Kısaca özet
- “KVKK sunucu Türkiye zorunlu mu” sorusunun kısa cevabı: hayır, Kişisel Verilerin Korunması Kanunu sunucunun Türkiye’de olmasını genel bir şart olarak koymaz; ama yurt dışındaki sunucu, kişisel verinin yurt dışına aktarılması sayılır ve 9. maddedeki şartları doğurur.
- Kurul, 2019/157 sayılı karar özetinde yurt dışındaki veri merkezlerinde tutulan e-postaları yurt dışına aktarım olarak değerlendirdi; aynı mantık site, veritabanı ve yedek için de geçerlidir.
- 1 Haziran 2024’ten beri geçerli olan 9. madde üç kademe kurar: yeterlilik kararı, uygun güvence (standart sözleşme, bağlayıcı şirket kuralları, taahhütname) ve yalnız arızi aktarımlar için istisnalar.
- Standart sözleşmeyle aktarım yapılıyorsa sözleşme imzadan itibaren 5 iş günü içinde Kuruma bildirilir; bildirmemek idari para cezası sebebidir.
- Bankacılık ve kamu gibi bazı alanlarda sektör mevzuatı verinin yurt içinde tutulmasını ayrıca isteyebilir; bu durumda karar KVKK’dan değil o mevzuattan çıkar.
- Türkiye’deki bir sunucu bu aktarım yükünü baştan kaldırır, ama KVKK’nın güvenlik, aydınlatma ve saklama yükümlülükleri sunucu nerede olursa olsun devam eder.
Bir müşteriniz ya da muhasebeciniz “siteniz yurt dışında barınıyorsa KVKK’ya aykırı” dedi; şimdi hostingi taşımanız mı gerektiğini, yoksa bunun bir şehir efsanesi mi olduğunu merak ediyorsunuz. Sorunun cevabı ne tamamen evet ne tamamen hayır. Kanun sunucunun yerini yasaklamaz, ama sunucu yurt dışındaysa sizden ek bir hukuki dayanak ister. “KVKK sunucu Türkiye zorunlu mu” sorusunu bu ayrım üzerinden, madde numaralarıyla ele alıyoruz. Bu yazı hukuki görüş değildir; kendi durumunuz için bir avukata danışmanız gerekir.
KVKK Sunucu Türkiye Zorunlu mu, Kanun Ne Diyor
6698 sayılı Kanun’da “sunucu Türkiye’de olmalıdır” diye bir hüküm yoktur. Kanunun ilgilendiği şey verinin nerede işlendiği ve sınırı geçip geçmediğidir. Siteniz, iletişim formunuz, müşteri veritabanınız ya da kurumsal e-postanız yurt dışındaki bir sunucuda duruyorsa, bu kişisel veriler fiilen yurt dışına aktarılmış olur.
Kurul bu yaklaşımı 2019/157 sayılı karar özetinde açıkça ortaya koydu: yurt dışındaki veri merkezlerinde tutulan kurumsal e-postalar yurt dışına aktarım sayıldı. Hosting için de tablo aynıdır. Yani sorun sunucunun yeri değil, yurt dışındaki sunucu için 9. maddedeki şartlardan birini sağlayıp sağlamadığınızdır.
Bilgi
9. madde, 7499 sayılı Kanun’un 34. maddesiyle değiştirildi; yeni metin 1 Haziran 2024’ten beri uygulanıyor. Güncel metin Mevzuat Bilgi Sistemi’ndeki 6698 sayılı Kanun sayfasında yer alır. Eski metindeki “açık rıza ile aktarım” artık genel bir yol değil, yalnız arızi aktarımlar için bir istisnadır.
Yurt Dışındaki Sunucu İçin Üç Yol
Yeni 9. madde aktarımı kademeli bir sıraya bağlar. Bir kademe sağlanamıyorsa bir sonrakine geçilir; son kademe dar tutulmuştur ve sürekli bir hosting ilişkisini taşımaz.
| Kademe | Dayanak | Hosting için anlamı |
|---|---|---|
| 1. Yeterlilik kararı | 9/1 — Kurulun ülke, sektör ya da uluslararası kuruluş için verdiği, Resmî Gazete’de yayımlanan karar | Sunucunun bulunduğu ülke için karar varsa ek güvence gerekmez; kararın varlığını Kurum sitesinden kontrol edin |
| 2. Uygun güvence | 9/4 — standart sözleşme, bağlayıcı şirket kuralları, izinli taahhütname ya da kamu kurumları arası anlaşma | Yurt dışı sağlayıcıyla Kurulun standart sözleşmesini imzalayıp 5 iş günü içinde bildirmek en yaygın yoldur |
| 3. Arızi aktarım | 9/6 — bilgilendirilmiş açık rıza, sözleşmenin ifası, hakkın korunması gibi istisnalar | “Arızi” şartı nedeniyle sürekli barındırma hizmetine dayanak olarak elverişli değildir |
Kurul, standart sözleşmeyi dört tip olarak yayımladı: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna (Kurulun 4 Haziran 2024 tarihli, 2024/959 sayılı kararı). Hosting firması verinizi sizin adınıza işlediği için çoğu durumda ikinci tip söz konusudur.
Standart Sözleşme ve 5 İş Günü Bildirimi
9. maddenin beşinci fıkrasına göre standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu ya da veri işleyen tarafından Kuruma bildirilir. Kurum, bildirimin fiziki olarak, KEP ile ya da internetteki Standart Sözleşme Bildirim Modülü üzerinden yapılabileceğini duyurdu. Bildirimin yapılmaması Kanunda idari para cezası öngörülen bir ihlaldir; tutarlar her yıl yeniden değerleme oranıyla güncellendiği için güncel rakamı Kurumun duyurusundan okuyun.
Pratikte sorun şurada başlar: büyük yurt dışı sağlayıcılar kendi sözleşme metinlerini kullanır ve Türk standart sözleşmesini imzalamaya her zaman yanaşmaz. Sözleşme metninin değiştirilmeden kullanılması gerektiği için “kendi şartlarımızı ekleyelim” seçeneği de dardır. Küçük bir işletme için bu süreç, hosting ücretinden daha fazla zaman ve danışmanlık maliyeti çıkarabilir.
Örnek senaryo
İzmir’de 12 kişilik bir muhasebe bürosu, müşteri belgelerini toplayan bir portalı yurt dışındaki bir bulut sağlayıcısında barındırıyordu. KVKK uyum çalışması sırasında danışmanları, portaldaki kimlik ve vergi bilgilerinin yurt dışına aktarıldığını ve sağlayıcıyla standart sözleşme imzalanmadığını tespit etti. Sağlayıcı Türk standart sözleşmesini imzalamayı kabul etmedi. Büro portalı Türkiye’deki bir sunucuya taşıdı; aktarım başlığı kapandı, geriye yalnız güvenlik tedbirleri ve aydınlatma metni kaldı.
Sektör Mevzuatı Ayrı Bir Konu
KVKK genel kanundur; bazı sektörlerde ayrıca verinin yurt içinde tutulmasını isteyen düzenlemeler vardır. Bankacılık ve ödeme hizmetleri, kamu kurumları ve kamuya hizmet veren yükleniciler bu grubun bilinen örnekleridir. Bu alanlardaysanız “KVKK izin veriyor mu” sorusu yetmez; tabi olduğunuz düzenleyici kurumun mevzuatına bakmanız gerekir. Orada yurt içi şartı varsa, standart sözleşme imzalamış olmanız bu şartı karşılamaz.
Dikkat
Sunucuyu Türkiye’ye taşımak KVKK uyumunu tek başına sağlamaz. Aydınlatma metni, çerez onayı, veri güvenliği tedbirleri ve saklama süreleri sunucunun yerinden bağımsız yükümlülüklerdir. Bunlar için web sitesi KVKK aydınlatma metni ve çerez politikası yazısına bakın.
Hangi Durumda Türkiye’deki Sunucu Mantıklı
Yurt dışı hosting yasak değildir; mesele, getirdiği hukuki yükün işinize değip değmediğidir. Ziyaretçileri ve müşterileri Türkiye’de olan, form, üyelik, sipariş ya da randevu ile kişisel veri toplayan bir site için Türkiye’deki sunucu aktarım başlığını baştan kapatır. Hız ve dil desteği gibi diğer farklar yurt dışı hosting mi Türkiye’de hosting mi karşılaştırmasında ayrıca ele alındı.
Sunucunun ülkesine karar verdikten sonra sıra paket türüne gelir: tek bir kurumsal site için paylaşımlı hosting yeterliyken, müşteri portalı ya da yoğun veritabanı olan projeler sunucu ister. Bu seçimi hosting nasıl seçilir rehberinde adım adım anlattık. Veri merkezinin fiziksel güvenliği ve yedekli altyapısı da KVKK’nın 12. maddesindeki teknik tedbir yükümlülüğünü destekler.
Sonuç
KVKK sunucu Türkiye zorunlu mu sorusunun cevabı genel kural olarak hayırdır; ama yurt dışındaki sunucu 9. maddeye göre bir aktarımdır ve yeterlilik kararı ya da standart sözleşme gibi bir güvence ister. Türkiye’deki müşterilere hizmet veren ve kişisel veri toplayan küçük ve orta işletmeler için Türkiye’de barındırma, bu yükü hiç doğurmadığı için en sade yoldur. Sektörünüz yurt içi şartı koyuyorsa seçim zaten belirlenmiştir.
KVKK Açısından Hosting Kontrol Listesi
- Sitenizin, veritabanınızın, e-postanızın ve yedeklerinizin hangi ülkede tutulduğunu sağlayıcınızdan yazılı olarak öğrenin.
- Yurt dışındaysa o ülke için Kurulun yeterlilik kararı olup olmadığını kvkk.gov.tr’den kontrol edin.
- Karar yoksa sağlayıcıyla Kurulun standart sözleşmesini imzalayıp imzalayamayacağınızı sorun.
- İmzaladıysanız 5 iş günü içinde bildirimi yapın ve bildirim kaydını saklayın.
- Sektörünüzün (finans, sağlık, kamu ihalesi) ayrıca yurt içi şartı koyup koymadığını öğrenin.
- CDN, e-posta servisi ve form araçları gibi üçüncü taraf hizmetleri de aynı gözle listeleyin.
- Aydınlatma metninde verinin nerede tutulduğunu ve aktarım dayanağını doğru yazın.
- Formların ve yönetim panelinin HTTPS ile çalıştığını doğrulayın; sertifika kurulumu cPanel’de SSL sertifikası kurma kartında.
Sıkça sorulan sorular
KVKK sunucu Türkiye zorunlu mu, yoksa yurt dışı hosting kullanabilir miyim?
Kullanabilirsiniz. Kanun sunucunun yerini yasaklamaz; ancak yurt dışındaki sunucuda tutulan kişisel veri yurt dışına aktarılmış sayılır. Bu durumda yeterlilik kararı, standart sözleşme gibi bir uygun güvence ya da sınırlı istisnalardan birine dayanmanız gerekir. Bunları sağlayamıyorsanız Türkiye’deki bir sunucu daha güvenli seçenektir.
Ziyaretçiden açık rıza alırsam yurt dışı hosting sorun olmaz mı?
2024 değişikliğinden sonra açık rıza, 9. maddenin altıncı fıkrasında yalnız arızi aktarımlar için sayılan bir istisnadır ve ilgili kişinin muhtemel riskler hakkında bilgilendirilmesini şart koşar. Sitenin sürekli olarak yurt dışında barındırılması arızi bir aktarım niteliği taşımadığı için açık rızaya dayanmak tartışmalıdır; önce yeterlilik kararı ya da standart sözleşme yoluna bakılmalıdır.
Cloudflare gibi bir CDN kullanmak da aktarım sayılır mı?
CDN, ziyaretçi trafiğini ve önbelleğe alınan içeriği farklı ülkelerdeki sunucularından geçirebilir. Bu trafikte kişisel veri (IP adresi, form içeriği) bulunuyorsa aktarım değerlendirmesi CDN için de yapılmalıdır. Hangi verinin CDN üzerinden geçtiğini ve sağlayıcının hangi güvenceyi sunduğunu uyum dosyanıza ekleyin.
Standart sözleşmeyi bildirmezsem ne olur?
Kanun, standart sözleşmenin 5 iş günü içinde Kuruma bildirilmemesini idari para cezası gerektiren bir ihlal olarak düzenler. Ceza tutarları her yıl yeniden değerleme oranıyla güncellenir. Bildirim fiziki olarak, KEP ile ya da Kurumun internet üzerindeki bildirim modülüyle yapılabilir.
Türkiye’de hosting kullanırsam KVKK’ya tamamen uyumlu olur muyum?
Hayır. Türkiye’deki sunucu yalnız yurt dışına aktarım başlığını ortadan kaldırır. Aydınlatma metni, çerez onayı, veri güvenliği tedbirleri, saklama ve imha süreleri gibi yükümlülükler devam eder. Bunlar sitenin içeriği ve iş süreçlerinizle ilgilidir, barındırma firmasıyla değil.
Narhost’ta
Narhost’un web hosting ve sunucu hizmetleri İstanbul’daki Equinix veri merkezinde çalışır; siteniz, veritabanınız ve e-postanız Türkiye’de kalır. Tüm paketlerde ücretsiz SSL ile formlarınız şifreli bağlantıyla çalışır.