KVKK ve Veri Yerelleştirme: Verilerinizi Türkiye'de Barındırmak Neden Stratejik Bir Karar?

Giriş

"Sunucumuz nerede duruyor?" sorusu yıllarca sadece BT ekiplerinin ilgilendiği bir detaydı. Bugün ise hukuk, uyum ve yönetim ekiplerinin de masasında. Müşteri verisi, çalışan bilgileri, ödeme kayıtları; hepsi bir sunucuda duruyor ve o sunucunun hangi ülkede olduğu, şirketinizin hangi kurallara tabi olduğunu doğrudan etkiliyor.

Bu yazıda KVKK'nın yurt dışına veri aktarımına bakışını, sektörel düzenlemelerin yurt içi barındırma beklentisini ve verinizi Türkiye'de tutmanın pratik avantajlarını ele alıyoruz.

Not: Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. Kurumunuza özel değerlendirme için hukuk danışmanınızla çalışmanızı öneririz.

Veri Yerelleştirme Nedir?

Veri yerelleştirme (data localization), verilerin belirli bir ülkenin sınırları içindeki altyapıda saklanması ve işlenmesi anlamına gelir. Bu bazen yasal bir zorunluluktan, bazen de şirketin kendi risk yönetimi tercihinden doğar.

Pratikte sorulan soru şudur: Veriniz yabancı bir bulut sağlayıcının başka bir ülkedeki bölgesinde mi duruyor, yoksa Türkiye'deki bir veri merkezinde mi?

KVKK Yurt Dışına Veri Aktarımına Nasıl Bakıyor?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin yurt dışına aktarımını özel olarak düzenler. Kanunun 9. maddesi, Haziran 2024'te yürürlüğe giren değişiklikle yeniden yapılandırıldı ve aktarım için kademeli bir yapı getirdi:

• Yeterlilik kararı: Kurul tarafından yeterli korumaya sahip olduğu belirlenen ülkelere aktarım

• Uygun güvenceler: Yeterlilik kararı yoksa standart sözleşmeler, bağlayıcı şirket kuralları gibi güvencelerle aktarım

• Arızi (istisnai) aktarımlar: Düzenli olmayan, sınırlı durumlarda belirli şartlarla aktarım

Önemli bir detay: Standart sözleşme ile aktarım yapıldığında, sözleşmenin imzalanmasından itibaren belirli bir süre içinde Kurum'a bildirilmesi gerekir. Yani yurt dışında barındırma tek başına yasak değildir; ancak ek sözleşme, bildirim ve sürekli takip yükü doğurur.

Veriler Türkiye'deki bir veri merkezinde tutulduğunda ise bu "yurt dışı aktarım" katmanı, barındırma tarafında ortadan kalkar. Bu, uyum süreçlerinizi ciddi ölçüde sadeleştirir.

Sektörel Düzenlemeler: Bazı Sektörlerde Yurt İçi Bir Tercih Değil

Bankacılık ve Finans

BDDK'nın Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği, bankaların birincil ve ikincil (yedek) bilgi sistemlerini yurt içinde bulundurmasını öngörür. Ödeme ve elektronik para kuruluşları, aracı kurumlar ve diğer finansal kuruluşlar da kendi düzenleyicilerinin benzer beklentilerine tabidir.

Bu kurumlar için önemli olan sadece "Türkiye'de olmak" değil; aynı zamanda erişimi kısıtlanmış, denetlenebilir ve izole bir alanda olmaktır.

Sağlık, Kamu ve Elektronik Haberleşme

Sağlık verileri KVKK'da özel nitelikli kişisel veri olarak sınıflandırılır ve daha sıkı önlemler gerektirir. Kamu kurumları ve kritik altyapı işletmecileri ise Cumhurbaşkanlığı Bilgi ve İletişim Güvenliği Rehberi gibi düzenlemelerle verilerin yurt içinde tutulması yönünde güçlü bir çerçeveye sahiptir.

Hukuktan Öte: Veriyi Türkiye'de Tutmanın Pratik Avantajları

1. Daha düşük gecikme, daha hızlı uygulamalar

Kullanıcılarınız Türkiye'deyse, sunucunuzun da Türkiye'de olması fiziksel mesafeyi ve ağ gecikmesini azaltır. Avrupa'daki bir bölgeye giden her istek, onlarca milisaniyelik ek gecikme demektir. E-ticaret, ödeme sistemleri ve gerçek zamanlı uygulamalarda bu fark kullanıcı deneyimine doğrudan yansır.

2. Kur riskinden korunma

Yabancı bulut sağlayıcıların faturaları genellikle döviz bazlıdır. Yerel bir veri merkeziyle TL bazlı ve öngörülebilir bir maliyet yapısı kurmak, bütçe planlamasını kolaylaştırır.

3. Denetimde kolaylık

Bir denetçi "Veriniz nerede?" diye sorduğunda, "İzmir'deki şu tesiste, şu kabinde" diyebilmek ile "Sağlayıcının bir bölgesinde, tam olarak bilmiyoruz" demek arasında büyük fark vardır. Fiziksel erişim kayıtları, kamera görüntüleri ve sözleşmeler tek bir yerel muhatapla yönetilir.

4. Tek hukuki çerçeve

Yurt dışındaki bir sağlayıcıda veriniz, o ülkenin mevzuatına ve resmi makamların taleplerine de tabi olabilir. Türkiye'de barındırma, veriniz üzerinde geçerli hukuki çerçeveyi sadeleştirir.

5. Yerel destek ve fiziksel erişim

Aynı dilde, aynı saat diliminde destek alırsınız. Gerektiğinde kendi ekibiniz tesise gidip donanımına dokunabilir.

KVKK Uyumlu Barındırma İçin Kontrol Listesi

Verinizi Türkiye'de tutmak önemli bir adımdır, ama tek başına KVKK uyumu anlamına gelmez. Barındırma sağlayıcınızı değerlendirirken şu maddeleri kontrol edin:

• Tesis Türkiye'de mi ve yedekler de yurt içinde mi tutuluyor?

• Fiziksel erişim biyometrik kontrollü ve kayıt altında mı?

• Sağlayıcı ile veri işleyen sıfatına uygun bir sözleşme yapılıyor mu?

• Ağ katmanında DDoS koruma ve güvenlik duvarı hizmetleri var mı?

• Kesinti ve güvenlik olaylarında bildirim süreci tanımlı mı?

• Finans gibi regüle sektörler için izole alan seçeneği sunuluyor mu?

• Altyapı seviyesi (Tier III gibi) ve SLA sözleşmeyle garanti altında mı?

Unutmayın: Veri merkezi fiziksel ve ağ güvenliğini sağlar; uygulama güvenliği, erişim yetkileri, şifreleme ve veri işleme politikaları ise veri sorumlusu olarak sizin sorumluluğunuzdadır.

Hibrit Yaklaşım: Her Şeyi Taşımak Zorunda Değilsiniz

Veri yerelleştirme "global bulutu tamamen bırakın" demek değildir. Pek çok kurum için en mantıklı yapı şudur:

• Kişisel veri ve kritik sistemler: Türkiye'deki veri merkezinde, kabin barındırma veya özel bulut üzerinde

• Kişisel veri içermeyen iş yükleri: Statik içerik, anonim analitik, test ortamları gibi alanlarda ihtiyaca göre farklı çözümler

Bu ayrım, hem uyum riskini azaltır hem de esnekliği korur.

Sık Sorulan Sorular

Yurt dışında sunucu kullanmak KVKK'ya göre yasak mı?

Hayır, yasak değildir. Ancak kişisel veri içeriyorsa KVKK'nın 9. maddesindeki şartlara (yeterlilik kararı, uygun güvenceler veya istisnai haller) uygun şekilde yapılması ve gerekli bildirimlerin yerine getirilmesi gerekir.

Bankalar verilerini yurt dışında tutabilir mi?

BDDK düzenlemeleri, bankaların birincil ve ikincil bilgi sistemlerini yurt içinde bulundurmasını öngörür. Detaylar için güncel mevzuat ve uyum ekibinizle değerlendirme yapılmalıdır.

Verimi Türkiye'de tutarsam KVKK'ya tamamen uyumlu olur muyum?

Hayır. Yurt içinde barındırma, yurt dışı aktarım yükünü kaldırır; ancak aydınlatma, açık rıza, veri güvenliği önlemleri, VERBİS kaydı gibi diğer yükümlülükler devam eder.

Yabancı bir bulut sağlayıcının Türkiye bölgesi yeterli mi?

Verinin fiziksel olarak Türkiye'de durması önemli bir adımdır. Ancak destek, yönetim veya yedekleme süreçlerinde verinin yurt dışından erişilip erişilmediğini ve sözleşme koşullarını ayrıca değerlendirmek gerekir.

Olfe ile Verileriniz Türkiye'de, Güvende

Olfe, İzmir Bornova'daki Tier III veri merkezinde verilerinizi yurt içinde, denetlenebilir bir altyapıda barındırır:

• Kabin barındırma, fiziksel sunucu ve özel/hibrit bulut seçenekleri

• Biyometrik erişim kontrolü ve 7/24 fiziksel güvenlik

• L3/L4/L7 katmanlarında çok katmanlı DDoS koruma

• Fintech ve bankacılık sektörüne özel, izole ve regülasyon uyumlu Finans Kafesi

• Sözleşmeyle garanti altına alınmış %99.99 uptime ve 7/24 yerel destek

Altyapınızın hangi bölümünü Türkiye'ye taşımanın mantıklı olduğunu birlikte değerlendirmek için bizimle iletişime geçin.

Sonuç

Veri yerelleştirme artık sadece büyük bankaların konusu değil. Müşteri verisi işleyen her şirket için, verinin nerede durduğu hem uyum yükünü hem performansı hem de maliyeti doğrudan etkiliyor.

Doğru soru "Bulut mu, veri merkezi mi?" değil; "Hangi veri, nerede ve kimin kontrolünde?" Bu soruya net bir cevap verebilen şirketler, hem denetimlerde hem de kriz anlarında bir adım önde olur.