Verilerinizi Türkiye'de Tutmanız Gerekir mi? KVKK ve SPK Açısından Yurt İçi Sunucu
Oktay Alver · Kurucu, ADEA SistemKısaca: KVKK sunucuların Türkiye'de olmasını genel olarak zorunlu tutmaz, ama kişisel verilerin yurt dışına aktarımını sıkı şartlara bağlar; yurt dışındaki bir sunucuya kişisel veri koymak çoğu zaman aktarım sayılır. SPK'nın Bilgi Sistemleri Yönetimi Tebliği kapsamındaki kurumlar için ise birincil ve ikincil sistemlerin Türkiye'de bulunması zorunludur. Yurt içi sunucu, bu yükümlülüklerin önemli bir kısmını baştan ortadan kaldırır.
Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir. Kendi durumunuz için bir hukukçuya danışmanızı öneririz.
KVKK ve yurt dışına aktarım
6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin yurt dışına aktarılmasını 9. maddede düzenler. Bu madde 7499 sayılı Kanun ile değiştirildi; değişiklikle birlikte yurt dışına aktarımda başvurulabilecek uygun güvenceler arasına standart sözleşmeler eklendi.
Kişisel Verileri Koruma Kurumu'nun duyurusuna göre standart sözleşmelerin, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekiyor. Kurul, bu bildirimler için 17 Ekim 2024 tarihli kararla internet üzerinden çalışan bir Standart Sözleşme Bildirim Modülü kullanıma sundu.
Kaynak: Kişisel Verileri Koruma Kurumu, Standart Sözleşme Bildirim Modülü Hakkında Kamuoyu Duyurusu
Sunucu açısından pratik sonuç şu: müşteri, çalışan ya da tedarikçi verisi tutan bir uygulamayı yurt dışındaki bir sunucuda çalıştırıyorsanız, büyük olasılıkla yurt dışına aktarım yapıyorsunuz ve 9. maddedeki şartları sağlamanız gerekiyor. Sunucu Türkiye'deyse bu yükümlülük doğmaz.
SPK'ya tabi şirketler
Sermaye Piyasası Kurulu'nun Bilgi Sistemleri Yönetimi Tebliği (VII-128.9), kapsamındaki kurum, kuruluş ve ortaklıkların birincil ve ikincil sistemlerini Türkiye'de bulundurmasını zorunlu tutar. Tebliğ; borsalar, aracı kurumlar ve portföy yönetim şirketleri gibi sermaye piyasası kurumları ile halka açık ortaklıkları kapsar.
Halka açık şirketler için bir ayrıntı var: SPK'nın 2018 tarihli bülten açıklamasına göre bilgi sistemleri bağımsız denetimine henüz tabi olmayan halka açık şirketlerin birincil sistemlerini Türkiye'de bulundurma zorunluluğu, denetime tabi oldukları anda başlar.
Kaynak: Erdem & Erdem, Bilgi Sistemleri Yönetimi; SPK duyurusu
SPK'nın bilgi sistemlerine ilişkin düzenlemeleri güncelleniyor; kapsamınızı ve güncel yükümlülükleri bilgi sistemleri denetçinizle teyit edin.
Yurt içi sunucu seçerken nelere bakmalı?
- Sunucunun ve yedeklerin yeri: Yalnızca sunucunun değil, yedeklerin de Türkiye'de tutulup tutulmadığını sorun.
- Erişim kontrolü: Sunucuya kimin, nasıl eriştiği kayıt altında mı? Uzak erişim internete açık mı, VPN üzerinden mi?
- Güvenlik duvarı: Sunucunun önünde ayrı bir güvenlik duvarı var mı?
- Yedekleme ve geri dönüş: Kaç geri dönüş noktası tutuluyor? İş sürekliliği planınızla uyumlu mu?
- Denetim desteği: Sağlayıcı, denetimlerde istenen bilgi ve belgeleri sağlayabiliyor mu?
Bizim yapımız
Sunucularımız Türkiye'deki veri merkezinde çalışır; sunucularınızdaki veriler yurt içinde barındırılır. Her sunucu FortiGate Firewall arkasındadır, uzak erişim VPN üzerinden yapılır ve isteğe bağlı AdeGate ile her RDP ve SSH bağlantısı yönetici onayına bağlanır ve kayıt altına alınır. ISO 27001, SPK, BTK ve GİB denetimlerinde yıllarca sahada yer aldık; denetimde sorulan soruların altyapı tarafını biliyoruz. Hakkımızda.