Yurt Dışına Veri Aktarımı: Sunucu Konumu Ne Değiştirir?

---

Barındırma paketini seçerken sunucu konumu listesinde Frankfurt daha ucuz, İstanbul biraz pahalı görünüyordu. Frankfurt'u işaretlediniz. Müşteri kayıtları o günden beri Almanya'daki bir makinede duruyor.

Aşağıda bu tercihin kanundaki karşılığını, aktarımın hangi hâllerde serbest olduğunu, standart sözleşmenin ne zaman ve kime bildirildiğini, tek seferlik aktarımların hangi istisnaya girdiğini ve veri işleyenin sorumluluğunu mevzuattan okuyoruz.

Sunucunun yeri neden önemli?​

Kişisel veriyi yurt dışındaki bir sunucuda tutmak, kanun diliyle yurt dışına aktarım sayılıyor. 6698 sayılı Kişisel Verilerin Korunması Kanunu bu konuyu 2 Mart 2024 tarihli değişiklikle yeniden yazılan 9. maddesinde düzenliyor.

Kural iki katmanlı. Önce verinin işlenmesi için kanunun 5. ve 6. maddelerindeki şartlardan biri bulunmalı; ardından aktarım için ayrı bir dayanak gerekiyor.

İlk dayanak yeterlilik kararı: aktarımın yapılacağı ülke, o ülkedeki sektörler ya da uluslararası kuruluşlar hakkında Kurulun verdiği karar. Karar Resmî Gazete'de yayımlanıyor ve en geç dört yılda bir değerlendiriliyor.

Kişisel verinin kanundaki tanımını KVKK yazımızda toplamıştık; buradaki yükümlülükler o tanıma giren her kayıt için işliyor.

Yeterlilik kararı yoksa ne yapılıyor?​

Kanun bu durumda uygun güvence arıyor. İlgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânı bulunması şartıyla dört seçenek sayılıyor.

Birincisi kamu kurumları arasında yapılan, uluslararası sözleşme niteliğinde olmayan anlaşma ve Kurul izni. İkincisi ortak ekonomik faaliyette bulunan teşebbüs grubu şirketlerinin uyduğu, Kurulca onaylanan bağlayıcı şirket kuralları. Üçüncüsü Kurulun ilan ettiği standart sözleşme. Dördüncüsü yeterli korumayı sağlayan yazılı taahhütname ve Kurul izni.

Barındırma hizmeti alan çoğu şirket için pratikte karşılaşılan yol üçüncüsü oluyor.

• Metne dokunulmaz: Standart sözleşme, üzerinde değişiklik yapılmaksızın kullanılmak zorunda.
• Dil: Yabancı dilde de akdedilirse Türkçe metin esas alınıyor.
• İmza: Taraflarca veya temsile ve imzaya yetkili kişilerce imzalanması şart.

Püf nokta' Alıntı:

Sözleşmeyi imzalamak yetmiyor; beş iş günlük bildirim süresini takviminize yazın.

Genişletmek için tıkla ...

Standart sözleşme kime bildiriliyor?​

10 Temmuz 2024 tarihli yönetmelik bildirim usulünü ayrıntılandırıyor. Standart sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde fiziki olarak ya da KEP adresi üzerinden Kuruma bildiriliyor.

Bildirimi kimin yapacağını taraflar sözleşmede belirleyebiliyor. Belirleme yapılmamışsa bildirim yükümlülüğü veri aktarana düşüyor. Bildirime, imzalayanların yetkili olduğunu gösteren belgeler ve yabancı dildeki her belgenin noter onaylı çevirisi ekleniyor.

Kurulca ilan edilen metinde değişiklik yapılması ya da tarafların birinin geçerli imzasının bulunmaması hâlinde Kurul, kanunun 15. maddesi uyarınca inceleme yapıyor.

Tek seferlik aktarımlar​

Ne yeterlilik kararı ne de uygun güvence varsa geriye istisnai hâller kalıyor. Yönetmelik bunları arızi aktarım başlığı altında topluyor ve arızi olmayı tanımlıyor: düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içinde bulunmayan aktarımlar.

İstisnalar arasında ilgili kişinin muhtemel riskler hakkında bilgilendirilerek verdiği açık rıza, sözleşmenin ifası için zorunluluk, üstün kamu yararı ve bir hakkın tesisi, kullanılması ya da korunması için zorunluluk sayılıyor.

Buradaki kritik nokta şu: sürekli çalışan bir barındırma hizmeti olağan faaliyet akışının içinde olduğu için arızi sayılmıyor. Açık rızanın hangi şartlara bağlı olduğunu KVKK izni yazımızda ayrıntılamıştık.

Sorumluluk kimde kalıyor?​

Veriyi sizin adınıza işleyen sağlayıcı, yani veri işleyen, sizin belirlediğiniz amaç ve kapsamda, sizin talimatlarınıza uygun hareket ediyor ve verinin niteliğine göre uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri alıyor.

Ancak yönetmelik açıkça yazıyor: aktarımın veri işleyen tarafından yapılması, veri sorumlusunun sorumluluğunu ortadan kaldırmıyor. Bu tedbirlerin alınmasını sağlamak veri sorumlusunun yükümlülüğünde kalıyor. Sanal sunucuda hangi kaynakların gerçekten size ait olduğunu sanal sunucu yazımızda ele almıştık.

Sık Sorulan Sorular​

Yurt dışındaki sunucuda veri tutmak aktarım sayılır mı?
Evet. Kişisel verinin yurt dışındaki sunucuda tutulması kanunun 9. maddesi kapsamında değerlendiriliyor.

Yeterlilik kararı nedir?
Kurulun bir ülke, o ülkedeki sektörler veya uluslararası kuruluşlar için verdiği, Resmî Gazete'de yayımlanan karar.

Standart sözleşme değiştirilebilir mi?
Hayır. Kurulca ilan edilen metnin üzerinde değişiklik yapılmaksızın kullanılması zorunlu.

Sözleşme kaç günde bildiriliyor?
İmzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildiriliyor.

Açık rıza tek başına yeterli mi?
Yalnız arızi aktarımlarda ve muhtemel riskler hakkında bilgilendirme yapılmışsa; süreklilik taşıyan aktarımlarda değil.

Özetle​

Sunucu konumu bir fiyat tercihi gibi görünüyor ama kişisel veri söz konusuysa hukuki bir tercih. Sıralama net: önce işleme şartı, sonra aktarım dayanağı. Yeterlilik kararı varsa yol açık; yoksa standart sözleşme, taahhütname, bağlayıcı şirket kuralları veya kurumlar arası anlaşma devreye giriyor. Standart sözleşmede metin değiştirilemiyor ve beş iş günlük bildirim süresi işliyor. Süreklilik taşıyan barındırma hizmeti arızi sayılmadığı için tek seferlik istisnalara dayanmak çözüm olmuyor. Sorumluluk ise sağlayıcıya devredilemiyor.

Barındırma sözleşmenizde sunucunun bulunduğu ülke yazılı mı?

Güncelleme: 5 Eylül 2026. 6698 sayılı Kanunun 9. maddesi ve 10 Temmuz 2024 tarihli yurt dışına aktarım yönetmeliği kontrol edildi.

---