Veri Yerelliği Nedir? KVKK ve Bulut Veri Güvenliği

İşletmeler sunucu ve yazılım ihtiyaçlarını değerlendirirken genellikle maliyet, performans, güvenlik ve erişilebilirlik konularına odaklanır.

Ancak kişisel veya hassas veriler işleniyorsa başka bir soru da önem kazanır:

Verilerimiz fiziksel olarak hangi ülkede saklanıyor?

Özellikle bulut hizmetleri, yedekleme sistemleri, e-posta platformları ve uluslararası yazılım sağlayıcıları kullanıldığında veri konumunun anlaşılması gerekir.

Bu konu veri yerelliği (data residency) olarak adlandırılır.

Peki veri yerelliği nedir, KVKK ile ilişkisi nasıldır ve işletmeler bulut altyapısı seçerken nelere dikkat etmelidir?

Veri yerelliği nedir?

Veri yerelliği, verilerin fiziksel olarak hangi ülke veya coğrafi bölgede saklandığıyla ilgili kavramdır.

Örneğin bir kurumun uygulaması Türkiye'den kullanılıyor olabilir ancak verileri farklı bir ülkedeki veri merkezinde tutulabilir.

Bulut sağlayıcılarında veri konumu çoğunlukla bölge (region) veya hizmete özgü veri konumu seçenekleriyle ilişkilidir.

Ancak bütün veri türlerinin aynı bölgede bulunduğu otomatik olarak varsayılmamalıdır.

Uygulama verileri, günlük kayıtları, yedekler ve farklı servislerin üst verileri ayrı konumlarda işlenebilir.

Data residency ve data sovereignty aynı mı?

Hayır.

Data residency, verinin nerede saklandığıyla ilgilidir.

Data sovereignty, verinin tabi olabileceği hukuki ve düzenleyici yetki alanlarıyla ilişkilidir.

Bir verinin belirli ülkede saklanması, bütün hukuki etkilerin yalnızca o ülkeyle sınırlı olduğu anlamına gelmeyebilir.

Bulut hizmetinin sözleşmesi, hizmet sağlayıcının yapısı ve veri işleme faaliyetleri ayrıca değerlendirilmelidir.

KVKK açısından bulut kullanımı yasak mı?

Hayır. Bulut hizmeti kullanılması tek başına KVKK'ye aykırılık anlamına gelmez.

Önemli olan kişisel verilerin hukuka uygun şekilde işlenmesi ve ilgili güvenlik yükümlülüklerinin karşılanmasıdır.

Yurt dışına kişisel veri aktarımı söz konusuysa 6698 sayılı Kanun'un 9. maddesi kapsamında ayrıca değerlendirme gerekir.

Bu değerlendirmede aktarımın niteliği, tarafları, hukuki şartları ve kullanılabilecek aktarım mekanizmaları dikkate alınmalıdır.

KVKK'de yurt dışına veri aktarımı nasıl değerlendirilir?

2024 yılında yürürlüğe giren değişikliklerle yurt dışına veri aktarımı için aşamalı bir çerçeve oluşturulmuştur.

Genel olarak:

1. Yeterlilik kararı bulunup bulunmadığı değerlendirilir.
2. Yeterlilik kararı yoksa ilgili şartlarla birlikte uygun güvenceler incelenir.
3. Bunların bulunmadığı durumlarda yalnızca kanunda sayılan sınırlı ve arızi aktarım hâlleri değerlendirilebilir.

Standart sözleşmeler ve bağlayıcı şirket kuralları, ilgili şartlarla kullanılabilen uygun güvence yöntemleri arasındadır.

Bu nedenle "açık rıza aldığımız sürece bütün verileri sürekli yurt dışına aktarabiliriz" şeklinde genel bir yaklaşım doğru değildir.

Verinin Türkiye'de olması KVKK uyumu için yeterli mi?

Hayır.

Veriler Türkiye'deki sunucularda saklansa bile gereğinden geniş kullanıcı yetkileri, yetersiz güvenlik kontrolleri veya hukuka aykırı işleme faaliyetleri bulunabilir.

Ayrıca yurt dışındaki destek personelinin verilere uzaktan erişmesi veya verilerin farklı hizmetlerle paylaşılması ek değerlendirmeler gerektirebilir.

Bu nedenle yalnızca veri merkezinin adresini kontrol etmek yeterli değildir.

Verinin kim tarafından, nerede, hangi amaçla ve hangi erişimlerle işlendiği birlikte incelenmelidir.

Microsoft 365, AWS, Azure ve Google Cloud'da veri konumu

Büyük bulut sağlayıcılarında farklı bölge ve veri konumu seçenekleri bulunur.

Ancak hizmetlerin konum politikaları birbirinden farklı olabilir.

Örneğin bir bulut sunucusunun belirli bölgede çalıştırılması, kullanılan bütün yönetilen servislerin, logların veya destek süreçlerinin otomatik olarak yalnızca aynı bölgede gerçekleştiği anlamına gelmez.

Bu nedenle her hizmet için güncel teknik belgeler ve sözleşme koşulları incelenmelidir.

Yedekleme ve felaket kurtarma verinin konumunu etkiler mi?

Evet.

Bir uygulamanın ana veritabanı belirli ülkede bulunurken yedekleri farklı bölgede saklanıyor olabilir.

Ayrıca felaket kurtarma amacıyla başka veri merkezlerinde kopyalar tutulabilir.

Bu nedenle veri yerelliği değerlendirmesinde:

• Üretim sistemleri
• Yedekleme
• Arşivleme
• Felaket kurtarma kopyaları
• Loglama
• Sistem entegrasyonları

birlikte incelenmelidir.

Genomik ve sağlık verilerinde veri yerelliği

Genetik ve sağlıkla ilgili veriler hassas bilgiler içerebilir.

Bu nedenle genomik veri saklama altyapısında yalnızca disk kapasitesi ve veri transfer hızı değil; erişim yetkileri, veri konumu, şifreleme, arşivleme ve uygulanabilir düzenlemeler de değerlendirilmelidir.

Büyük FASTQ ve BAM dosyalarının farklı merkezlere aktarılması gerektiğinde teknik veri transferi gereksinimleri ile hukuki değerlendirme birlikte yürütülmelidir.

İlgili yazı: Genetik Veri Saklama ve Arşivleme

Bulut sağlayıcısı seçerken kontrol listesi

1. Veriler hangi bölgede saklanıyor?
2. Yedekler ve loglar hangi konumda tutuluyor?
3. Destek personeli hangi verilere erişebiliyor?
4. Alt hizmet sağlayıcılar bulunuyor mu?
5. Veri transferleri nasıl korunuyor?
6. Sözleşme ve veri işleme koşulları yeterli mi?
7. Veri şifreleme ve anahtar yönetimi nasıl sağlanıyor?
8. Hizmet sonlandırıldığında veriler nasıl alınacak?
9. Uygulanabilir yurt dışına aktarım şartları değerlendirildi mi?

Bu soruların yanıtları, uygun bulut mimarisinin belirlenmesine yardımcı olabilir.

RelGen Teknoloji ile veri yerelliği ve bulut altyapısı

RelGen Teknoloji, işletmelerin mevcut BT ve bulut altyapısını değerlendirerek veri saklama, güvenlik, yedekleme ve sistem konumlandırma ihtiyaçlarının belirlenmesine yardımcı olur.

Kurum içi, bulut veya hibrit yaklaşımlar; teknik gereksinimler, operasyonel maliyet ve veri güvenliği açısından birlikte değerlendirilebilir.

Hukuki veri aktarım şartları ise ilgili uzmanlarla birlikte ele alınmalıdır.

Bilişim Uyumluluk hizmetlerimizi ve BT Hizmetlerimizi inceleyebilir ya da RelGen Teknoloji ile iletişime geçebilirsiniz.

Sık sorulan sorular

Data residency ne demek?

Verinin fiziksel olarak hangi ülke veya bölgede saklandığını ifade eder.

Veriler Türkiye'de tutulursa KVKK'ye tamamen uyumlu olunur mu?

Hayır. Veri işleme şartları, güvenlik ve diğer yükümlülükler ayrıca değerlendirilmelidir.

Bulut hizmetlerinde verinin konumu seçilebilir mi?

Belirli hizmetlerde bölge veya veri konumu seçenekleri bulunabilir. Kullanılan ürünün güncel teknik koşulları incelenmelidir.

Yurt dışındaki bir firma verilere uzaktan erişirse ne olur?

Erişimin niteliği ve kişisel verilerin yurt dışına aktarılması bakımından hukuki değerlendirme yapılması gerekebilir.

Bu yazı genel teknik ve hukuki bilgilendirme amacıyla hazırlanmıştır. Somut yükümlülükler güncel mevzuata göre değerlendirilmelidir.

Resmî kaynak: KVKK — Yurt Dışına Aktarım