Verileriniz Nerede Duruyor? KVKK Açısından Sunucu Lokasyonu

🔍 Giriş

"Sunucum Türkiye'de" cümlesi çoğu zaman bir hız argümanı olarak kullanılır. Oysa 1 Haziran 2024'ten bu yana bu cümlenin hukuki bir tarafı da var.

Kişisel veri barındıran her işletme için soru şu: müşterilerinizin verileri fiilen hangi ülkede duruyor? Cevap "yurt dışı" ise, bu KVKK açısından yurt dışına aktarım sayılır ve belirli yükümlülükler doğurur.

Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir. Şirketinizin durumuna özel değerlendirme için bir hukuk danışmanına başvurmanızı öneririz.

⚖️ Önce Şu Ayrımı Netleştirelim: Sorumluluk Kimde?

Bu konuda en yaygın yanlış anlama budur, o yüzden baştan açık olalım:

Bunun pratik anlamı şudur: hiçbir hosting firması sizi "KVKK uyumlu" hâle getiremez. Uyum, sizin süreçlerinizle ilgilidir — hangi veriyi neden topladığınız, ne kadar sakladığınız, kime aktardığınız, aydınlatma yükümlülüğünüzü nasıl yerine getirdiğiniz.

Sağlayıcınızın yapabileceği şey, verinin nerede ve hangi güvenlik önlemleriyle tutulduğunu netleştirmek ve bunu sözleşmeyle taahhüt etmektir. Bu önemlidir ama uyumun tamamı değildir. Size "KVKK uyumunuzu biz sağlıyoruz" diyen bir sağlayıcıya temkinli yaklaşın.

📅 1 Haziran 2024'te Ne Değişti?

12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun ile KVKK'nın yurt dışına aktarımı düzenleyen 9. maddesi değiştirildi ve yeni düzenleme 1 Haziran 2024'te yürürlüğe girdi.

Yeni yapı kademeli bir mekanizma kuruyor:

1. Yeterlilik kararı. Kişisel Verileri Koruma Kurulu, bir ülke, o ülkedeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı verebilir. Böyle bir karar varsa aktarım bu karara dayanarak yapılabilir. Kararlar en geç dört yılda bir yeniden değerlendirilir.

2. Uygun güvenceler. Yeterlilik kararı yoksa, standart sözleşme veya bağlayıcı şirket kuralları gibi araçlarla aktarım yapılabilir. Kurum, kullanılacak standart sözleşme metinlerini 10 Temmuz 2024'te kamuoyuna duyurdu. Bu araçların kullanılması Kuruma bildirim gibi usul yükümlülükleri de getirir.

3. Arızi istisnalar. Belirli ve sınırlı hâllerde, tek seferlik durumlar için öngörülen istisnalar.

Kurumun bu konuda yayımladığı ayrıntılı bir rehber de bulunuyor; süreci uygulayacaksanız birincil kaynak olarak KVKK'nın yurt dışına aktarım sayfasını incelemenizi öneririz.

🇹🇷 Veri Türkiye'de Kalırsa Ne Olur?

Buradaki asıl nokta şu: yukarıdaki mekanizmanın tamamı, yalnızca veri yurt dışına aktarıldığında devreye girer.

Verilerinizi Türkiye'deki bir veri merkezinde barındırıyorsanız yeterlilik kararı aramanız, standart sözleşme imzalayıp bildirimde bulunmanız gerekmez. Yurt dışına aktarım söz konusu olmadığı için bu başlık sizin gündeminizden çıkar.

Bu, yurt dışı sağlayıcı kullanmanın yasak olduğu anlamına gelmez. Kullanabilirsiniz — ancak yukarıdaki araçlardan birini kurmanız ve sürdürmeniz gerekir. Yani lokasyon tercihi, bir uyum yükünü üstlenip üstlenmeme tercihidir.

Türkiye lokasyonunun performans tarafındaki etkisini Neden yerli hosting tercih etmelisiniz yazımızda ayrıca ele aldık.

🔎 Sağlayıcınıza Sormanız Gereken Beş Soru

"Sunucum Türkiye'de" cevabı tek başına yeterli değildir. Şunları sorun:

1. Sunucular fiziksel olarak hangi şehirde, hangi veri merkezinde? Şirketin merkezi değil, donanımın bulunduğu yer önemlidir.

2. Yedekler nerede tutuluyor? Bu, en sık atlanan sorudur. Sunucu Türkiye'de olup yedeklerin yurt dışındaki bir depolamaya alındığı yapılar yaygındır — bu durumda aktarım fiilen gerçekleşir.

3. Yönetim paneli, izleme ve destek sistemleri nerede çalışıyor? Destek ekibinin veriye eriştiği araçlar da resmin parçasıdır.

4. Veri işleyen sözleşmesi imzalanıyor mu? Sağlayıcınızla aranızdaki ilişkinin yazılı olması gerekir.

5. Bir ihlal durumunda bildirim süreci nasıl işliyor? Veri işleyenin sizi ne kadar hızlı bilgilendireceği, sizin kendi bildirim yükümlülüğünüzü etkiler.

❌ Sık Yapılan İki Hata

• Yalnızca hosting'e bakmak. Sunucunuz Türkiye'de olabilir ama müşteri e-postalarınız yurt dışı bir servise gidiyorsa, ziyaretçi verileriniz yurt dışı analitik araçlarına akıyorsa veya CDN üzerinden geçiyorsa, aktarım yine gerçekleşiyordur. Resmin tamamına bakın: hosting, e-posta, analitik, CDN, form araçları, muhasebe yazılımı, bulut depolama.

• Yedekleri unutmak. Yukarıda ayrıca vurguladık çünkü pratikte en sık gözden kaçan kalem budur.

E-posta tarafını Türkiye'de tutmak istiyorsanız, Kurumsal E-Posta hizmetimiz Türkiye lokasyonunda çalışır ve açık kaynak altyapı kullanır.

🙋‍♂️ Sık Sorulan Sorular (SSS)

❓ Yurt dışı hosting kullanmak yasak mı?
Hayır. Yasak değildir; ancak yurt dışına aktarım için öngörülen araçlardan birine dayanmanız ve ilgili usul yükümlülüklerini yerine getirmeniz gerekir. Veri Türkiye'de kaldığında bu başlık gündeme gelmez.

❓ Sunucum Türkiye'de, KVKK uyumlu sayılır mıyım?
Hayır. Lokasyon yalnızca bir başlıktır. Uyum; hangi veriyi neden topladığınız, saklama sürelerinizi belirlemeniz, aydınlatma ve açık rıza süreçleriniz, veri envanteri ve güvenlik önlemlerinizi de kapsar.

❓ Hosting firması benim adıma uyumu sağlayabilir mi?
Sağlayamaz. Sağlayıcı tipik olarak veri işleyendir; veri sorumlusu sizsiniz. Sağlayıcı size lokasyon, güvenlik önlemleri ve sözleşme sağlar — süreçlerinizi kuramaz.

❓ Yedeklerin yurt dışında olması sorun mu?
Yedek de kişisel veri içerir. Yurt dışında tutuluyorsa aktarım gerçekleşmiş sayılır. Bu nedenle yedek lokasyonunu mutlaka sorun ve yazılı teyit alın.

❓ Verilerimin Türkiye'de olduğunu nasıl doğrularım?
Sağlayıcınızdan veri merkezi bilgisini ve yedek lokasyonunu yazılı olarak isteyin. Sözleşmede yer alması, sonradan doğabilecek tartışmaları önler.

❓ Mevcut sunucumu Türkiye'ye taşımak zor mu?
Genellikle planlı bir geçişle yapılabilir. Süreç, verinin türüne ve sistemin yapısına göre değişir; mevcut yapınızı incelememiz gerekir.

🟢 Sonuç

Özetle:

• Sorumluluk sizde. Sağlayıcınız veri işleyen, veri sorumlusu sizsiniz — kimse sizi uyumlu hâle getiremez.

• Lokasyon bir yükümlülük tercihidir. Veri Türkiye'de kalırsa yurt dışına aktarım mekanizması devreye girmez; yurt dışında tutulursa bu yükü üstlenmeniz gerekir.

• Sadece sunucuya bakmayın. Yedekler, e-posta, analitik ve CDN de aynı sorunun parçasıdır.

📌 Türkiye lokasyon altyapımızı Veri Merkezi sayfamızda inceleyebilirsiniz. Mevcut yapınızda verilerin nerede durduğundan emin değilseniz bize yazın; birlikte gözden geçirelim.

Yukarıdaki bilgiler genel niteliktedir ve hukuki görüş yerine geçmez. Yükümlülüklerinizin kapsamı şirketinizin faaliyetine ve işlediği verilere göre değişir; bir hukuk danışmanıyla değerlendirmenizi öneririz.