KVKK ve Yurt Dışı Veri Aktarımı: Bulut Kullanan KOBİ'nin Yol Haritası

Bir KOBİ yöneticisine "yurt dışına kişisel veri aktarıyor musunuz?" diye sorduğumuzda en sık aldığımız cevap "hayır, biz yurt dışıyla çalışmıyoruz" oluyor. Ardından aynı işletmenin e-postasının küresel bir bulut sağlayıcıda, müşteri listesinin yurt dışı merkezli bir CRM'de, çalışan özlük dosyalarının uluslararası bir depolama hizmetinde durduğu ortaya çıkıyor. KVKK açısından "aktarım" için kargoyla evrak göndermek gerekmez; verinin yurt dışındaki bir sunucuda tutulması ya da oradan erişilebilir olması yeterlidir. Yani soru "yurt dışıyla çalışıyor muyuz" değil, "verimiz fiziken nerede duruyor" sorusudur.

2024 Sonrası Tablo: Standart Sözleşme Dönemi

KVKK'nın yurt dışı aktarım maddesi 2024'te yeniden düzenlendi ve rejim üç katmana oturdu: hakkında yeterlilik kararı bulunan ülkelere aktarım, uygun güvencelere dayalı aktarım ve istisnai (arızi) durumlar. KOBİ pratiğinde işleyen katman ikincisi, onun içinde de Kurum tarafından ilan edilen standart sözleşmedir: veri aktaran ile alıcı taraf arasında imzalanır ve imzadan sonra süresi içinde Kuruma bildirilir. Bildirim yükümlülüğünün süreli olması, bu işi "bir ara bakarız" rafından indirip takvime bağlar. Hangi katmanın sizin senaryonuza uyduğu hukuki bir değerlendirmedir; bu yazının derdi, o değerlendirmenin girdisini oluşturan BT tarafını hazırlamaktır.

Adım 1: Bulut Hizmet Envanteri

Hukukçunuzun ilk isteyeceği şey hizmet listesidir ve bu liste BT'den çıkar. Tipik bir KOBİ'de kişisel veri barındıran bulut hizmetleri şunlardır:

• Kurumsal e-posta ve ofis paketi (çalışan ve müşteri yazışmaları)
• Bulut depolama ve dosya paylaşımı (özlük, sözleşme, teklif dosyaları)
• CRM ve pazarlama araçları (müşteri ve aday kayıtları)
• Muhasebe/İK yazılımlarının bulut sürümleri
• Web sitesi barındırma, form ve analitik araçları
• Yedeklerin gittiği bulut hedefleri — en çok unutulan satır

Bu envanterde gölge kalemler de yakalanmalıdır: bir departmanın kendi kararıyla açtığı deneme hesapları, kişisel sürücülerde tutulan iş dosyaları. SaaS envanteri ve gölge BT yazısındaki yöntem burada aynen kullanılır.

Adım 2: Her Hizmetin Veri Yerleşimini Tespit Etmek

Envanterdeki her satır için üç soru yanıtlanır: veri hangi ülkede/bölgede barındırılıyor, sağlayıcı veri işleme sözleşmesi (DPA) sunuyor mu, bölge seçimi mümkün mü? Büyük sağlaycılar bu bilgileri belgeler; bazıları Türkiye ya da AB bölgesi seçme imkânı verir. Bölge seçimi tek başına KVKK yükümlülüğünü ortadan kaldırmaz — destek erişimi ve alt işleyiciler gibi dolaylı aktarım yolları kalabilir — ama riski daraltır ve hukuki değerlendirmeyi sadeleştirir. Çıktı, hizmet başına "veri nerede, sözleşme ne diyor" tablosudur; standart sözleşme hazırlığının hammaddesi budur.

Adım 3: Teknik Tedbirleri Belgelenebilir Kılmak

Aktarım hukuken düzenlense bile Kurul, veri sorumlusundan uygun teknik tedbirleri bekler; olay günü "alıyorduk" demek değil, gösterebilmek gerekir:

• Erişim kontrolü: Bulut hesaplarında rol bazlı yetki, ayrılan personelin erişiminin kapatılması, çok faktörlü doğrulama — MFA kurulumu bu listenin ilk maddesidir.
• Şifreleme: Aktarımda ve beklemede şifreleme; cihaz tarafında disk şifreleme.
• Kayıt (log) düzeni: Kim, neye, ne zaman erişti sorusuna yanıt verebilen izler.
• Sızıntı önleme: Kişisel verinin kontrolsüz dışarı çıkışına karşı politika ve araçlar — kapsamı DLP stratejisi yazısında ele almıştık.
• Genel çerçeve: Tedbirlerin bütünü için KVKK teknik kontrol listemiz yol göstericidir.

Sık Yapılan Üç Hata

• "Sağlayıcı büyük, o halletmiştir" varsayımı: Sağlayıcının sunduğu sözleşme altyapısı sizi hazır etmez; veri sorumlusu sıfatı ve bildirim yükümlülüğü işletmenin üzerindedir.
• Envanteri bir kez çıkarıp unutmak: Yeni bir SaaS aboneliği açıldığı gün tablo eskir. Envanter, yılda bir değil hizmet ekleme sürecinin parçası olarak güncellenmelidir.
• Aydınlatma metinlerinin geride kalması: Veri artık yurt dışında barınıyorsa ilgili kişilere yapılan bilgilendirmenin de bunu yansıtması gerekir — metin güncellemesi hukukçunun, fiili durumu doğru raporlamak BT'nin işidir.

Bu Süreçte Yamanlar Bilişim'in Üstlendiği Kısım

Biz hukuki görüş vermeyiz; hukukçunuzun sağlam zeminde çalışmasını sağlarız. Bulut hizmet envanterinizi çıkarır, her hizmetin veri yerleşimini ve sözleşme belgelerini derler, teknik tedbirleri kurar ve belgelenebilir hale getiririz; bölge taşıma gerektiren hizmetlerde göçü planlarız. KVKK dosyanızın teknik eki, denetim günü değil bugün hazır olur. Güvenlik tarafındaki hizmet çerçevemiz Kurumsal Siber Güvenlik sayfasındadır.

SSS