Bir soruyla başlayalım: kurumunuzun müşteri kayıtları, personel dosyaları, finansal tabloları şu anda fiziksel olarak hangi ülkede duruyor? Cevabı bilmiyorsanız, o verinin hangi devletin hukukuna tabi olduğunu da bilmiyorsunuz demektir.
Veri artık bir kayıt değil, bir varlık — ve her varlık gibi bir yargı yetkisi altında duruyor. Sunucunun bulunduğu ülke, o veriye kimin, hangi gerekçeyle ve size haber vermeden erişebileceğini belirliyor. Bu, teknik bir tercih gibi görünen ama sonuçları tamamen hukuki ve stratejik olan bir karar.
Türkiye’de bu kararın bir kısmı zaten sizin elinizde değil: bazı sektörlerde verinin yurt içinde tutulması kanunen zorunlu. Geri kalan kurumlar için ise zorunluluk yok, ama yurt dışında barındırmanın bedeli var — ve bu bedel her yıl ağırlaşıyor. Aşağıda önce tabloyu netleştiriyor, sonra bu bedelin ne olduğunu somut rakamlarla anlatıyoruz.
Türkiye’de Veri Lokalizasyonu: Hukuki Çerçeve
Türkiye’de “verinin nerede duracağı” sorusu iki ayrı katmandan oluşuyor: doğrudan veri lokalizasyonu zorunluluğu getiren sektörel düzenlemeler ve verinin yurt dışına aktarımını koşula bağlayan KVKK rejimi. İkisini birbirine karıştırmamak, uyum çalışmasının ilk adımı.
Kamu kurumları ve kritik altyapılar
2019/12 sayılı Cumhurbaşkanlığı Bilgi ve İletişim Güvenliği Tedbirleri Genelgesi RG 06.07.2019 / 30823; nüfus, sağlık ve iletişim kayıt bilgileri ile genetik ve biyometrik veriler gibi kritik veri kategorilerinin yurt içinde güvenliği sağlanmış ortamlarda saklanmasını şart koşuyor. Genelge, kamu kurum ve kuruluşları ile kritik altyapı niteliğinde hizmet veren işletmeleri kapsıyor.
Genelgenin uygulama ve denetim aracı ise Cumhurbaşkanlığı Dijital Dönüşüm Ofisi tarafından yayımlanan Bilgi ve İletişim Güvenliği Rehberi. Rehber, varlık gruplarını kritiklik derecesine göre sınıflandırıyor ve her seviye için uygulanması gereken tedbirleri tanımlıyor. Kapsamdaki kurumlar için asıl operasyonel yük burada.
Bankacılık
Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik RG 15.03.2020, bankaların faaliyetlerinde kullandıkları bilgi sistemlerini ve bunların yedeklerini kural olarak Türkiye’de bulundurmasını zorunlu kılıyor. Sınırlı istisnalar ve BDDK iznine bağlı durumlar mevcut; ancak ana kural yurt içinde barındırma.
Ödeme sistemleri ve sermaye piyasaları
Benzer bir yaklaşım ödeme ve sermaye piyasası tarafında da geçerli:
- Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik RG 07.10.2021, ödeme kuruluşları ve elektronik para kuruluşlarının bilgi sistemlerini Türkiye’de bulundurmasını öngörüyor.
- SPK’nın Bilgi Sistemleri Yönetimi Tebliği VII-128.9, sermaye piyasası kurumlarının birincil ve ikincil sistemlerinin yurt içinde konumlandırılmasını düzenliyor.
Bu sektörlerde uyum bir tercih değil, faaliyet izninin sürdürülmesine bağlı bir zorunluluk. Denetimde tespit edilen bir aykırılık, doğrudan iş yapma hakkınızı tartışmaya açar.
KVKK: lokalizasyon değil, aktarım rejimi
Sık karşılaşılan bir yanılgıyı burada netleştirelim: KVKK, kişisel verilerin Türkiye’de tutulmasını zorunlu kılmaz. KVKK’nın düzenlediği şey verinin yurt dışına aktarılmasının hangi koşullarda mümkün olduğudur. Ama bu, “yurt dışında tutabilirsiniz, sorun yok” demek değil — aksine, her aktarım için ayrı bir hukuki dayanak kurmanız gerektiği anlamına gelir.
7499 sayılı Kanun ile Kanun’un 9. maddesi yeniden düzenlendi ve 01.06.2024 itibarıyla yürürlüğe girdi. Yeni rejim üç kademeli bir yapı kuruyor:
- Yeterlilik kararı Kurul’un yeterli koruma sağladığına karar verdiği ülkelere aktarım.
- Uygun güvenceler Yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları, taahhütname veya uluslararası sözleşme gibi araçlarla aktarım.
- Arızi durumlar Yalnızca istisnai ve süreklilik arz etmeyen hâller için sınırlı istisnalar.
Uygulamada en çok kullanılan yol olan standart sözleşmelerin, imzalandığı tarihten itibaren beş iş günü içinde Kurum’a bildirilmesi gerekiyor. Bu, bir defalık bir işlem değil: her yeni tedarikçi, her yeni entegrasyon, her yeni veri akışı aynı süreci yeniden tetikler.
Sonuç ortada: verisini yurt dışında barındıran bir kurum, sürekli işleyen bir hukuki bakım yükünü sırtlanır. Veri yurt içinde tutulduğunda bu yükün tamamı ortadan kalkar. Lokalizasyon burada bir zorunluluk değil, riski ve maliyeti aynı anda düşüren bir tercihtir.
Veriniz Yurt Dışındaysa Aslında Kimin Hukukuna Tabi?
Bu, yazının en çok göz ardı edilen bölümü — ve en pahalıya mal olanı. Sözleşmenizi Türkiye’de imzalamış olmanız, verinizin Türk hukukuna tabi olduğu anlamına gelmez. Belirleyici olan, sunucunun bulunduğu ülke ve sağlayıcının tabi olduğu yargı düzenidir.
Yabancı yargı yetkisi sessizce işler
ABD’nin 2018 tarihli CLOUD Act düzenlemesi, ABD yargı yetkisine tabi hizmet sağlayıcıları — verinin fiziksel olarak hangi ülkede tutulduğuna bakılmaksızın — kendi kontrollerindeki veriyi ABD makamlarına sunmakla yükümlü kılabiliyor. Benzer yetkiler başka ülkelerin mevzuatında da mevcut. Yani “verim Avrupa bölgesinde” demek, o veriye yalnızca Avrupa hukukunun uygulanacağı anlamına gelmiyor.
Daha rahatsız edici olan kısım şu: bu tür taleplerin bir bölümü, veri sahibi kuruma bildirim yapılmasını dahi gerektirmez. Verinizin talep edildiğini öğrenmeme ihtimaliniz gerçektir.
Hizmet sürekliliği artık teknik bir konu değil
Bulut hizmetlerine erişim, yalnızca teknik arızalarla kesilmiyor. Yaptırım kararları, ihracat kontrolleri, ticari politika değişiklikleri veya sağlayıcının tek taraflı sözleşme feshi; iş sürekliliğinizi bir gecede kesintiye uğratabilir. Bunlar teorik senaryolar değil, son yıllarda farklı ülkelerde ve farklı sektörlerde yaşanmış örnekleri olan risklerdir. Kritik iş süreçlerinizin kontrolünü, kararını sizin veremeyeceğiniz bir mekanizmaya bırakmış olursunuz.
Yaptırım tarafı da somut
Ceza tek başına da değil. Kurul, ihlalin süresini ve söz konusu verinin niteliğini dikkate alıyor; özel nitelikli kişisel veri söz konusuysa tutar yukarı çekilebiliyor. Buna itibar kaybını, müşteri kaybını ve kamu ihalelerinde doğabilecek elenme riskini eklediğinizde, “şimdilik idare eder” yaklaşımının bedeli hızla katlanır.
Bir de ispat sorunu var: bir ihlal ya da denetim durumunda verinin nerede tutulduğunu, kimin eriştiğini ve hangi tedbirlerin alındığını belgeleyemiyorsanız, iyi niyetiniz sizi korumaz. Yurt içinde, tek bir hukuki çerçevede ve denetlenebilir bir altyapıda tutulan veri, bu ispat yükünü baştan hafifletir.
Bu Neden Vatandaşı ve Şirketleri Doğrudan İlgilendiriyor?
Veri lokalizasyonu, yalnızca kurumların değil, vatandaşların da doğrudan hayatını etkileyen bir konu. Bir kamu kurumunun sağlık veya kimlik verisinin yurt dışındaki bir sunucuda, farklı bir ülkenin yasal yetkisi altında tutulması; erişim, denetim ve mahremiyet açısından vatandaşın kontrolü dışında riskler doğurur. Bu nedenle:
- Kişisel verilerin yurt dışına kontrolsüz aktarılmasının önüne geçiliyor.
- Ulusal güvenlik açısından kritik veriler ülke içinde korunuyor.
- Kamu kurumları, vatandaşlara daha güvenilir ve şeffaf hizmet sunabiliyor.
Özel sektör için de tablo aynı. Bir üretim ya da hizmet şirketinin müşteri verisi, tedarik zinciri bilgisi veya finansal kayıtları, nerede barındırıldığına bağlı olarak farklı ülkelerin yasal yetkisine tabi olabilir; üstelik bu, rekabet açısından da bir açıktır. Verinin yurt içinde, bilinen bir hukuki çerçevede tutulması bu belirsizliği ortadan kaldırır.
Teknik Boyut: Uyumun Altyapı Karşılığı
Yasal uyum tek başına yeterli değil. Verinin Türkiye’de olması, o verinin güvende olduğu anlamına gelmez; belirleyici olan barındırıldığı altyapının standardı ve arkasındaki operasyonel disiplindir. Fazlanet’in veri barındırma hizmetleri şu somut bileşenler üzerine kurulu:
Amaç, müşterinin yalnızca mevzuata uyması değil; verisinin nerede, kim tarafından ve hangi standartla korunduğunu her an net biçimde bilmesi ve bunu bir denetimde belgeleyebilmesidir.
Fazlanet’in Yaklaşımı
Fazlanet için verinin nerede tutulduğu bir teknik detay değil, doğrudan bir güven meselesi. Müşterilerimize hem yasal uyum hem de teknik güvenilirlik sağlayan çözümler sunmayı; barındırma kararının hukuki sonuçlarını açıkça anlatmayı ve altyapıyı bu sonuçlara göre kurgulamayı önceliklendiriyoruz.
Bunun pratikteki karşılığı sade: hangi verinin hangi mevzuata tabi olduğunu birlikte tespit ediyor, barındırma mimarisini bu tespite göre tasarlıyor ve uyum durumunu belgelenebilir hâle getiriyoruz. Verinizin Türkiye’de kalması bizim için bir pazarlama başlığı değil, hizmetin kurulduğu temel.
Sıkça Sorulan Sorular
- KVKK, verilerimi Türkiye’de tutmamı zorunlu kılıyor mu?
Hayır. KVKK bir veri lokalizasyonu zorunluluğu getirmez; verinin yurt dışına aktarılmasını koşula bağlar. 01.06.2024’te yürürlüğe giren rejimde aktarım; yeterlilik kararı, uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları) veya sınırlı arızi istisnalar üzerinden yapılabilir. Ancak her aktarım akışı için ayrı bir hukuki dayanak kurmanız ve bunu belgelemeniz gerekir. - Hangi kurumlar verisini Türkiye’de tutmak zorunda?
Başlıca üç grup: 2019/12 sayılı Genelge kapsamındaki kamu kurumları ve kritik altyapı işletmeleri, BDDK düzenlemesine tabi bankalar, TCMB ve SPK düzenlemelerine tabi ödeme kuruluşları ile sermaye piyasası kurumları. - Verim Avrupa’daki bir sunucuda, güvende sayılır mıyım?
Coğrafi konum tek başına belirleyici değil. Sağlayıcının tabi olduğu yargı düzeni de belirleyicidir; örneğin ABD yargı yetkisine tabi bir sağlayıcı, verinin fiziksel konumundan bağımsız olarak veri sunma yükümlülüğü altına girebilir. Değerlendirirken hem sunucunun ülkesine hem de sağlayıcının hukuki kimliğine bakmak gerekir. - Standart sözleşme imzaladım, başka bir şey yapmam gerekir mi?
Evet. Standart sözleşmenin imza tarihinden itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirilmesi gerekiyor. Bildirim yükümlülüğünün ihlali yaptırıma tabi. - Uyumsuzluğun maliyeti ne?
2026 yılı itibarıyla veri güvenliği yükümlülüklerinin ihlalinde idari para cezasının üst sınırı 17.092.242 ₺. Regüle sektörlerde ise mesele para cezasıyla sınırlı kalmaz; faaliyet izninin sürdürülmesi tartışmaya açılabilir. - Verimi yurt içine taşımak ne kadar sürer?
Mevcut mimarinin karmaşıklığına bağlı olarak değişir. Fazlanet olarak önce bir envanter ve kapsam çalışması yapıyor, ardından kesintiyi en aza indiren bir geçiş planı çıkarıyoruz.
Sonuç
Veri egemenliği, dijital dünyada kurumların da ülkelerin de bağımsızlığını belirleyen unsurlardan biri. Ancak konu soyut bir tartışma olmaktan çıkıp somut bir uyum sorusuna dönüştüğünde cevap nettir: kimi sektörde barındırma zorunluluğu, diğerlerinde ise sürekli işleyen bir aktarım, belgeleme ve yaptırım riski söz konusudur. Her iki durumda da verinin yurt içinde, bilinen bir hukuki çerçevede ve doğru teknik standartla tutulması en sağlam zemini oluşturur. Verinizin nerede durduğunu bilmiyorsanız, aslında onu kontrol etmiyorsunuz demektir. Bu kontrolü geri almanın maliyeti, kaybetmenin maliyetinin yanında küçüktür.
