Verinizin fiziksel olarak nerede durduğu bir teknik tercih gibi görünür; oysa hangi ülkenin hukukuna tabi olduğunuzu belirleyen sonuçtur. Ve bu sonuç, sunucu seçiminden çok önce — sözleşmeyi imzaladığınız anda — doğar.
Kısa cevap: verim yurt dışında olabilir mi?
Kişisel verilerin yurt dışındaki bir sunucuda saklanması, KVKK kapsamında "yurt dışına veri aktarımı" sayılır ve ancak mevzuatın öngördüğü yollardan biriyle hukuka uygun hâle gelir. Aktarımın kendisi yasak değildir; şartsız yapılması sorunludur. Bu nedenle karar teknik değil hukuki bir karardır: sunucunun nerede olduğu değil, aktarımın hangi hukuki dayanağa oturduğu sorulur. Yurt içi lokasyon, bu yükümlülüğü tamamen ortadan kaldırdığı için çoğu işletme açısından en sade çözümdür.
Yurt dışı aktarımın hukuki yolları
| Yol | Nasıl işler? | Pratikte uygunluğu |
|---|---|---|
| Yeterlilik kararı bulunan ülke | Kurul tarafından yeterli koruma sağladığı belirlenmiş ülkelere aktarım | Liste sınırlıdır; önce kontrol edilmelidir |
| Uygun güvenceler | Standart sözleşme, bağlayıcı şirket kuralları gibi araçlarla | Kurumsal yapılar için uygun; bildirim/onay gerekebilir |
| İstisnai hâller | Belirli ve sınırlı durumlarda, arızi nitelikte aktarım | Süreklilik arz eden hizmetler için uygun değildir |
Üçüncü satır önemli bir yanlış anlamayı düzeltir: istisnai hâller, sürekli çalışan bir bulut hizmetinin dayanağı olamaz. Bir kez gerçekleşen, arızi bir aktarım ile her gün veri yazan bir sistem aynı kapsamda değerlendirilmez. Sürekli hizmetlerde uygun güvence araçlarına dayanmak gerekir.
Bulut hizmetleri bu kapsama giriyor mu?
Evet — ve en sık gözden kaçan nokta budur. Bir hizmetin "bulut" olması, verinin fiziksel olarak bir yerde durmadığı anlamına gelmez. Kapsama giren tipik örnekler:
- E-posta ve ofis hizmetleri. Yazışmalar kişisel veri içerir; sunucu lokasyonu ve alt işleyiciler değerlendirilmelidir.
- Müşteri ilişkileri ve destek yazılımları. Doğrudan kişisel veri işlerler.
- Yedekleme ve depolama servisleri. Yedek de kişisel veri içerir; asıl sistemi yurt içinde tutup yedeği yurt dışında saklamak, aktarımı ortadan kaldırmaz.
- Analitik ve pazarlama araçları. Ziyaretçi verisi işlenir; çerez ve tanımlayıcılar bu kapsamda değerlendirilebilir.
- Ödeme ve fatura sistemleri. Genellikle kimlik ve iletişim verisi taşırlar.
Bu listede en çok atlanan kalem yedeklerdir. Ana sistemin lokasyonu titizlikle seçilirken, yedeğin nerede tutulduğu çoğu zaman hiç sorulmaz — oysa hukuki açıdan ikisi arasında fark yoktur.
Karar akışı
Yeni bir hizmet veya sunucu seçerken şu sırayı izleyin:
- Kişisel veri işleniyor mu? İşlenmiyorsa (örneğin yalnızca statik içerik), lokasyon kararı teknik bir karardır ve hukuki yükümlülük doğurmaz.
- Veri yurt dışına çıkıyor mu? Sunucunun yanı sıra alt işleyicileri, destek erişimini ve yedek konumunu da sorun. Yurt içi bir sağlayıcının yurt dışı bir alt yükleniciyle çalışması mümkündür.
- Hangi hukuki dayanak kullanılacak? Yeterlilik kararı, uygun güvenceler veya istisna — hangisi geçerliyse yazılı olarak belirlenir.
- Aydınlatma ve envanter güncellendi mi? Aktarım, aydınlatma metninde ve veri envanterinde yer almalıdır.
- Sözleşme yükümlülükleri tanımlı mı? Bildirim süreleri, alt işleyici kullanımı, hizmet sonunda veri iadesi ve silme.
Karar sadeleştirilmek isteniyorsa en pratik yol şudur: kişisel veri içeren sistemleri yurt içinde tutmak. Bu seçim, yukarıdaki adımların çoğunu gereksiz kılar ve denetimde açıklanması en kolay yapıdır. Lokasyon seçiminin hız ve destek boyutunu ayrı bir yazıda ele almıştık.
Netişlem uzman görüşü: soru "nerede" değil, "kim erişebiliyor"
Lokasyon tartışmaları genellikle harita üzerinden yürüyor: sunucu Türkiye'de mi, değil mi. Oysa uygulamada belirleyici olan erişim zinciri. Sunucu yurt içinde olsa bile destek ekibi yurt dışından erişiyorsa, alt işleyici başka bir ülkedeyse veya yedekler farklı bir bölgede tutuluyorsa tablo değişiyor. Değerlendirmeye "veri nerede duruyor" sorusuyla değil, "kim, nereden erişebiliyor" sorusuyla başlamak daha doğru sonuç veriyor.
İkinci gözlemimiz, yedeklerin sistematik olarak unutulması. Ana sistemin lokasyonu için haftalarca çalışılan projelerde, yedeğin nerede tutulduğu hiç sorulmuyor. Oysa yedek de aynı veriyi içerir ve aynı yükümlülüğe tabidir.
Üçüncüsü, bu kararın maliyet üzerinden verilmemesi gerektiği. Yurt içi ve yurt dışı seçenekler arasındaki fark çoğu işletme için yönetilebilir düzeyde; buna karşılık uyumsuzluğun idari sonuçları çok daha büyük olabiliyor. Karar hukuki zeminde verildiğinde, teknik ve ticari tarafı da kendiliğinden yerine oturuyor.
Uyum kontrol listesi
- Veri envanteri çıkarıldı — hangi veri, hangi sistemde, hangi ülkede.
- Her hizmet için alt işleyici listesi alındı.
- Yedeklerin fiziksel konumu doğrulandı.
- Destek erişiminin hangi ülkeden yapıldığı soruldu.
- Aktarım için hukuki dayanak belirlendi ve yazıldı.
- Aydınlatma metni aktarımı kapsıyor.
- Sözleşmede ihlal bildirim süresi tanımlı — bkz. veri ihlali bildirimi.
- Hizmet sonlandığında veri iadesi ve silme koşulları yazılı.
- Yeni araç eklenmeden önce bu kontrol listesi uygulanıyor.
Sık sorulan sorular
Sunucum Türkiye'de, hiçbir yükümlülüğüm kalmıyor mu?
Yurt dışına aktarım yükümlülüğü doğmaz, ancak KVKK'nın diğer yükümlülükleri — aydınlatma, veri güvenliği, saklama süreleri, envanter — aynen geçerlidir. Lokasyon yalnızca aktarım başlığını sadeleştirir.
Yalnızca yedeğim yurt dışında, sorun olur mu?
Yedek de kişisel veri içerdiği için aktarım kapsamındadır. Ana sistemin yurt içinde olması bu durumu değiştirmez. Yedeğin konumu, ana sistemle aynı titizlikte değerlendirilmelidir.
Açık rıza almak aktarımı çözer mi?
Belirli durumlarda dayanak oluşturabilir, ancak sürekli hizmetler için sağlıklı bir çözüm değildir: rıza her zaman geri alınabilir ve geri alındığında hizmetin sürdürülmesi sorun hâline gelir. Süreklilik arz eden aktarımlarda uygun güvence araçlarına dayanmak daha sağlam bir yapıdır.
Yurt dışı bir analitik aracı kullanıyorum, ne yapmalıyım?
Önce aracın gerçekte hangi veriyi topladığını belirleyin; bazı ölçüm yöntemleri kişisel veri işlemeden çalışabilir. İşliyorsa, aktarım dayanağını belirleyin, aydınlatma metnine ekleyin ve çerez rızasıyla ilişkisini kurun — çerez bandı yazımıza bakabilirsiniz.
Sağlayıcım "veriler Avrupa'da" diyor, yeterli mi?
Tek başına yeterli değildir; belirleyici olan ilgili ülkeye ilişkin hukuki durum ve kullanılan güvence aracıdır. Ayrıca alt işleyicilerin konumu da sorulmalıdır. Sözlü beyan yerine sözleşmede yazılı taahhüt esas alınmalıdır.
Sonuç
Sunucu lokasyonu bir tercih değil, hukuki sonuç üreten bir karardır. Kişisel veri işleyen sistemlerde en sade yapı yurt içi lokasyondur; yurt dışı seçenek ise ancak uygun bir hukuki dayanakla ve yazılı sözleşme şartlarıyla sürdürülebilir. Her iki durumda da işin başlangıcı aynıdır: verinin nerede olduğunu bilmek.
Veri lokasyonu ve uyum durumunuzu birlikte değerlendirmek isterseniz bize ulaşın. Yerel hosting, kurumsal hosting ve gizlilik politikamızı inceleyebilirsiniz.