KVKK ve Sunucu Lokasyonu: Veriler Neden Türkiye'de Tutulmalı?

Bir web sitesi, e-ticaret altyapısı veya şirket içi uygulama için sunucu seçerken çoğu zaman performans ve fiyat konuşulur; oysa kişisel veri işleyen her işletme için KVKK ve sunucu lokasyonu ilişkisi de en az bunlar kadar önemlidir. Müşteri adları, telefon numaraları, adresler, sipariş geçmişleri ve çalışan kayıtları hangi ülkedeki sunucuda tutuluyorsa, o tercih 6698 sayılı Kişisel Verilerin Korunması Kanunu açısından farklı yükümlülükler doğurabilir. Bu yazıda Kanun'un temel kavramlarını, yurt dışına veri aktarımı kurallarını, 2024'te yapılan değişiklikleri ve verileri Türkiye'de tutmanın pratik avantajlarını genel hatlarıyla ele alıyoruz.

Not: Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. Kendi durumunuza özgü değerlendirme için bir hukuk danışmanına başvurmanızı öneririz.

KVKK Nedir? Temel Kavramlar

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 7 Nisan 2016'da Resmî Gazete'de yayımlanarak yürürlüğe girmiştir. Kanun'un amacı, kişisel verilerin işlenmesinde temel hak ve özgürlükleri korumak ve verileri işleyen gerçek ve tüzel kişilerin yükümlülüklerini düzenlemektir. Uygulamayı Kişisel Verileri Koruma Kurumu ve onun karar organı olan Kişisel Verileri Koruma Kurulu denetler.

Kanun'u anlamak için birkaç temel kavramı bilmek gerekir:

• Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. Ad, e-posta, telefon, IP adresi, konum ve çerez kimlikleri bu kapsama girebilir.
• Özel nitelikli kişisel veri: Sağlık, biyometrik ve genetik veriler, din, mezhep, siyasi düşünce, sendika üyeliği, ceza mahkûmiyeti gibi veriler. Bunlar için daha sıkı işleme şartları ve ek güvenlik önlemleri öngörülür.
• Veri sorumlusu: Verilerin işlenme amaç ve vasıtalarını belirleyen kişi veya kurum. Örneğin müşteri verilerini toplayan e-ticaret şirketi.
• Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişi veya kurum. Barındırma, bulut veya e-posta hizmeti sağlayıcıları çoğu durumda bu rolde değerlendirilir.
• Veri işleme: Verilerin elde edilmesi, kaydedilmesi, depolanması, aktarılması, silinmesi dahil her türlü işlem. Bir veriyi yalnızca sunucuda saklamak da işleme sayılır.

Veri Güvenliği Yükümlülükleri

KVKK'nın 12. maddesi, veri sorumlusuna verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü getirir. Veri işleyen bir hizmet sağlayıcı kullanıldığında da veri sorumlusu, bu tedbirlerin alınmasından onunla birlikte sorumludur.

Sunucu altyapısı açısından bu yükümlülük somut olarak şu tür önlemlere karşılık gelir:

• Erişim yetkilerinin sınırlandırılması ve kayıt altına alınması
• Aktarımda ve depolamada şifreleme (TLS, disk şifreleme)
• Güncel yazılım, güvenlik duvarı ve saldırı tespit önlemleri
• Düzenli yedekleme ve geri yükleme testleri
• Günlük (log) kayıtlarının tutulması ve izlenmesi
• Hizmet sağlayıcılarla veri işleme şartlarını belirleyen sözleşmeler

Kanun ayrıca işlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurul'a bildirmesini öngörür. Kurul, bu bildirimin ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılması gerektiğine karar vermiştir. Bu süreyi karşılayabilmek için sunucu tarafında ihlali fark etmeyi sağlayacak izleme ve kayıt mekanizmalarının önceden kurulmuş olması gerekir. Teknik tedbirlere genel bakış için veri güvenliği nasıl sağlanır yazımıza da göz atabilirsiniz.

Yurt Dışına Veri Aktarımı: 2024 Değişikliği

Sunucu lokasyonu tartışmasının merkezinde KVKK'nın 9. maddesi yer alır. Bu madde kişisel verilerin yurt dışına aktarılmasını düzenler. Yurt dışındaki bir sunucuda veri depolamak, yurt dışında barındırılan bir bulut veya e-posta hizmetini kullanmak ya da verileri yurt dışındaki bir yedekleme hizmetine göndermek, genellikle yurt dışına aktarım olarak değerlendirilir.

Değişiklikten önce

Maddenin ilk halinde yurt dışına aktarım için temel olarak ilgili kişinin açık rızası gerekiyordu; rıza olmadan aktarım ise yalnızca Kurul'un "yeterli korumaya sahip ülkeler" listesine veya Kurul izinli taahhütnamelere dayanabiliyordu. Kurul'un yeterli ülke listesi yayımlanmadığı için uygulamada açık rıza ve taahhütname başvuruları ön plandaydı.

7499 sayılı Kanun ile gelen yeni düzen

12 Mart 2024'te yayımlanan 7499 sayılı Kanun ile 9. madde yeniden düzenlenmiş ve yeni hükümler 1 Haziran 2024'te yürürlüğe girmiştir. Ardından aktarım usullerini ayrıntılandıran yönetmelik de 2024 yılında yayımlanmıştır. Yeni düzen kademeli bir yapı kurar:

1. Yeterlilik kararı: Kanun'daki işleme şartlarından birinin bulunması ve aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında Kurul'un yeterlilik kararı olması halinde aktarım yapılabilir.
2. Uygun güvenceler: Yeterlilik kararı yoksa, işleme şartlarından birinin bulunması ve ilgili kişinin haklarını kullanabilmesi kaydıyla uygun güvencelerden birine dayanılabilir. Bunlar arasında Kurul'un ilan ettiği standart sözleşmeler, Kurul onaylı bağlayıcı şirket kuralları, Kurul izniyle yazılı taahhütnameler ve kamu kurumları arasındaki anlaşmalar yer alır. Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilmesi gerekir.
3. Arızi aktarımlar: Yeterlilik kararı ve uygun güvence bulunmadığında, yalnızca arızi (süreklilik arz etmeyen) durumlarda ve sayılı istisnalara dayanarak aktarım yapılabilir. İlgili kişinin olası riskler hakkında bilgilendirilerek açık rıza vermesi bu istisnalardan biridir.

Değişikliğin pratik sonucu şudur: Yurt dışındaki bir sunucuyu düzenli ve süreklilik arz eden şekilde kullanan işletme, artık her kullanıcıdan rıza toplamak yerine çoğunlukla standart sözleşme gibi bir güvence mekanizmasını işletmek ve bildirim yükümlülüğünü yerine getirmek durumundadır. Bu da sözleşme yönetimi, bildirim takibi ve hizmet sağlayıcıyla müzakere anlamına gelir.

Peki Veriler Türkiye'de Tutulmak Zorunda mı?

KVKK, genel bir kural olarak tüm kişisel verilerin Türkiye'de tutulmasını şart koşmaz; yurt dışına aktarımı yasaklamaz, belirli şartlara bağlar. Ancak bazı sektörlerde ayrı düzenlemeler daha katı kurallar getirebilir. Örneğin bankacılık alanındaki düzenlemeler, bankaların birincil ve ikincil bilgi sistemlerini yurt içinde bulundurmasını öngörür. Kamu kurumları, sağlık ve ödeme hizmetleri gibi alanlarda da kendi mevzuatınızı ayrıca kontrol etmeniz gerekir.

Zorunluluk olmasa bile verileri Türkiye'de tutmak birçok işletme için en sade yoldur:

Türkiye lokasyonunun performans ve gecikme tarafındaki avantajlarını Türkiye lokasyonlu VDS'in avantajları yazımızda ayrıca ele aldık.

Gözden Kaçan Aktarım Noktaları

Ana sunucunuz Türkiye'de olsa bile verileriniz farkında olmadan yurt dışına çıkıyor olabilir. Altyapınızı şu açılardan gözden geçirin:

• Yedekler: Otomatik yedekler yurt dışındaki bir depolama hizmetine mi gidiyor?
• E-posta: Kurumsal e-posta hizmetiniz hangi ülkede barındırılıyor? Müşteri yazışmaları da kişisel veri içerir.
• Analitik ve pazarlama araçları: Ziyaretçi verileri yurt dışındaki hizmetlere aktarılıyor mu?
• Destek ve CRM yazılımları: Müşteri kayıtları bulut tabanlı bir yazılımda mı tutuluyor?
• Günlük ve izleme servisleri: IP adresi içeren sunucu günlükleri harici bir izleme hizmetine gönderiliyor mu?

Bu kalemlerin her biri için verinin nerede işlendiğini, hangi aktarım mekanizmasına dayandığını ve aydınlatma metninizde bunun belirtilip belirtilmediğini kayıt altına almak, olası bir denetimde işinizi kolaylaştırır. Yedeklerin hem güvenli hem de doğru lokasyonda tutulması için sunucu yedekleme stratejileri yazımızdaki yaklaşımları kullanabilirsiniz.

Sunucu Seçerken Sorulacak Sorular

1. Sunucu ve veriler fiziksel olarak hangi ülkede, hangi veri merkezinde bulunuyor?
2. Yedekler nerede tutuluyor? Yedekleme hizmeti farklı bir ülkede mi?
3. Sağlayıcı, sunucudaki verilere hangi durumlarda ve kimler aracılığıyla erişebiliyor?
4. Veri işleme şartlarını düzenleyen bir sözleşme veya hizmet koşulları var mı?
5. Hizmet sona erdiğinde veriler nasıl teslim ediliyor ve diskler nasıl temizleniyor?
6. Güvenlik olaylarında bildirim süreci nasıl işliyor?

Bu sorulara net cevap verebilen bir altyapı, KVKK uyum dokümantasyonunuzu hazırlamayı da kolaylaştırır.

Sık Sorulan Sorular

Yurt dışında sunucu kullanmak KVKK'ya aykırı mı?

Kendiliğinden aykırı değildir. Ancak yurt dışındaki sunucuda kişisel veri işleniyorsa 9. maddedeki aktarım şartlarından birinin sağlanması gerekir. Bu şartları karşılamadan yapılan aktarım Kanun'a aykırılık oluşturabilir.

Sunucumu Türkiye'ye taşırsam tüm yükümlülüklerim biter mi?

Hayır. Yurt dışına aktarım boyutu sadeleşir, ancak aydınlatma, açık rıza gereken durumlar, veri güvenliği tedbirleri, saklama ve imha süreleri ve muaf değilseniz VERBİS kayıt yükümlülüğü gibi diğer yükümlülükler devam eder.

Hosting veya sunucu sağlayıcım veri sorumlusu mu?

Çoğu durumda sağlayıcı, sizin adınıza veri barındıran veri işleyen olarak değerlendirilir; verinin hangi amaçla işleneceğine siz karar verdiğiniz için veri sorumlusu sizsinizdir. Rollerin kesin tespiti hizmetin niteliğine göre değişebilir.

Yedeklerimi yurt dışındaki bir depolama hizmetinde tutabilir miyim?

Yedekler de kişisel veri içerdiği için bu durum yurt dışına aktarım olarak değerlendirilebilir ve 9. maddedeki şartlara tabidir. Yedekleri de yurt içinde tutmak bu değerlendirmeyi sadeleştirir.

Ceza ve yaptırımlar hakkında bilgi nereden alınır?

İdari para cezaları Kanun'da düzenlenir ve tutarları her yıl yeniden değerleme oranında güncellenir. Güncel bilgi için Kişisel Verileri Koruma Kurumu'nun resmi yayınlarını takip etmenizi öneririz.

KVKK ve sunucu lokasyonu konusu, yalnızca hukuk departmanının değil altyapı kararlarını veren herkesin gündeminde olmalıdır. Verileri Türkiye'de tutmak, yurt dışına aktarım yükümlülüklerini sadeleştirir, gecikmeyi azaltır ve uyum dokümantasyonunu kolaylaştırır. Kişisel verilerinizi Ankara'daki veri merkezinde barındırmak için Türkiye'de barındırılan VDS sunucuları, fiziksel ayrıştırma gerektiren sistemler için yerli dedicated sunucu seçeneklerini ve müşteri yazışmalarınızı yurt içinde tutmak için kurumsal e-posta hizmetini inceleyebilirsiniz.