KVKK و محل نگهداری داده‌ها: کدام داده‌ها باید در ترکیه بمانند و کدام نه؟

«آیا داده‌های ما باید در ترکیه بمانند؟» یکی از پرتکرارترین پرسش‌هایی است که در پروژه‌های ابری می‌شنویم. پاسخ معمولاً این است: «نه همه‌ی آن‌ها، اما بخشی از آن‌ها قطعاً باید بماند.» اصلاحیه‌ی سال 2024 قواعد انتقال داده به خارج از کشور را تغییر داد و اکنون بسیاری از انتقال‌هایی که شرکت‌ها بی‌آنکه متوجه شوند انجام می‌دهند، بار انطباق به همراه دارند. این مقاله خلاصه می‌کند که چه چیزی تغییر کرده، کدام داده‌ها واقعاً باید در ترکیه بمانند و یک رویکرد معماری عملی چیست.

در سال 2024 چه چیزی تغییر کرد؟

قانون شماره‌ی 7499 که در 12 مارس 2024 در روزنامه‌ی رسمی منتشر شد، ماده‌ی 9 قانون حفاظت از داده‌های شخصی ترکیه (KVKK) را از نو نوشت. سپس آیین‌نامه‌ی رویه‌ها و اصول انتقال داده‌های شخصی به خارج از کشور از 10 ژوئیه 2024 لازم‌الاجرا شد. تفاوت کلیدی این است: انتقال بر پایه‌ی رضایت صریح که پیش‌تر رایج‌ترین مسیر بود، از 1 سپتامبر 2024 دیگر به‌تنهایی مبنای معتبری برای انتقال‌های منظم به شمار نمی‌رود.

سه مسیر در نظام جدید

• تصمیم کفایت: هیئت تصمیم می‌گیرد که یک کشور یا بخش، حفاظت کافی فراهم می‌کند. در زمان نگارش این مطلب، تکیه بر این مسیر برای بیشتر شرکت‌ها عملی نیست.
• تضمین‌های مناسب: قرارداد استانداردی که هیئت منتشر کرده، قواعد الزام‌آور شرکتی، یا تعهدنامه‌ی کتبی مورد تأیید هیئت. امروز برای بیشتر شرکت‌ها، قرارداد استاندارد مسیری است که جواب می‌دهد.
• انتقال موردی: مسیری محدود برای موارد نامنظم و استثنایی. استفاده‌ی روزانه از یک محصول SaaS «موردی» محسوب نمی‌شود.

نکات اساسی قرارداد استاندارد

• متن منتشرشده از سوی هیئت قابل تغییر نیست؛ فقط فیلدهای خالی تکمیل می‌شوند.
• قرارداد باید ظرف 5 روز کاری پس از تکمیل همه‌ی امضاها به سازمان اطلاع داده شود. سازمان برای این اطلاع‌رسانی یک ماژول آنلاین فراهم کرده است.
• عدم اطلاع‌رسانی جریمه‌ی اداری در پی دارد؛ این جریمه برای سال 2026 از TRY 90,308 تا TRY 1,806,377 است.

انتقال داده بیش از آنچه فکر می‌کنید رخ می‌دهد

بسیاری از شرکت‌ها می‌گویند «ما داده‌ای به خارج نمی‌فرستیم»، اما سیاهه‌برداری چیز دیگری نشان می‌دهد. اگر سرورهای ارائه‌دهنده در خارج از کشور باشند، هر یک از موارد زیر انتقال داده‌ی شخصی است:

• ایمیل و برنامه‌های اداری میزبانی‌شده در خارج از کشور
• نرم‌افزارهای CRM، منابع انسانی، حسابداری یا میز پشتیبانی (SaaS)
• نسخه‌های پشتیبان ذخیره‌شده در منطقه‌ای خارج از ترکیه
• متن‌ها، اسناد و سوابق مشتریان که به سرویس‌های هوش مصنوعی ارسال می‌شوند
• ابزارهای تحلیل وب، تبلیغات و بازاریابی ایمیلی

کجا بومی‌سازی داده الزامی است

KVKK انتقال به خارج از کشور را ممنوع نمی‌کند؛ بلکه آن را مشروط می‌کند. الزامات واقعی «باید در ترکیه بماند» از مقررات بخشی ناشی می‌شوند:

• بانکداری: قواعد BDDK بانک‌ها را ملزم می‌کند سامانه‌های اطلاعاتی اصلی و ثانویه‌ی خود را در ترکیه نگه دارند.
• مؤسسات پرداخت و پول الکترونیکی: قواعد بانک مرکزی (TCMB) نیز به همین ترتیب نگهداری سامانه‌های اطلاعاتی در ترکیه را الزامی می‌کند.
• نهادهای دولتی: بخشنامه‌ی ریاست‌جمهوری شماره‌ی 2019/12 و راهنمای امنیت اطلاعات و ارتباطات، نگهداری داده‌های حیاتی بخش عمومی در ترکیه را الزامی می‌کنند.
• داده‌های سلامت: این داده‌ها به‌عنوان داده‌های شخصی از دسته‌ی خاص، تدابیر امنیتی بیشتر و قواعد ویژه‌ی بخش سلامت را به دنبال دارند.

اگر در یکی از این بخش‌ها فعالیت می‌کنید یا به آن‌ها خدمات می‌دهید، به احتمال زیاد قرارداد مشتری شما نیز شامل الزام میزبانی داخلی است.

یک طبقه‌بندی عملی

• باید در ترکیه بماند: داده‌های مشمول الزامات بخشی؛ داده‌های متعلق به مشتریان بخش عمومی؛ داده‌های مشتریانی که قراردادشان میزبانی داخلی را الزامی می‌کند.
• بهتر است در ترکیه بماند: داده‌های شخصی از دسته‌ی خاص (سلامت، بیومتریک و غیره)، پایگاه‌های داده‌ی اصلی مشتریان، سوابق کارکنان.
• با تضمین‌های لازم می‌تواند در خارج پردازش شود: داده‌های ناشناس‌شده، داده‌های آزمایش و توسعه، داده‌های کسب‌وکار در ابزارهای SaaS جهانی که تحت پوشش یک قرارداد استاندارد امضاشده هستند.

توصیه‌ی معماری: داده‌های خود را لایه‌بندی کنید

سالم‌ترین رویکرد نه «همه چیز در ترکیه» است و نه «همه چیز در یک ابر جهانی»، بلکه یک معماری لایه‌ای است. لایه‌ی برنامه و پایگاه داده که داده‌های شخصی را نگه می‌دارد در ترکیه می‌ماند. فقط داده‌های موردنیاز، و ترجیحاً ناشناس‌شده یا مستعارسازی‌شده، به سرویس‌های خارجی مانند مدل‌های هوش مصنوعی یا ابزارهای تحلیلی می‌روند. به این ترتیب می‌توانید از سرویس‌های جهانی انعطاف‌پذیر استفاده کنید و در عین حال دامنه و ریسک انتقال را محدود سازید.

چک‌لیست

• کشور میزبان هر سامانه را در سیاهه‌ی داده‌های شخصی خود مشخص کنید.
• مبنای قانونی (قرارداد استاندارد و غیره) را برای هر ارائه‌دهنده‌ای که داده را به خارج منتقل می‌کند تعیین کنید.
• بررسی کنید که قراردادهای استاندارد امضاشده ظرف 5 روز کاری اطلاع‌رسانی شده باشند.
• اطلاعیه‌های حریم خصوصی خود را با گروه‌های گیرنده‌ای که داده به آن‌ها منتقل می‌شود به‌روزرسانی کنید.
• الزامات بومی‌سازی موجود در مقررات بخشی و قراردادهای مشتریان را فهرست کنید.
• پیش از به‌کارگیری هر ابزار SaaS یا هوش مصنوعی جدید، ارزیابی انتقال را به فرایند خرید اضافه کنید.

میزبانی داخلی با CloudRUX

CloudRUX خدمات سرور مجازی، پشتیبان‌گیری و بازیابی از فاجعه را از مراکز داده‌ی واقع در ترکیه ارائه می‌کند و دارای گواهی‌نامه‌ی مدیریت اطلاعات حریم خصوصی ISO/IEC 27701 است. می‌توانیم با هم مشخص کنیم کدام داده‌های شما باید در ترکیه بمانند و معماری‌تان را بر همین اساس طراحی کنیم. برای ارزیابی با ما از طریق info@cloudrux.com تماس بگیرید.

این مقاله صرفاً جنبه‌ی اطلاع‌رسانی عمومی دارد و مشاوره‌ی حقوقی محسوب نمی‌شود. لطفاً درباره‌ی وضعیت خاص خود با یک مشاور حقوقی مشورت کنید.