2024 değişikliğiyle KVKK'nın yurt dışı aktarım kuralları köklü biçimde değişti. Açık rıza artık tek başına yeterli değil; standart sözleşme, bildirim yükümlülüğü ve sektörel yerelleştirme kuralları bulut mimarisi kararlarını doğrudan etkiliyor.
"Verilerimiz Türkiye'de mi kalmalı?" sorusu, bulut projelerinde en sık duyduğumuz sorulardan biri. Cevap çoğu zaman "hepsi değil, ama bazıları kesinlikle" oluyor. 2024'te yapılan kanun değişikliğiyle yurt dışına aktarımın kuralları değişti ve birçok şirketin farkında olmadan yaptığı aktarımlar yeni bir uyum yükü doğurdu. Bu yazıda neyin değiştiğini, hangi verinin yurt içinde kalmasının gerçekten zorunlu olduğunu ve pratik bir mimari yaklaşımı özetliyoruz.
2024'te Ne Değişti?
7499 sayılı Kanun ile KVKK'nın 9. maddesi yeniden düzenlendi (Resmî Gazete, 12 Mart 2024). Ardından Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik 10 Temmuz 2024'te yürürlüğe girdi. En önemli fark şu: eskiden en sık kullanılan yol olan açık rızaya dayalı aktarım, 1 Eylül 2024'ten sonra düzenli aktarımlar için tek başına geçerli bir dayanak değil.
Yeni Düzende Üç Yol
- Yeterlilik kararı: Kurul'un, ilgili ülke veya sektör için yeterli koruma bulunduğuna karar vermesi. Bu yazının yazıldığı tarih itibarıyla pratikte bu yola dayanmak çoğu şirket için mümkün değil.
- Uygun güvenceler: Kurul'un yayımladığı standart sözleşme, bağlayıcı şirket kuralları veya Kurul izniyle yazılı taahhütname. Şirketlerin büyük çoğunluğu için bugün işleyen yol standart sözleşmedir.
- Arızi aktarım: Düzenli olmayan, istisnai durumlar için öngörülen dar kapsamlı bir yol. Bir SaaS ürününü her gün kullanmak "arızi" sayılmaz.
Standart Sözleşmede Dikkat Edilecekler
- Kurul'un yayımladığı metin değiştirilemez; sadece boş bırakılan alanlar doldurulur.
- Sözleşme, imzaların tamamlanmasından itibaren 5 iş günü içinde Kurum'a bildirilmelidir. Kurum bu bildirim için çevrim içi bir modül de sunuyor.
- Bildirim yapılmaması idari para cezası gerektirir; 2026 için bu ceza 90.308 TL ile 1.806.377 TL arasındadır.
Aktarım Sandığınızdan Daha Sık Olur
Birçok şirket "yurt dışına veri göndermiyoruz" der, ama envanter çıkarınca tablo değişir. Aşağıdakilerin her biri, sağlayıcının sunucuları yurt dışındaysa kişisel veri aktarımıdır:
- Yurt dışında barındırılan e-posta ve ofis uygulamaları
- CRM, İK, muhasebe veya destek talebi yazılımları (SaaS)
- Yurt dışındaki bir bölgeye alınan yedekler
- Yapay zekâ servislerine gönderilen müşteri metinleri, belgeler ve kayıtlar
- Web analitiği, reklam ve e-posta pazarlama araçları
Yerelleştirmenin Zorunlu Olduğu Alanlar
KVKK yurt dışına aktarımı yasaklamaz; belirli şartlara bağlar. Asıl "Türkiye'de kalmalı" zorunluluğu sektörel düzenlemelerden gelir:
- Bankacılık: BDDK düzenlemeleri, bankaların birincil ve ikincil bilgi sistemlerini yurt içinde bulundurmasını öngörür.
- Ödeme ve elektronik para kuruluşları: TCMB düzenlemeleri benzer şekilde bilgi sistemlerinin yurt içinde tutulmasını ister.
- Kamu kurumları: 2019/12 sayılı Cumhurbaşkanlığı Genelgesi ve Bilgi ve İletişim Güvenliği Rehberi, kritik kamu verilerinin yurt içinde tutulmasını esas alır.
- Sağlık verileri: Özel nitelikli kişisel veri olduğu için ek güvenlik önlemleri ve sağlık mevzuatındaki özel kurallar devreye girer.
Bu sektörlerden birindeyseniz veya bu sektörlere hizmet veriyorsanız, müşterinizin sözleşmesi de büyük olasılıkla yurt içi barındırma şartı içerir.
Pratik Bir Sınıflandırma
- Yurt içinde kalmalı: Sektörel zorunluluğu olan veriler; kamu müşterilerine ait veriler; sözleşmesinde yurt içi şartı bulunan müşteri verileri.
- Yurt içinde kalması önerilir: Özel nitelikli kişisel veriler (sağlık, biyometrik vb.), ana müşteri veritabanları, çalışan özlük kayıtları.
- Uygun güvenceyle yurt dışında işlenebilir: Anonimleştirilmiş veriler, test ve geliştirme verileri, standart sözleşmesi imzalanmış global SaaS araçlarındaki iş verileri.
Mimari Öneri: Veriyi Katmanlara Ayırın
En sağlıklı yaklaşım, "her şey yurt içinde" ya da "her şey global bulutta" yerine katmanlı bir mimaridir. Kişisel verinin durduğu uygulama ve veritabanı katmanı yurt içinde kalır. Yurt dışındaki servislere (ör. yapay zekâ modelleri, analitik) yalnızca gerekli, mümkünse anonimleştirilmiş veya takma adlı veri gider. Böylece hem esnek global servislerden yararlanır hem de aktarım kapsamını ve riskini daraltırsınız.
Kontrol Listesi
- Kişisel veri envanterinizde her sistemin barındırma ülkesini işaretleyin.
- Yurt dışına aktarım yapan her sağlayıcı için dayanağı (standart sözleşme vb.) belirleyin.
- İmzalanan standart sözleşmeleri 5 iş günü içinde bildirdiğinizi kontrol edin.
- Aydınlatma metinlerinizi aktarım yapılan alıcı gruplarıyla güncelleyin.
- Sektörel düzenleme ve müşteri sözleşmelerindeki yerelleştirme şartlarını listeleyin.
- Yeni bir SaaS veya yapay zekâ aracı alınmadan önce aktarım değerlendirmesini satın alma sürecine ekleyin.
CloudRUX ile Yurt İçi Barındırma
CloudRUX, sanal sunucu, yedekleme ve felaket kurtarma hizmetlerini Türkiye'deki veri merkezlerinde sunar ve ISO/IEC 27701 kişisel veri yönetim sistemi sertifikasına sahiptir. Hangi verinizin yurt içinde kalması gerektiğini birlikte sınıflandırıp mimarinizi buna göre tasarlayabiliriz. Değerlendirme için info@cloudrux.com adresinden bize ulaşabilirsiniz.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz. Kendi durumunuz için bir hukuk danışmanına başvurmanızı öneririz.