Yurt Dışına Veri Aktarımı ve Bulut Sözleşmeleri: 2024 Sonrası Rejim
Şirketler altyapılarını giderek buluta taşırken, veri lokalizasyonu ve kişisel verilerin yurt dışına aktarımı kritik hukuki başlıklar hâline geldi. Bulut ve veri merkezi sözleşmeleri, baştan doğru kurgulanmazsa hem mevzuata aykırılık hem de operasyonel kilitlenme riski doğurur. Bu rehberde konunun temel hukuki çerçevesini ele alıyoruz.
📚 KVKK Rehberi (Ana Rehber) — kişisel veriler alanındaki tüm rehberler, konu gruplarına ayrılmış hâlde.
Yasal Dayanak
Kişisel verilerin yurt dışına aktarımı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 9. maddesinde düzenlenir. 7499 sayılı Kanun ile 9. maddede yapılan ve 1 Haziran 2024'te yürürlüğe giren değişiklik, GDPR'a yakın üç kademeli bir sistem getirmiştir; ayrıntılar Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'te (10 Temmuz 2024) belirlenmiştir. Belirli sektörlerde ek veri lokalizasyon kuralları vardır: BDDK'nın bankaların bilgi sistemlerine ilişkin düzenlemeleri ile TCMB'nin ödeme ve elektronik para kuruluşlarına ilişkin düzenlemeleri, sistem ve verilerin Türkiye'de tutulmasını zorunlu kılabilir.
Konu Nedir?
Bulut ve veri merkezi hizmeti almak, hukuken bir dış hizmet (outsourcing) ilişkisidir ve çoğu zaman kişisel verilerin bir veri işleyene aktarılması anlamına gelir.
Yurt dışına aktarımda yeni sistem üç kademelidir: önce yeterlilik kararı; yoksa uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları); o da yoksa sınırlı arızi haller. Standart sözleşme imzalanırsa beş iş günü içinde Kuruma bildirim yapılması gerekir.
Kimleri Etkiler?
- Bulut/veri merkezi hizmeti alan tüm şirketler
- Bankalar ve ödeme/elektronik para kuruluşları (lokalizasyon yükümlüsü)
- Veri yoğun işletmeler ve SaaS sağlayıcıları
Pratik Adımlar
- Sözleşmede veri sahipliği, gizlilik, hizmet seviyesi (SLA) ve alt yüklenici kullanımının netleştirilmesi
- Verilerin fiziksel olarak nerede tutulacağının ve lokalizasyon gereklerinin belirlenmesi
- KVKK'nın 12. maddesi kapsamında veri işleyen ilişkisinin sözleşmeye bağlanması
- Yurt dışı aktarımda uygun güvence (standart sözleşme) imzalanması ve süresinde Kuruma bildirim
- Sözleşme sona erdiğinde verilerin iadesi ve güvenli imhasının güvence altına alınması
Hukuki Riskler
Sektörel lokalizasyon kurallarının ihlali, BDDK veya TCMB yaptırımlarına yol açabilir. Yeterlilik kararı ya da uygun güvence olmadan yapılan yurt dışı aktarımlar KVKK kapsamında idari para cezası doğurur. Sözleşmede veri taşınabilirliği ve iade hükmü bulunmaması, hizmet sağlayıcıya bağımlılık (vendor lock-in) yaratır.
Sonuç ve Tavsiye
Bulut kararı, bir maliyet kararı kadar bir uyum kararıdır. Sözleşmenizi ve veri akış haritanızı hukuki süzgeçten geçirmeniz, lokalizasyon ve yurt dışı aktarım kurallarına uyumu baştan kurgulamanız önerilir. Bilişim ve veri koruma hukuku alanında uzman desteği bu riskleri azaltır.
Görsel: — Wikimedia, CC BY 3.0
Bulut sözleşmeniz 2024 rejimine uygun mu?
Av. Fatma Öztürk — Hukukçular Evi Ankara
2024 Sonrası Bulut: Açık Rıza Artık Dayanak Değil
Yurt dışında barındırılan bulut hizmetleri, 7499 sayılı Kanun ile 6698 sayılı KVKK'nın 9. maddesinde yapılan ve 1/6/2024 tarihinde yürürlüğe giren değişiklikten en çok etkilenen alandır.
Geçiş rejimi kapsamında yurt dışı aktarım için alınan açık rızalar 1/9/2024 tarihine kadar geçerli kabul edilmiştir. O tarihten sonra, açık rızaya dayanarak sürdürülen aktarımlar dayanaksız hâle gelmiştir. Bulut sözleşmesini 2024 öncesinde imzalayıp o günden beri gözden geçirmeyen şirketler, farkında olmadan dayanaksız aktarım yapıyor olabilir.
Yeni rejim kademelidir: önce yeterlilik kararı, yoksa uygun güvenceler. Uygun güvence yöntemleri arasında standart sözleşmeler ve bağlayıcı şirket kuralları yer alır. Usul ve esaslar, 10/7/2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile düzenlenmiştir.
Bir ayrıntı çoğu zaman gözden kaçar: değişiklikle yeterlilik kararının ülkenin tamamı yerine o ülke içindeki bir sektör veya uluslararası kuruluş özelinde de alınabilmesi mümkün kılınmıştır. Bu, sağlayıcı seçiminde ülke değil hizmet bazlı değerlendirme yapılmasını gerektirir.
Sözleşmenin Omurgası: Veri Sorumlusu mu, Veri İşleyen mi?
Bulut sözleşmelerinde en pahalı hata, tarafların sıfatının netleştirilmemesidir. Sıfat, sorumluluğun kimde kalacağını belirler.
- Veri sorumlusu — verinin işlenme amaç ve vasıtalarını belirleyen taraf. Kural olarak hizmeti alan şirkettir ve KVKK yükümlülüklerinin muhatabıdır.
- Veri işleyen — veri sorumlusu adına ve onun talimatıyla veri işleyen taraf. Bulut sağlayıcısı tipik olarak bu konumdadır.
Ayrımın ayrıntısı için: Veri Sorumlusu ve Veri İşleyen Kimdir?
Sözleşmede mutlaka bulunması gereken kalemler:
- İşlemenin konusu, süresi, amacı ve veri kategorileri
- Sağlayıcının yalnızca talimat doğrultusunda işlem yapacağı taahhüdü
- Alt işleyen kullanımının izne bağlanması ve alt işleyen listesinin şeffaflığı
- Verinin fiziken hangi ülkede tutulacağı ve yedeklerin konumu
- İhlal hâlinde sağlayıcının bildirim süresi — 72 saatlik pencerenin içinde kalabilmek için sağlayıcının size çok daha kısa sürede haber vermesi gerekir
- Sözleşme sonunda verinin iadesi veya imhası ve bunun belgelenmesi
- Denetim hakkı ve sertifikasyon raporlarına erişim
Sorumluluk Kimde Kalır? Dışarıdan Almak Sorumluluğu Devretmez
Yaygın bir yanılgı, hizmeti dışarıdan almanın sorumluluğu da dışarı taşıdığıdır. Oysa KVKK karşısında muhatap kural olarak veri sorumlusudur. Sağlayıcının kusurundan doğan bir ihlalde de Kurul'un muhatabı sizsiniz.
Bunun pratik sonuçları:
- Rücu hükmü şart. Sağlayıcının kusurundan doğan idari para cezası ve tazminatların rücu edilebileceği açıkça yazılmalıdır. Sözleşmedeki sorumluluk üst sınırı (cap) bu cezaları karşılamıyorsa, rücu hükmü kâğıt üzerinde kalır.
- Sağlayıcı seçimi bir uyum kararıdır. Denetlenebilir olmayan, alt işleyen listesini paylaşmayan veya veri konumunu taahhüt etmeyen bir sağlayıcıyla çalışmak, uyum riskini fiilen üstlenmek anlamına gelir.
- İhlal senaryosu önceden provalanmalıdır. Sağlayıcı size 48 saat sonra haber veriyorsa, 72 saatlik pencerenin üçte ikisi kaybolmuş demektir. Bildirim süresi sözleşmede saatle belirtilmelidir. Bkz. KVKK Veri İhlali Bildirim Yükümlülüğü.
Kurumsal uyum programının bütünü için: Şirketler İçin KVKK Uyumu.
Sözleşmenizi aktarım rejimi ve rücu açısından gözden geçirelim.
Av. Fatma Öztürk — Hukukçular Evi Ankara
Sıkça Sorulan Sorular
Yurt dışındaki bulut hizmetini açık rızayla kullanabilir miyim?
Hayır. 7499 sayılı Kanun ile KVKK m.9'da yapılan ve 1/6/2024'te yürürlüğe giren değişiklik sonrası açık rıza, yurt dışı aktarım için sürdürülebilir bir dayanak olmaktan çıkmıştır. Geçiş süresi 1/9/2024'te sona ermiştir; yeterlilik kararı yoksa standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvencelere geçilmelidir.
Bulut sağlayıcım veri sorumlusu mu, veri işleyen mi?
Bulut sağlayıcısı tipik olarak veri işleyen konumundadır; işleme amaç ve vasıtalarını belirleyen ve KVKK yükümlülüklerinin muhatabı olan taraf ise hizmeti alan şirkettir. Sıfatın sözleşmede açıkça belirlenmesi, sorumluluğun kimde kalacağını tayin eder.
Sağlayıcının kusurundan doğan cezayı ben mi öderim?
Kurul karşısında muhatap kural olarak veri sorumlusudur. Bu nedenle sözleşmeye rücu hükmü konulmalı ve sorumluluk üst sınırının idari para cezalarını karşılayacak düzeyde olması sağlanmalıdır.
Sözleşmede ihlal bildirim süresi neden kritik?
KVKK'daki 72 saatlik pencere, ihlalin öğrenildiği andan işler. Sağlayıcı size geç haber verirse süre fiilen kısalır. Bu nedenle sağlayıcının bildirim süresi sözleşmede gün değil saat cinsinden ve mümkün olan en kısa şekilde belirlenmelidir.
Alt işleyen kullanımı için iznim gerekir mi?
Sözleşmede düzenlenmelidir. İyi kurgulanmış bir bulut sözleşmesinde alt işleyen kullanımı veri sorumlusunun iznine bağlanır, alt işleyen listesi şeffaf tutulur ve değişikliklerde önceden bildirim öngörülür.
Sözleşme bittiğinde verilerim ne olur?
Sözleşme sonunda verinin iade mi edileceği yoksa imha mı edileceği, hangi süre içinde ve nasıl belgeleneceği açıkça kararlaştırılmalıdır. Belgelenmemiş imha, sonraki denetimlerde ispat sorunu yaratır.