Kısa cevap: şarta bağlı. KVKK, yurt dışındaki sunucuda barındırmayı aktarım sayar; şart sağlansa bile veri o ülkenin hukukuna tabi olur.
6698 sayılı KVKK'da yurt dışına aktarım, kişisel verinin Türkiye sınırları dışına çıkması demektir; hangi amaçla çıktığının önemi yoktur. Yurt dışındaki bir veri merkezinde barındırılan müşteri, çalışan veya kullanıcı verisi bu tanıma girer ve kanunun aradığı şartlardan biri sağlanmadan orada tutulamaz.
Şartlar sağlansa bile ikinci bir gerçek değişmez: veri, fiziksel olarak bulunduğu ülkenin hukukuna ve o ülkedeki yetkililerin erişim taleplerine tabi olur. Aktarım izni bu tabiiyeti ortadan kaldırmaz.
Bu sayfa bilgilendirme amaçlıdır, hukuki görüş değildir; kurumunuzun somut durumu için avukatınıza veya uyum sorumlunuza danışın.
KVKK tarafında sorun genellikle veri ihlali bildirimi ya da denetim anında ortaya çıkar. Sorulan sorular bellidir: veri fiziksel olarak nerede tutuluyor, yurt dışına aktarım varsa hangi şarta dayanıyor, bu belgeyle gösterilebiliyor mu? "Sağlayıcımız globaldi, nerede tuttuğunu bilmiyoruz" cevabı, sorumluluğu veri sorumlusunun üzerinden kaldırmaz.
Bu yüzden barındırma sözleşmesinde veri merkezi konumunun yazılı olması gerekir. Bazı sektör düzenlemeleri KVKK'nın üzerine ek yerlilik şartı da koyar; finans ve kamu tarafında verinin yurt içinde tutulması yönünde düzenlemeler vardır.
Veri Türkiye'deki bir veri merkezinde tutulduğunda, barındırma katmanında yurt dışına aktarım sorusu hiç doğmaz: şart aranmaz, ek güvence mekanizması kurulmaz, denetimde konum tek cümleyle belgelenir. Uyum yükü yalnızca uygulama seviyesindeki entegrasyonlarla sınırlı kalır.
Layer Sistem'de müşteri verisi İstanbul'daki TI Sparkle veri merkezinde, coğrafi yedeği Bursa'da tutulur; veri Türkiye sınırları dışına çıkmaz. Ayrıntı KVKK ve veri yerliliği sayfasında; sağlayıcı seçerken sorulacak diğer sorular seçim rehberinde.
Veriniz Türkiye'de; denetimde konum tek cümleyle belgelenir.
Barındırılabilir, ancak şarta bağlıdır: kişisel verinin yurt dışındaki sunucuda tutulması KVKK kapsamında yurt dışına aktarım sayılır ve kanunun aradığı şartlardan biri sağlanmadan yapılamaz. Şartlar sağlansa bile veri, bulunduğu ülkenin hukukuna tabi olur.
Aktarım, verinin fiziksel olarak Türkiye sınırları dışına çıkmasıdır; hangi amaçla çıktığının önemi yoktur. Yurt dışındaki bir veri merkezinde barındırılan veri bu tanıma girer.
Verinin fiziksel olarak nerede tutulduğu, yurt dışına aktarım varsa hangi şarta dayandığı ve bunun belgeyle gösterilip gösterilemediği sorulur. Sözleşmede veri merkezi konumunun yazılı olması bu yüzden önemlidir.
Bazı sektör düzenlemeleri KVKK'nın üzerine ek yerlilik şartı koyar; finans ve kamu tarafında verinin yurt içinde tutulması yönünde düzenlemeler vardır. Kurumunuzun tabi olduğu mevzuat için uyum sorumlunuza danışın.
Veri Türkiye'deki bir veri merkezinde tutulduğunda yurt dışına aktarım sorusu barındırma katmanında hiç doğmaz; uyum yükü yalnızca uygulama seviyesindeki entegrasyonlarla sınırlı kalır.
