Bulut hizmeti seçerken çoğu firma fiyata, performansa ve kullanım kolaylığına bakar; verilerin fiziksel olarak hangi ülkede durduğu ise çoğu zaman gözden kaçar. Oysa müşteri, çalışan veya tedarikçi bilgisi gibi kişisel veriler içeren sistemlerde bu soru, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) açısından doğrudan sonuç doğurur.
Yurt dışındaki bulut, yurt dışına aktarım demektir
Kişisel Verileri Koruma Kurumu'nun yayımladığı rehber ve kararlarda, sunucuları yurt dışında bulunan bulut hizmetlerinde kişisel verilerin saklanması da yurt dışına aktarım olarak değerlendiriliyor. Yani e-postalarınızı, yedeklerinizi veya uygulama verilerinizi yurt dışındaki bir veri merkezinde tutmak, KVKK'nın 9. maddesindeki şartlara uymanızı gerektirir.
1 Haziran 2024'ten itibaren kurallar
KVKK'nın 9. maddesi 7499 sayılı Kanunla değiştirildi ve yeni düzenleme 1 Haziran 2024'te yürürlüğe girdi. Buna göre kişisel veriler, KVKK'daki işleme şartlarından biri bulunmak kaydıyla, özetle şu yollarla yurt dışına aktarılabilir:
- Yeterlilik kararı: Kişisel Verileri Koruma Kurulu'nun, aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş için yeterli koruma bulunduğuna karar vermesi
- Uygun güvenceler: Yeterlilik kararı yoksa; Kurul'un ilan ettiği standart sözleşme, Kurul onaylı bağlayıcı şirket kuralları veya Kurul izniyle yazılı taahhütname gibi güvencelerden biri
- Arızi aktarım: Yalnızca tekrarlanmayan, istisnai durumlarda; örneğin ilgili kişinin olası riskler hakkında bilgilendirilerek açık rıza vermesi
Standart sözleşme kullanan veri sorumlularının sözleşmeyi imzaladıktan sonra beş iş günü içinde Kurum'a bildirmesi gerekir. Uygulamaya ilişkin usul ve esaslar, 10 Temmuz 2024 tarihli Resmî Gazete'de yayımlanan yönetmelikle belirlendi.
KVKK verilerin Türkiye'de tutulmasını zorunlu kılıyor mu?
Genel kural olarak hayır: KVKK, yukarıdaki şartlar sağlandığında yurt dışına aktarıma izin verir. Ancak bankacılık gibi bazı sektörlerde ve kamu kurumlarında ayrı düzenlemeler, verilerin veya sistemlerin yurt içinde tutulmasını şart koşabilir. Hangi kuralların sizin için geçerli olduğunu hukuk danışmanınızla değerlendirmenizi öneririz.
Verileri Türkiye'de tutmanın pratik faydası
Verileriniz Türkiye'deki bir veri merkezinde duruyorsa, yalnızca barındırma nedeniyle yurt dışına aktarım yapmış olmazsınız; standart sözleşme imzalama ve Kurum'a bildirim gibi ek adımlarla uğraşmanız gerekmez. Bunun yanında:
- Kullanıcılarınıza yakın sunucular sayesinde gecikme düşer, uygulamalar daha hızlı açılır.
- Sözleşme, faturalama ve teknik destek Türkiye'deki bir muhatapla yürür.
Roy Bilişim'de verileriniz nerede?
Bulut sunucu, VDS, VPS, sunucu kiralama, barındırma ve Veeam bulut yedekleme hizmetlerimiz, Turkcell'in Gebze ve Avrupa (Kapaklı, Tekirdağ) veri merkezlerindeki altyapımızda çalışır; verileriniz Türkiye'de kalır. Microsoft 365 gibi küresel bulut hizmetlerinde ise verilerin tutulduğu bölge Microsoft'un altyapısına bağlıdır; bu hizmetleri kullanırken KVKK yükümlülüklerinizi ayrıca değerlendirmeniz gerekir.
Not: Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez. Kendi durumunuz için hukuk danışmanınıza başvurun.