Türkiye'de bir uygulama geliştirip barındırma seçerken en sık duyduğunuz cümle muhtemelen şu: "KVKK var, veriler Türkiye'de kalmak zorunda." Hosting satıcıları bu cümleyi korku satmak için kullanır, hukukçular "duruma göre" der ve konu kapanır.
Gerçek ikisinin de ortasında ama ikisinden de farklı. Bu yazıda 6698 sayılı KVKK'nın veri konumu hakkında gerçekten ne dediğini, 2024'te yürürlüğe giren yurt dışına aktarım kurallarını ve Türkiye'de barındırmanın hangi dertleri fiilen bitirdiğini anlatıyoruz. Avukat değiliz — bu yazı hukuki tavsiye değil, altyapı kararı veren mühendisler için doğrulanmış bir harita.
Önce Efsaneyi Düzeltelim: KVKK "Türkiye'de Tut" Demiyor
KVKK'nın hiçbir maddesi kişisel verilerin Türkiye sınırları içinde tutulmasını genel bir kural olarak şart koşmuyor. Kanun verinin nerede durduğunu değil, nasıl işlendiğini ve kime aktarıldığını düzenler. Yani AWS Frankfurt'ta barındırılan bir uygulama otomatik olarak "yasadışı" olmuyor.
Ama burada kritik nüans var: yurt dışında barındırmak "yasadışı" değil, işlemli. 9. madde, kişisel verinin yurt dışına aktarılmasını belirli hukuki güvencelere bağlar — ve bu güvenceleri sağlamak bedava değil.
2024 Değişikliği: Yurt Dışına Aktarımın Yeni Kuralları
Temmuz-Eylül 2024'te yürürlüğe giren değişiklikler 9. maddeyi yeniden yazdı. Artık yurt dışına aktarım üç yoldan biriyle yapılabiliyor:
1. Yeterlilik kararı
Kurul, bir ülkenin veri korumasını "yeterli" ilan ederse o ülkeye aktarım serbest. Sorun şu: ABD dahil çoğu ülke için yayımlanmış bir yeterlilik kararı yok. Yani bu yol çoğu sağlayıcı için pratikte kapalı.
2. Uygun güvence — çoğu şirketin yolu buradan geçiyor
Yeterlilik kararı yoksa üç güvenceden biri gerekir:
- Standart sözleşme: KVKK'nın yayımladığı 4 taslaktan (sorumludan sorumluya, sorumludan işleyene, işleyenden sorumluya, işleyenden işleyene) uygun olanı tek satır değiştirmeden imzalanır. İmzalar TBK'ya uygun olmalı, Türkçe metin esas alınır ve sözleşme imzadan sonra 5 iş günü içinde KVKK'ya bildirilir (fiziki, KEP veya 2024 sonunda açılan çevrimiçi bildirim modülü ile). Onay gerekmez ama bildirim zorunludur — ve süresi kaçırılırsa sözleşme güvence sayılmaz.
- Bağlayıcı şirket kuralları (BŞK): Grup içi aktarım için kurumsal kural seti — Kurul onayı gerekir, aylar sürebilir.
- Taahhütname: Alıcının yazılı güvence verdiği belge — yine Kurul onayı ister.
3. Dar istisnalar — eskisi gibi değil
Eski sistemde "açık rıza aldım" yeterliydi. 2024 sonrası istisnalar "kesinlikle gerekli" koşuluna bağlandı: sözleşmenin kurulması/ifası için zorunluluk, hayati menfaat, kamu yararı gibi dar ve olay bazlı haller. Rutin hosting aktarımını istisnaya yaslamak pratikte savunulamaz.
"Fiilen Zorunlu" Olan Yerler — Sektör İstisnaları
Genel kural yerleşim şartı koymasa da bazı alanlarda Türkiye'de barındırma fiilen zorunlu:
- Ödeme sistemleri (6493 sayılı Kanun): Ödeme ve elektronik para kuruluşlarının birincil ve ikincil sistemleri Türkiye'de tutulmak zorunda — yani yedek sunucun bile yurt dışında olamaz.
- Kamu ve ihaleler: Pek çok kamu şartnamesi verinin Türkiye'de barındırılmasını açıkça ister.
- Sağlık ve regüle sektörler: Sektörel düzenlemeler ve Kurul kararları belirli veri tiplerinde yerleşimi fiili şart haline getirebiliyor.
Müşteri kitleniz bu alanlardan birindeyse "Türkiye'de mi host etsem" sorusunun cevabı tercih değil, gerekliliktir.
Zorunlu Olmasa Bile Türkiye'de Tutmanın 4 Gerçek Avantajı
1. Standart sözleşme makinesini hosting ayağında tamamen elersin
Her yabancı veri işleyen için ayrı standart sözleşme: doğru taslağı bul, değiştirmeden imzala, tevsik belgelerini ekle, 5 iş günü içinde bildir, değişiklik olursa tekrar bildir. Veri Türkiye'de kaldığında bu mekanizmanın tamamı hosting katmanında gündeme hiç gelmez. Aktarım yoksa güvence aramaya da gerek yok.
2. Yabancı devlet erişim riski sıfırlanır
ABD CLOUD Act, Amerikan şirketlerini — veriyi nerede tuttuklarından bağımsız olarak — hukuki süreçle veri teslim etmeye zorlayabilir. AWS Frankfurt'taki veriniz bile bir ABD şirketinin kontrolündedir. Risk düşük olabilir ama sıfır değildir; Türkiye'de, Türk mevzuatına tabi bir sağlayıcıda bu soru doğal olarak ortadan kalkar.
3. Gecikme ve deneyim
Kullanıcın Türkiye'deyse her isteğin Frankfurt'a gidip gelmesi 60-90 ms ekler. Veri tabanı da aynı yolda gidip geliyorsa sayfa yükü katlanarak büyür. Bu KVKK maddesi değil ama ürün kalitesidir.
4. Hukuki dil ve erişilebilirlik
Olay anında veri işleme sözleşmeni, alt işleyen listesini ve destek hattını kendi hukuk dilinde konuşmak küçümsenemez. "Where are your backups?" sorusuna İngilizce ticket ile 3 günde cevap almak yerine aynı gün Türkçe cevap alırsın.
Sağlayıcı Seçerken Sorulacak 6 Soru
"Sunucun Türkiye'de mi" tek başına yetmez. Asıl sık atlanan noktalar:
- Birincil bölge nerede? — Açık cevap isteyin; "Avrupa" belirsiz bir cevaptır.
- Yedekler ve replikalar nerede? — En sık atlana nokta bu. Veri İstanbul'da, yedeği Frankfurt'ta ise aktarım zaten gerçekleşmiş demektir.
- Destek ekibi veriye hangi ülkeden erişiyor? — Hindistan'daki bir destek mühendisinin loglarınıza erişimi de "aktarım" sayılabilir.
- Alt işleyen (subprocessor) listesi var mı? — CDN, loglama, hata takibi gibi üçüncü taraflar da aktarım tarafıdır.
- Veri işleme sözleşmesi (DPA) veriyor mu, hangi hukuka tabi? — KVKK uyumlu DPA metni isteyin.
- Veri silindiğinde ne oluyor? — Canlıdan silinen kayıt yedeklerde ne kadar yaşar? KVKK'nın imha kuralları buna da bakar.
Skyversal'da Durum — Abartısız
Altyapımız Türkiye'de çalışır; projeleriniz, veritabanlarınız ve yedekleriniz Türkiye sınırları içindeki sistemlerde tutulur. Bu, hosting katmanında yurt dışına aktarım gündeme gelmediği için standart sözleşme yükünün bu ayak için doğmadığı anlamına gelir. Dolar kuru ve sınır ötesi hukuk riski de aynı sebeple denklemden çıkar — ayrıntısı yerli PaaS karşılaştırmamızda.
Dürüstlük borcu: verinin Türkiye'de barınması tek başına KVKK uyumu sağlamaz. Uygulamanız kişisel veri işliyorsa aydınlatma yükümlülüğü, VERBİS kaydı, açık rıza yönetimi ve güvenlik tedbirleri hâlâ sizin sorumluluğunuzdadır. Biz denklemin altyapı tarafını kapatarız; uygulama tarafı sizdedir. SSS sayfamızda güvenlik yaklaşımımız, fiyatlandırma sayfamızda da bu altyapının maliyeti görünür.
Sık Sorulanlar
KVKK verilerin Türkiye'de tutulmasını zorunlu kılar mı?
Hayır — genel kural yerleşim şartı koymaz, yurt dışına aktarımı hukuki güvencelere bağlar. Ama ödeme sistemleri (6493), bazı kamu ihaleleri ve belirli sektörel düzenlemeler Türkiye'de barındırmayı fiilen zorunlu kılar.
Yurt dışında hosting kullanırsam ne yapmam gerekir?
Çoğu durumda sağlayıcıyla KVKK standart sözleşmesi imzalayıp 5 iş günü içinde Kurum'a bildirmeniz gerekir. Alternatifleri bağlayıcı şirket kuralları veya Kurul onaylı taahhütnamedir — ikisi de aylar sürebilir.
Standart sözleşmeyi değiştirebilir miyim?
Hayır. Kurum'un yayımladığı taslak metin tek satır değiştirilmeden kullanılmalıdır; değişiklik yapılan sözleşme güvence sayılmaz. Yabancı dilde akdedilirse Türkçe metin esas alınır ve iki tarafın imzası da Türkçe sütunda olmalıdır.
Hosting şirketim veri sorumlusu mu, işleyen mi?
Barındırma sağlayıcınız tipik olarak veri işleyendir; veri sorumlusu — yani hukuki sorumluluğun sahibi — uygulamayı işleten sizsiniz. Sağlayıcı seçimi sorumluluğu ortadan kaldırmaz, denetlenebilirliği kolaylaştırır.
Bu yazı hukuki tavsiye değildir; somut uyum kararları için bir KVKK uzmanına danışın.