KVKK Uyarınca Kullanıcı Verilerini Yurt Dışı Sunucularda (Cloud) Saklamanın Hukuki Riskleri

Günümüzde dijitalleşen iş dünyasında, şirketlerin verilerini yerel fiziksel sunucularda barındırması giderek azalıyor. Amazon Web Services (AWS), Microsoft Azure, Google Cloud gibi global bulut (cloud) hizmet sağlayıcıları, maliyet avantajı, esneklik ve yüksek güvenlik sunmaları sebebiyle operasyonel bir standart haline geldi. Ancak bu teknolojik kolaylık, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında şirketleri çok kritik bir hukuki eşikle karşı karşıya bırakıyor: Yurt Dışına Veri Aktarımı.

Bu yazıda, bulut bilişim hizmetleri kullanmanın KVKK boyutunu, 2024 yılında değişen Madde 9 rejimini ve şirketlerin ağır idari yaptırımlardan korunmak için izlemesi gereken güncel taahhütname/sözleşme usullerini inceliyoruz.

Bulut Sunucu Kullanmak Neden “Yurt Dışına Aktarım” Sayılır?

KVKK Kurulu’nun yerleşik kararlarına ve rehberlerine göre, bir şirketin kullandığı yazılımın, e-posta servisinin veya bulut depolama hizmetinin sunucuları Türkiye sınırları dışındaysa, bu sisteme yüklenen her türlü kişisel veri (müşteri isimleri, e-postalar, çalışan özlük bilgileri) yurt dışına aktarılmış kabul edilir.

Verinin sadece depolanması, aktif olarak işlenmemesi, sunucunun kime ait olduğu veya verilerin şifrelenmiş (encrypted) olması bu durumu değiştirmez. Sunucu yurt dışındaysa, KVKK Madde 9 hükümleri devreye girer.

KVKK Madde 9’da Yeni Dönem: Neler Değişti?

Uzun yıllar boyunca şirketler, yurt dışına veri aktarımı için ya her bir ilgili kişiden tek tek “açık rıza” almak ya da Kurul’dan onaylatması son derece zor olan eski tip taahhütnameleri kullanmak zorundaydı. Açık rızanın her an geri alınabilir olması, bulut mimarisi kullanan şirketler için sürdürülemez bir risk yaratıyordu.

12 Mart 2024 tarihinde KVKK’da yapılan köklü değişiklikle (Avrupa Birliği GDPR mevzuatına uyum süreci kapsamında), açık rıza istisnai bir yola dönüştürülmüş ve şirketlerin işini kolaylaştıran yeni “Uygun Güvence” mekanizmaları getirilmiştir.

Güncel Usul: Bulut Hizmetleri Yasal Olarak Nasıl Kullanılır?

Şirketlerin verilerini yurt dışı menşeli bulut sunucularda hukuka uygun şekilde saklayabilmesi için, aktarım yapılacak ülkede bir “Yeterlilik Kararı” bulunmuyorsa, aşağıdaki uygun güvence yöntemlerinden birini işletmesi zorunludur:

1. Standart Sözleşme Maddeleri (SSM): En Pratik ve Yaygın Yol

KVKK Kurulu tarafından ilan edilen matbu “Standart Sözleşme Maddeleri”nin, veri aktaran (Türkiye’deki şirket) ile veri alıcısı (Yurt dışındaki Cloud firması) arasında değiştirilmeksizin imzalanmasıdır.

Kritik Kural: Bu sözleşme imzalandıktan sonra 5 iş günü içinde fiziki olarak veya KEP (Kayıtlı Elektronik Posta) yoluyla KVKK Kurumu’na bildirilmek zorundadır. Günümüzde global bulut sağlayıcıları (AWS, Google vb.), standart sözleşme maddelerini kendi sistemlerine (Data Processing Addendum – DPA) entegre etmeye başlamıştır.

2. Taahhütname Usulü

Eğer taraflar Standart Sözleşme Maddeleri’ni kullanamıyorsa veya aktarımın doğası gereği özel hükümler gerekiyorsa, kendi aralarında veri güvenliğini sağlayacaklarına dair bir Taahhütname hazırlayabilirler.

Farkı: SSM’den farklı olarak, taahhütname usulünde Kurul’un onayı şarttır. Kurul inceleyip onay vermeden bulut sunucuya veri akışı başlatılamaz. Bu nedenle standart bulut hizmetleri için SSM daha hızlı bir yoldur.

3. Bağlayıcı Şirket Kuralları (BCR)

Çok uluslu şirketler topluluğu için geçerlidir. Türkiye’deki bir şubenin, yurt dışındaki merkezinin bulut altyapısını veya ortak CRM sistemini kullanması durumunda, grup içi veri aktarım kuralları belirlenir ve Kurul’dan onay alınır.

Hukuki Riskler ve Yaptırımlar Nelerdir?

Bulut hizmetlerini, KVKK Madde 9’daki güncel usullere (SSM veya Taahhütname) uymadan kullanan şirketleri bekleyen başlıca riskler şunlardır:

• Ağır İdari Para Cezaları: Yurt dışına hukuka aykırı veri aktarımı, “veri güvenliği yükümlülüklerine aykırılık” (Madde 12) kapsamında değerlendirilmekte olup, güncel yeniden değerleme oranlarıyla milyonlarca lirayı bulan idari para cezalarına tabidir. Ayrıca, imzalanan Standart Sözleşme Maddeleri’nin 5 gün içinde Kurum’a bildirilmemesi halinde veri sorumlusu hakkında ayrı bir idari para cezası uygulanmaktadır.
• Veri İşlemenin ve Aktarımın Durdurulması: Kurul, hukuka aykırı aktarımı tespit ettiğinde yalnızca ceza kesmekle kalmaz, yurt dışı sunucularına veri akışının derhal durdurulmasına karar verebilir. Bu durum, şirketin tüm operasyonel faaliyetlerinin (CRM, e-posta, muhasebe yazılımları) bir anda kilitlenmesi anlamına gelir.
• İtibar Kaybı: Kurul’un ihlal kararlarını kamuoyu ile paylaşması, şirketin müşterileri ve ticari partnerleri nezdindeki güvenilirliğine ciddi zararlar verir.

Şirketler İçin Aksiyon Planı (Kontrol Listesi)

Mevcut riskleri bertaraf etmek için şirketlerin atması gereken adımlar şunlardır:

1. Veri Haritası Çıkarın: Şirketinizde kullanılan tüm yazılımları, e-posta servislerini ve bulut depolama alanlarını listeleyin. Sunucuların fiziki olarak hangi ülkelerde bulunduğunu tespit edin.
2. Sözleşmeleri Revize Edin: Yurt dışı sunuculu hizmet sağlayıcılarınızla KVKK uyumlu Standart Sözleşme Maddeleri’ni (SSM) imzalayın veya dijital ortamda onaylayın.
3. 5 Gün Kuralına Uyun: İmzalanan SSM’leri süresi içinde Kurum’a bildirmek üzere şirket içi bir prosedür oluşturun.
4. Aydınlatma Metinlerini Güncelleyin: Müşterilerinize ve çalışanlarınıza sunduğunuz aydınlatma metinlerinde, verilerin yurt dışındaki bulut sunucularda saklandığını ve bunun hukuki dayanağını (örn: Standart Sözleşme Maddeleri) şeffaf bir şekilde belirtin.

Sonuç Olarak;

Bulut teknolojilerinden faydalanmak günümüz ticari hayatında bir lüks değil, zorunluluktur. Ancak bu durum, KVKK’nın yurt dışına aktarım kurallarını esnetmez. 2024 yılında değişen Madde 9 rejimi, şirketlere “Standart Sözleşme Maddeleri” gibi daha öngörülebilir yollar sunmuş olsa da şekli şartlara sıkı sıkıya uyulmasını gerektirmektedir. Şirketlerin, IT ve Hukuk departmanlarını entegre çalıştırarak bulut altyapılarını KVKK ile uyumlu hale getirmeleri, operasyonel süreklilikleri için en kritik adımdır.

Kaynakça

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK)
• KVKK Kurulu Rehberleri ve Güncel Kurul Kararları
• 12 Mart 2024 tarihli KVKK Değişiklikleri ve Uygulama Esasları