelikli veri var mı.
• Kimler erişebiliyor ve hangi teknik tedbirler uygulanıyor: iki adımlı doğrulama, erişim kısıtları, şifreleme.

Bu liste standart sözleşmenin ekinde istenen veri kategorileri, amaçlar, alıcılar ve tedbirler bölümünün ham maddesidir.

Hukuki desteğe ne zaman ihtiyaç duyulur

Teknik taraf basit görünse de iki konu hukuk danışmanıyla netleştirilmelidir. Birincisi taraf rollerinin doğru tespitidir, çünkü seçilecek sözleşme metni buna bağlıdır. İkincisi özel nitelikli kişisel verinin, örneğin sağlık verisinin, hizmet üzerinden akıp akmadığıdır. Standart sözleşme bu veriler için ek önlemler ister. Teknik tarafta ise Workspace güvenlik ve yedekleme ayarlarının, veri bölgesi seçiminin ve erişim kayıtlarının dökümü gerekir. Bu dökümü çıkarmak, sözleşmedeki "alınan teknik ve idari tedbirler" bölümünü doldurmayı da kolaylaştırır.

Veri bölgesi ayarlarınızı, aktarım envanterinizi ve standart sözleşme bildirim sürecinizi baştan sona sizin yerinize yapabiliriz. Bize ulaşın, mevcut Google Workspace ve Google Cloud yapınızı birlikte gözden geçirelim. Hukuki değerlendirme için avukatınızla çalışırız.