Kullanıcı Verilerinin Yurt Dışı Sunucuda Barındırılması KVKK'ya Uygun mu?
Önceki yazılarımızda birkaç kez "yurt dışı aktarımı ek şartlara tabidir" dedik ama bu şartların ne olduğuna hiç girmedik. Bu yazıda, 2024'te köklü şekilde değişen KVKK Madde 9 çerçevesinde, kullanıcı verilerinizi yurt dışı sunucuda barındırmanın hangi koşullarda mümkün olduğunu ayrıntılı anlatıyoruz.
2024'te KVKK Madde 9 Nasıl Değişti?
7499 sayılı Kanun'la 12 Mart 2024'te değiştirilen KVKK Madde 9, önceki "açık rıza veya taahhütname" sistemini terk ederek, Avrupa Birliği'nin Genel Veri Koruma Tüzüğü'ne (GDPR) benzer, üç kademeli bir yapı getirdi. Kişisel Verileri Koruma Kurumu'nun resmi açıklamasına göre bu yeni sistem, veri aktarımını üç kademeli bir değerlendirmeye tabi tutuyor.
Kısa cevap
Yurt dışı sunucu kullanımı yasak değil; ancak Kurul'un yeterlilik kararı verdiği bir ülkeye, standart sözleşme/taahhütname gibi bir güvenceyle veya açık rızayla yapılmalıdır — henüz hiçbir ülke için yeterlilik kararı yok.
Üç Kademeli Yurt Dışı Aktarım Sistemi
| Kademe | Açıklama | Güncel Durum |
|---|---|---|
| 1. Yeterlilik kararı | Kurul'un o ülkeyi "yeterli korumalı" ilan etmesi | Henüz hiçbir ülke için verilmedi |
| 2. Uygun güvence | Standart sözleşme, bağlayıcı şirket kuralları veya taahhütname + Kurul izni | Standart sözleşme kılavuzları yayımlandı |
| 3. İstisnai haller | Açık rıza gibi kanunda sayılan özel durumlar | Pratikte en sık kullanılan yol |
Pratikte Hangi Yol İzleniyor?
Kurul henüz hiçbir ülke için yeterlilik kararı vermediğinden, bugün itibarıyla yurt dışına veri aktarımı ya kullanıcıdan açık rıza alınarak ya da Kurul'un ilan ettiği standart sözleşme imzalanarak ya da yeterli korumayı taahhüt eden bir belge ile Kurul izni alınarak yapılabiliyor. Küçük ve orta ölçekli bir mobil uygulama işletmesi için pratikte en ulaşılabilir yol, kullanıcıdan bu konuda açık rıza almaktır.
En Basit Çözüm: Türkiye'de Barındırma
Bu karmaşık mekanizmadan tamamen kaçınmanın en basit yolu, verinizi Türkiye sınırları içinde barındırmaktır — bu durumda Madde 9'daki yurt dışı aktarım şartları hiç devreye girmez. Barındırma rehberimizde anlattığımız gibi, mobilsepeti.com.tr'nin barındırma hizmeti bu basitliği tercih eden işletmeler için tasarlanmıştır.
Yurt Dışı Bulut Sağlayıcıları Kullanmak İstiyorsanız
Büyük bulut sağlayıcılarının bazı sunucuları Türkiye'de, bazıları yurt dışında bulunabilir. Bu sağlayıcılardan birini kullanacaksanız, verinizin fiilen nerede saklandığını netleştirmeniz ve gerekiyorsa Türkiye bölgesini seçerek bu sorunu baştan bertaraf etmeniz mümkündür. Bu tercih, barındırma altyapınızı kurgularken netleştirilmesi gereken teknik bir karardır.
Gerçek Bir Senaryo: Yurt Dışı Sunucudan Türkiye'ye Geçiş
Uygulamasını başlangıçta yurt dışında, düşük maliyetli bir sunucuda barındıran bir işletmeyi ele alalım. KVKK uyumluluğunu gözden geçirirken, kullanıcılarından bu konuda açık rıza almadıklarını ve herhangi bir güvence mekanizması kurmadıklarını fark ediyorlar. En basit çözüm olarak barındırmayı Türkiye'ye taşıyorlar — bu, hem uyumluluk riskini ortadan kaldırıyor hem de karmaşık bir açık rıza/taahhütname sürecinden kaçınmalarını sağlıyor.
Sık Yapılan Hatalar
En sık düşülen hatalar: yurt dışı barındırmayı hiç sorgulamadan tercih etmek — maliyet avantajı, uyumluluk yükünü göz ardı etmeyi haklı çıkarmaz; açık rızayı aydınlatma metninden ayrı, belirsiz bırakmak — yurt dışı aktarım için alınan rızanın, hangi ülkeye ve hangi amaçla aktarım yapıldığını açıkça belirtmesi gerekir.
mobilsepeti.com.tr'de Barındırma Tercihi
Barındırma tercihinizi KVKK uyumluluğunu gözeterek birlikte netleştiririz. Genel KVKK çerçevesi için KVKK rehberimize göz atabilirsiniz.
Sık Sorulan Sorular
Yurt dışında sunucu kullanmak tamamen yasak mı?
Hayır, yasak değildir ama koşulsuz da değildir. Açık rıza almak, Kurul'un ilan ettiği standart sözleşmeyi imzalamak veya yeterli koruma taahhüdü ile Kurul izni almak gibi yollardan biri izlenmelidir.
Türkiye'de barındırma yaparsam bu şartlardan muaf olur muyum?
Evet, veri yalnızca Türkiye'de barındırılıyorsa KVKK Madde 9'daki yurt dışı aktarım şartları söz konusu olmaz; bu, en basit uyum yoludur.
Yurt dışı bulut sağlayıcıları (ör. büyük teknoloji şirketleri) kullanmak sorun mu?
Kullanılabilir, ancak bu sağlayıcının sunucularının nerede olduğu ve verinin fiilen yurt dışına aktarılıp aktarılmadığı netleştirilmeli, uygun güvence mekanizmalarından biri sağlanmalıdır.
Projenizi konuşalım
Uygulama fikrinizi anlatın, size özel bir kapsam ve fiyat teklifi çıkaralım.