Verileri Yurt Dışındaki Bulutta Tutmak Yasal mı? KVKK'da Veri Yerelleştirme, Sunucusu Yurt İçinde Olmak Zorunda Olan Sektörler ve Kurul'un 950 Bin TL'lik Kararı

Kısa cevap: 6698 sayılı Kanun'un hiçbir maddesi kişisel verinin Türkiye'deki bir sunucuda tutulmasını zorunlu kılmıyor. KVKK tarafından bakıldığında yurt dışındaki bir bulut hizmetini kullanmak baştan yasak değil. Fakat işin iki katmanı var ve şirketler genellikle birini atlıyor. Birincisi hukuki dayanak: veriyi yurt dışındaki bir sunucuda tutmak, Kanun'un 9. maddesi anlamında yurt dışına aktarımdır, dolayısıyla depolamanın kendisi bir dayanağa oturmak zorunda. İkincisi sektörel yasak: bankacılıktan ödeme hizmetlerine, sermaye piyasasından sigortacılığa kadar bir dizi alanda özel mevzuat, sistemlerin ve yedeklerin yurt içinde bulundurulmasını doğrudan emrediyor. Bu ikinci gruptaysanız açık rıza da standart sözleşme de sizi kurtarmaz, çünkü orada tartışma aktarımın şartı değil, aktarımın yasaklanmış olması. Kendi durumunuzu anlamanın yolu sunucu faturasına değil, önce hangi düzenleyicinin kapsamında olduğunuza bakmak.

Depolamanın neden aktarım sayıldığını netleştirmek gerekiyor, çünkü çoğu tartışma burada başlıyor. 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, 4. maddesinin (e) bendinde aktarımı “kişisel verilerin 6698 sayılı Kanun kapsamındaki bir veri sorumlusu veya veri işleyen tarafından yurt dışındaki bir veri sorumlusu veya veri işleyene iletilmesi ya da başka bir suretle erişilebilir hâle getirilmesi” olarak tanımlıyor. Kurumun Ocak 2025'te yayımladığı Kişisel Verilerin Yurt Dışına Aktarılması Rehberi bu tanımı üç kritere ayırıyor ve ikinci kriteri açıklarken iki örneği özellikle sayıyor: bir hizmet sağlayıcı tarafından sunulan, yurt dışında bulunan bir bulutta depolama ile üçüncü bir ülkeden uzaktan erişim. Rehber uzaktan erişim için bir parantez de açıyor, verinin yalnızca bir ekranda görüntülenmesi yoluyla gerçekleşse bile, örneğin destek, sorun giderme veya yönetim amacıyla. Buradan çıkan sonuç pek çok şirketin kurgusunu bozuyor. Veri tabanınız İstanbul'daki bir veri merkezinde durabilir; yurt dışındaki geliştirici ekip sorun çözmek için o ekranı açtığı anda aktarım gerçekleşmiş olur.

Kurul bu meseleye somut bir dosyada ceza kesti ve kararın gerekçesi bugün de okunmaya değer. 17 Mart 2022 tarihli ve 2022/249 sayılı kararda şikayet edilen veri sorumlusu bir teknoloji şirketiydi. Savunması dürüsttü: sekiz ülkede hizmet verdiklerini, hizmetlerini yurt dışında bulunan bulut servis teknolojileriyle sağladıklarını, Türkiye'deki barındırma hizmetlerinin ihtiyaç duyulan modern altyapı teknolojilerine sahip olmadığını, mimarinin zaten KVKK yürürlüğe girmeden önce kurulduğunu anlattılar. Kurul bu gerekçelerin hiçbirini hukuki sebep saymadı. Kararda yerleşik uygulamaya atıf yapılarak kişisel verilerin dünyanın çeşitli yerlerinde bulunan veri merkezlerinde tutulmasının yurt dışına aktarım niteliğinde olduğu tekrarlandı, onaylanmış bir taahhütname bulunmadığı ve açık rıza yoluna da gidilmediği tespit edildi. Ağırlaştırıcı olarak fiilin münferit değil sistemli olduğu, ticari amaç taşıdığı ve savunmada ikrar edildiği sayıldı. Sonuç 18. maddenin birinci fıkrasının (b) bendinden 950.000 TL idari para cezası oldu. Karar eski 9. madde rejiminde verilmişti, bugün elinizde standart sözleşme gibi bir araç var; ama dayanaksız depolamanın sonucu değişmedi.

Bugünkü sıralamayı bilmek gerekiyor, çünkü çoğu şirket yanlış basamağa tutunuyor. 7499 sayılı Kanun'la değişen 9. madde 1 Haziran 2024'te yürürlüğe girdi, eski hüküm geçiş amacıyla 1 Eylül 2024'e kadar uygulandı. Şimdi önce yeterlilik kararına bakılıyor; Kurumun yurt dışına aktarım sayfasında bu konuda Kurul tarafından henüz bir belirleme yapılmamıştır ifadesi duruyor, yani birinci basamak boş. Yeterlilik kararı yoksa uygun güvencelerden biri kurulacak ve pratikte en erişilebilir yol standart sözleşme. Metinler Kurulun 4 Haziran 2024 tarihli ve 2024/959 sayılı kararıyla kabul edildi, tarafların sıfatına göre dört ayrı metin var ve imzadan itibaren beş iş günü içinde Kuruma bildirim zorunlu. Üçüncü basamak, yani açık rızaya dayalı arızi aktarım, bulut hizmeti için kullanılamaz: arızilik düzenli olmayan, süreklilik arz etmeyen halleri tanımlıyor, sizin sunucunuz ise her saniye çalışıyor. Bir de sıfat meselesi var. Barındırma sağlayıcısı sizin talimatınızla hareket ediyorsa veri işleyendir; aynı veriyi kendi ürün geliştirme amaçları için de kullanıyorsa ayrı bir veri sorumlusudur ve imzalanacak metin değişir.

Sektörel yasaklara geçelim, çünkü orada tartışma bitiyor. Bankacılıkta ölçü 15 Mart 2020 tarihli ve 31069 sayılı Resmî Gazete'de yayımlanan Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik. 25. maddenin ilk fıkrası tek cümle: bankaların birincil ve ikincil sistemlerini yurt içinde bulundurmaları zorunludur. İkinci fıkra kaçış yolunu kapatıyor, birincil sistemlerin kaçıncı yedeği olduğuna bakılmaksızın her türlü yedeği ikincil sistem sayılıyor. Beşinci fıkra ise doğrudan buluta bakıyor: birincil veya ikincil sistemler kapsamındaki bir faaliyet için dış hizmet ya da bulut bilişim hizmeti alınırsa, sağlayıcının o hizmeti yürütmede kullandığı bilgi sistemleri ve yedekleri de aynı kapsamda ele alınır ve yurt içinde bulundurulur. Üçüncü fıkrada bir istisna var, banka içi mesajlaşma sistemleri ve piyasa izleme platformları gibi sistemler; ama istisna koşullu, o sistem üzerinden hiçbir iş süreci yürütülmemesi ve hassas veri ya da sır kapsamına girebilecek verilerin işlenmemesi, iletilmemesi ve saklanmaması gerekiyor. Üstüne 5411 sayılı Bankacılık Kanunu'nun 73. maddesi geliyor: müşteri sırrı niteliğindeki bilgiler, istisna halleri dışında, KVKK uyarınca müşterinin açık rızası alınsa dahi müşteriden gelen bir talep ya da talimat olmaksızın yurt içindeki ve yurt dışındaki üçüncü kişilerle paylaşılamaz. Aynı madde BDDK'ya, ekonomik güvenlik değerlendirmesi sonucunda sır niteliğindeki verinin yurt dışına aktarımını yasaklama ve bilgi sistemlerinin yurt içinde bulundurulmasına karar verme yetkisi de veriyor.

Ödeme ve elektronik para tarafında düzenleme daha da somut. 1 Aralık 2021 tarihli ve 31676 sayılı Resmî Gazete'de yayımlanan Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ'in 21. maddesi, kuruluşların birincil ve ikincil sistemleri ile veri yedekleme merkezlerini yurt içinde bulundurmalarını zorunlu tutuyor. İkinci fıkra dış hizmeti de kapsama alıyor: sağlayıcının o hizmete ilişkin faaliyetleri yürütmede kullandığı bilgi sistemleri ve yedekleri de yurt içinde tutulur. Aynı gün yayımlanan Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik, 19. maddesinin on ikinci fıkrasında yurt dışında yerleşik bir tüzel kişiyle birlikte sunulan hizmetlerde ödeme işlemlerine ilişkin belge ve kayıtların kuruluş tarafından yurt içinde saklanmasını zorunlu kılıyor. Aynı yönetmelikte ödeme araçlarına ilişkin hassas müşteri verileri için de yurt içinde tutma ve saklama şartı var. Bir ödeme kuruluşu için bunun anlamı şu: uluslararası bir bulut sağlayıcısının Türkiye bölgesi bulunmuyorsa, o servisi işlem akışının içine koyamazsınız. Pazarlama otomasyonu ya da çağrı merkezi yazılımı gibi çevre sistemlerde de karar kolay değil, çünkü orada da ödeme işlemine ilişkin kayıt tutuluyorsa aynı kapıya çıkıyor.

Sermaye piyasası ve sigortacılık aynı kalıbı izliyor, ancak sigortacılıktaki istisna öğretici. Sermaye Piyasası Kurulunun 13 Mart 2025 tarihli ve 32840 sayılı Resmî Gazete'de yayımlanan Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği'nin (VII-128.10) 27. maddesi, kapsamdaki kurum, kuruluş ve ortaklıkların birincil ve ikincil sistemlerini yurt içinde bulundurmalarını zorunlu tutuyor ve ikincil sistemin yerinin doğal ve çevresel felaketlere karşı birincil sistemle aynı risklere maruz kalmayacak şekilde seçilmesini istiyor. Sigortacılık tarafında ölçü 25 Kasım 2021 tarihli ve 31670 sayılı Resmî Gazete'de yayımlanan Sigortacılık ve Özel Emeklilik Sektörlerinde İç Sistemlere Dair Yönetmelik. 16. maddenin beşinci fıkrası kuruluşların birincil ve ikincil sistemlerini yurt içinde bulundurmasını zorunlu kılıyor, sonra bir cümleyle nefes alanı bırakıyor: elektronik posta hizmetleri, telekonferans veya video konferans gibi hizmetler bu zorunluluktan istisnadır. Bu ayrım düzenleyicinin mantığını gösteriyor. Yasaklanan şey iletişim aracı kullanmak değil, poliçe, hasar ve tazminat gibi iş süreçlerinin çalıştığı sistemi yurt dışına taşımak. Kendi envanterinizi çıkarırken aynı ayrımı yapın: hangi uygulama iş sürecini yürütüyor, hangisi yalnızca konuşmaya yarıyor.

Kamu kurumları ve kritik altyapı işletmeleri için kaynak bambaşka bir belge, üstelik pek çok özel şirket kapsamda olduğunu fark etmiyor. 6 Temmuz 2019 tarihli ve 30823 sayılı Resmî Gazete'de yayımlanan Bilgi ve İletişim Güvenliği Tedbirleri ile İlgili 2019/12 sayılı Cumhurbaşkanlığı Genelgesi, birinci tedbirinde nüfus, sağlık ve iletişim kayıt bilgileri ile genetik ve biyometrik veriler gibi kritik bilgi ve verilerin yurt içinde güvenli bir şekilde depolanacağını söylüyor. Üçüncü tedbir çok daha kesin: kamu kurum ve kuruluşlarına ait veriler, kurumların kendi özel sistemleri veya kurum kontrolündeki yerli hizmet sağlayıcılar hariç bulut depolama hizmetlerinde saklanmayacak. Dördüncü, beşinci ve altıncı tedbirler gizlilik dereceli veri paylaşımını mobil uygulamalar ve sosyal medya üzerinden yasaklıyor, yerli uygulamaların kullanımını tercih ediyor. Genelgenin sonu ise kapsamı genişletiyor. Tüm kamu kurum ve kuruluşları ile kritik altyapı hizmeti veren işletmelerde yeni kurulacak bilgi sistemlerinde, Cumhurbaşkanlığı Dijital Dönüşüm Ofisi koordinasyonunda hazırlanan Bilgi ve İletişim Güvenliği Rehberi'ndeki usul ve esaslara uyulması zorunlu, mevcut altyapılar ise kademeli olarak uyumlu hale getirilecek. Kamu ihalesine giren ya da kritik altyapı sayılan bir sektöre hizmet veren özel bir şirketseniz, bu satır sözleşmenizde teknik şart olarak karşınıza çıkıyor.

Elektronik haberleşme ile sosyal ağlar da listede. 4 Aralık 2020 tarihli ve 31324 sayılı Resmî Gazete'de yayımlanan Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğinin Korunmasına İlişkin Yönetmelik, milli güvenlik gerekçesiyle trafik ve konum verilerinin yurt dışına çıkarılmamasını esas alıyor. Buradaki kelime seçimi önemli, esastır ifadesi mutlak bir yasaktan farklı yorumlanıyor, ama işletmeci için ispat yükünü ağırlaştırıyor. 5651 sayılı Kanun'un ek 4. maddesinin altıncı fıkrası ise Türkiye'den günlük erişimi bir milyondan fazla olan yurt içi veya yurt dışı kaynaklı sosyal ağ sağlayıcının, Türkiye'deki kullanıcıların verilerini Türkiye'de barındırma yönünde gerekli tedbirleri almasını öngörüyor. Fıkranın yükümlülüğü sonuç değil tedbir üzerinden kurduğuna dikkat edin; uygulamada bu, kademeli bir yerelleştirme beklentisi anlamına geliyor. Sıradan bir işletmeci ya da uygulama geliştiricisi için bunların doğrudan karşılığı olmayabilir, ama bir mobil uygulamanız varsa ve kullanıcı sayınız büyüyorsa eşiği takip etmek gerekiyor.

Vergi mevzuatındaki kural ise KVKK'dan tamamen bağımsız ve en çok gözden kaçan başlık. Elektronik Defter Genel Tebliği, e-Defter ve berat dosyalarının uygulamaya dahil olan mükelleflerin kendilerine ait bilgi işlem sistemlerinde muhafaza edilmesini mecburi tutuyor; üçüncü kişiler nezdinde ya da yurt dışında muhafaza işleminin idare açısından herhangi bir hüküm ifade etmediğini söylüyor. Ardından net bir cümle geliyor: muhafaza yükümlülüğünün Türkiye Cumhuriyeti sınırları içerisinde ve Türkiye Cumhuriyeti kanunlarının geçerli olduğu yerlerde yerine getirilmesi zorunludur. Aynı tebliğ, dosya kopyalarının Başkanlıktan izin almış özel entegratörlerin ya da Başkanlığın bilgi işlem sistemlerinde asgari on yıl saklanmasını da şart koşuyor. Yurt dışında barındırılan bir muhasebe ya da kurumsal kaynak planlama çözümü kullanan şirketlerde bu iki satır neredeyse hiç kontrol edilmiyor. Hata bir kişisel veri ihlali olarak değil, defter ve belge ibrazı sırasında ortaya çıkıyor.

Pratikte sorunu yaratan hatalar birkaç başlıkta toplanıyor. Birincisi coğrafya yanılgısı: sunucunun Avrupa Birliği içinde olması kendiliğinden bir güvence değil, çünkü Kurul henüz hiçbir ülke için yeterlilik kararı vermedi. İkincisi bölge ayarına güvenmek: veri Türkiye bölgesinde tutuluyor olsa bile, yönetim paneline yurt dışından erişen destek ekipleri, olağan dışı durumlarda devreye giren yurt dışı yedek bölgeler ve hata izleme araçlarına düşen kayıtlar aktarımı sürdürür. Üçüncüsü envanterin yalnızca ana uygulamayı kapsaması: içerik dağıtım ağı, e-posta gönderim servisi, oturum kaydı aracı, sohbet robotu ve yapay zeka asistanı da veri taşıyor. Dördüncüsü şifrelemenin aktarımı bitirdiğini varsaymak. Kurumun Kişisel Veri Güvenliği Rehberi bulutta depolamayı ayrı bir başlıkta ele alıyor ve bulutta depolanan kişisel verilerin neler olduğunun detaylıca bilinmesini, verilerin kriptografik yöntemlerle şifrelenmesini, hizmet alınan her bir bulut çözümü için ayrı şifreleme anahtarları kullanılmasını, hizmet ilişkisi sona erdiğinde ise verileri kullanılır hale getirmeye yarayabilecek şifreleme anahtarlarının tüm kopyalarının yok edilmesini istiyor. Anahtarı sağlayıcı yönetiyorsa elinizde bir güvenlik tedbiri vardır, hukuki dayanak yoktur.

Bu işin faturası iki ayrı yerden geliyor. KVKK tarafında 2026 yılında veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL arasında idari para cezası gerektiriyor ve dayanaksız yurt dışı aktarımı dosyalarında ceza çoğunlukla bu kalemden çıkıyor. Sektörel tarafta ise BDDK, Türkiye Cumhuriyet Merkez Bankası, Sermaye Piyasası Kurulu ve Sigortacılık ve Özel Emeklilik Düzenleme ve Denetleme Kurumunun kendi yaptırım araçları var, dolayısıyla aynı kurgu iki ayrı denetimde ayrı ayrı sorun olabiliyor. Kendi tablonuzu çıkarmak için beş soru yeterli: hangi düzenleyicinin kapsamındasınız, hangi uygulamanız hangi ülkedeki sunucuda çalışıyor, yedekler ve loglar nerede duruyor, yurt dışından kimler hangi amaçla erişiyor, her bir yurt dışı sağlayıcı için hangi uygun güvenceye dayanıyorsunuz ve standart sözleşmelerin beş iş günlük bildirimi yapıldı mı. Cevaplardan biri havada kalıyorsa, KVKK Danışman'ın ücretsiz ön değerlendirmesinde kullandığınız servislerin listesini, sunucu ve yedek konumlarını ve mevcut sözleşmelerinizi birlikte gözden geçirip önce hangisinin taşınması, hangisinin belgelenmesi gerektiğini çıkarabiliriz.

Randevu Al