Uyumun Bedeli mi, Pazarın Anahtarı mı? Türkiye'nin Veri ve E-Ticaret Düzeni Uluslararası Rekabeti Nasıl Yeniden Çiziyor

Türkiye son iki yılda veri koruma ve e-ticaret alanında sessiz ama köklü bir düzenleme dalgasından geçti. Bu dalga çoğu şirket için bir "uyum yükü" olarak okunuyor. Oysa asıl mesele daha keskin: Bu kurallar, hangi Türk şirketinin Avrupa pazarına dokunabileceğini, hangi platformun büyümesine sınır konacağını ve verinin sınırın hangi tarafında duracağını belirliyor. Uyum, maliyet kalemi olduğu kadar bir pazar erişim anahtarına dönüşmüş durumda.

İki reform, tek soru

2024, Türkiye'nin kişisel veri rejiminin yön değiştirdiği yıl oldu. 7499 sayılı Kanun 12 Mart 2024 tarihli Resmî Gazete'de yayımlandı; getirdiği değişiklikler 1 Haziran 2024'te yürürlüğe girdi. Ardından "Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik" 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete ile yürürlüğe girdi.

Değişikliğin kalbinde, verinin yurt dışına çıkışını düzenleyen 9. madde var. Yeni düzen kademeli bir mantık kuruyor: Önce aktarımın yapılacağı ülke, sektör ya da uluslararası kuruluş için bir yeterlilik kararı aranıyor. Böyle bir karar yoksa uygun güvenceler devreye giriyor — standart sözleşmeler, bağlayıcı şirket kuralları, uluslararası anlaşmalar veya Kurul iznine bağlı taahhütnameler. Bunlar da yoksa yalnızca sınırlı, arızi hâllerde aktarım mümkün. Bu, Türkiye'yi Avrupa'nın GDPR'daki aktarım mimarisine belirgin biçimde yaklaştırıyor.

Aynı dönemde e-ticaret tarafında 6563 sayılı Kanun, 7416 sayılı değişiklikle (7 Temmuz 2022 tarihli Resmî Gazete) yeniden şekillendi ve etkileri 2025'te tam anlamıyla görünür oldu. İki farklı alan, tek bir stratejik soruyu paylaşıyor: Bu kurallar Türk şirketini uluslararası rekabette geriye mi çekiyor, yoksa disiplinli oyunculara bir avantaj mı sunuyor?

Kör nokta: Avrupa'nın "yeterlilik" kapısı hâlâ kapalı

Reformun en çok konuşulmayan tarafı burada. Türkiye kendi mevzuatını GDPR'a yaklaştırdı; ancak Avrupa Birliği, Türkiye için bir yeterlilik kararı vermedi. Avrupa Komisyonu 13 Aralık 2023'te Türkiye'nin veri koruma mevzuatının GDPR ile yeterince uyumlu olmadığı yönünde bir değerlendirme ortaya koydu ve bugün itibarıyla Türkiye AB'nin yeterlilik listesinde yer almıyor.

Pratikte bu şu demek: Avrupa'daki bir müşteriden ya da iştirakten Türkiye'ye veri akışı otomatik "serbest" değil. Avrupalı taraf, bu aktarımı çoğunlukla standart sözleşme maddeleri (SCC) ve veri işleme anlaşmaları gibi mekanizmalarla meşrulaştırmak zorunda. Yani Türk tedarikçi, çağrı merkezi, yazılım firması veya bulut hizmet sağlayıcısı için Avrupa pazarına erişim, sözleşmesel bir hukuki katmanı doğru kurmaya bağlı hâle geliyor. Reform, Türkiye'den dışarı aktarımı netleştirdi; fakat Türkiye'ye içeri akışın önündeki AB kaynaklı sürtünme yerinde duruyor.

Dengeli bakmak gerekir: Bu, mutlak bir dezavantaj değil. AB'nin yeterlilik verdiği ülke sayısı sınırlı; dünyanın büyük bölümü zaten SCC ve benzeri araçlarla çalışıyor. Ancak yeterlilik kararı olan bir rakip — diyelim Avrupa içi ya da adequacy'li bir üçüncü ülke sağlayıcısı — aynı işi daha az hukuki sürtünmeyle sunabildiğinde, fark bir ihaleyi, bir sözleşme yenilemesini kaybettirecek kadar somutlaşabilir.

Bulut, alt-işleyen ve gizli aktarım zinciri

Yeni rehberlerin getirdiği ince ama kritik bir ayrım, bulut mimarilerini doğrudan ilgilendiriyor. İki Türk şirketi arasındaki aktarım, taraflardan birinin sunucusu yurt dışında olsa bile "yurt dışına aktarım" sayılmıyor. Buna karşılık bir Türk veri işleyenin işlemeyi üçüncü ülkedeki bir alt-işleyene devretmesi, yurt dışı aktarım hükümlerine tabi. Global bulut sağlayıcıları ve SaaS zincirleriyle çalışan her şirket için bu, sözleşme mimarisinin yeniden gözden geçirilmesi anlamına geliyor.

Standart sözleşme yolunu seçenler için usul de bağlayıcı: İmzalanan standart sözleşmenin, imza tarihinden itibaren beş iş günü içinde Kurul'a bildirilmesi gerekiyor; bu bildirim yükümlülüğüne uyulmaması başlı başına idari para cezası sebebi.

Rakamlar büyüyor: uyumsuzluğun fiyatı

Yaptırım tarafı artık sembolik değil. 2025 yılı için KVKK idari para cezaları alt sınırı 68.083 TL, üst sınırı 13.620.402 TL düzeyine çıktı (önceki yıla göre yaklaşık %3,93 artış); 2026 tutarları bu bandın üzerinde. Somut örnekler de birikiyor: Açık rıza olmaksızın yurt dışına veri aktaran bir veri sorumlusuna 950.000 TL idari para cezası uygulandı. Ceza riskinin milyonlu seviyelere taşınması, veri aktarımını artık bir "hukuk departmanı ayrıntısı" olmaktan çıkarıp yönetim kurulu gündemine yerleştiriyor.

E-ticarette kademeli düzen: büyüdükçe daralan alan

E-ticaret tarafında 7416 sayılı değişikliğin mantığı, büyüklüğü eşiklerle cezalandırmak değil, büyüklükle birlikte artan bir sorumluluk kademesi kurmak. Öne çıkan eşikler şöyle:

Bir takvim yılında net işlem hacmi 10 milyar TL'yi ve iptal/iade hariç işlem sayısı 100 bini aşan elektronik ticaret aracı hizmet sağlayıcılar, faaliyete devam için Bakanlıktan lisans almak zorunda; bu lisans yükümlülüğü 1 Ocak 2025 itibarıyla yürürlükte. Net işlem hacmi 30 milyar TL'yi aşan platformlar için ise reklam harcamalarına ve promosyon, puan, kupon, hediye çeki gibi teşviklere sınır getiriliyor. Ayrıca ETBİS'e kayıtlı tescilli markaların, açık rıza olmadan arama motoru pazarlamasında kullanılması kısıtlanıyor.

Bu tasarımın açık amacı, e-ticarette çok oyunculu bir yapı kurmak ve en büyük platformların ölçek avantajını rekabeti kapatacak biçimde kullanmasını önlemek. Uluslararası rekabet açısından çift yönlü bir etki doğuyor: Yurt içinde dev platformların önü kademeli olarak düzenlenirken, sınır ötesine açılmak isteyen orta ölçekli satıcı ve platformlar için öngörülebilir bir çerçeve oluşuyor. Öte yandan lisans ve harcama sınırları, ölçek ekonomisiyle küresel oyuncularla yarışmak isteyen Türk platformları için hareket alanını da daraltabilir.

Kaldıraç nerede?

Bu iki reformu birlikte okuduğumuzda ortaya çıkan tek cümlelik strateji şu: Uyumu maliyet olarak değil, pazar erişim yeteneği olarak kuran şirket kazanır. Avrupa'ya veri dokunuşu olan Türk şirketi için doğru kurulmuş standart sözleşme mimarisi, bir rakibin sunamadığı "sorunsuz aktarım" vaadine dönüşebilir. E-ticarette eşiklerini bilen ve lisans/harcama kademelerini önden planlayan platform, sürprizle karşılaşan rakibinin önüne geçer.

Asıl ayrım, kuralları en son dakikada bir denetim korkusuyla karşılayanlarla, aynı kuralları bir konumlandırma aracı olarak baştan tasarlayanlar arasında oluşacak. Türkiye'nin yeni düzeni, disiplinli oyuncuyu ödüllendiren, hazırlıksızı ise giderek pahalıya mal eden bir zemine oturuyor.

Dengeli Bakış: Bu yazı, Türkiye'nin veri koruma ve e-ticaret düzenlemelerinin rekabet üzerindeki etkilerini birincil kamu kaynakları (Resmî Gazete, Kişisel Verileri Koruma Kurumu, Avrupa Komisyonu) temelinde değerlendirir. Düzenlemelerin etkisi sektöre, şirket ölçeğine ve iş modeline göre değişir. Bu içerik genel bilgilendirme amaçlıdır; hukuki veya yatırım danışmanlığı değildir. Şirkete özel kararlar için yetkili hukuk müşavirliğinden görüş alınmalıdır.