KVKK ve bulut yedekleme: yurt dışına yedek serbest mi?

Bulut yedekleme hizmeti alırken sorulan ilk sorulardan biri şudur: verilerimiz yurt dışındaki bir veri merkezinde durursa KVKK açısından sorun olur mu? Kısa cevap: yapılabilir, ama kurallara bağlıdır. Haziran 2024'ten beri bu kurallar değişti; eskiden yeterli sayılan "açık rıza" düzenli yedekleme için artık dayanak olarak görülmüyor.

Bu yazı bilgi amaçlıdır ve hukuki görüş yerine geçmez. Kendi durumunuz için bir KVKK avukatına danışın.

Yedeğiniz kişisel veri içeriyor mu?

Neredeyse her şirket yedeğinde kişisel veri vardır: müşteri ve tedarikçi kayıtları, faturalardaki ad ve adresler, bordro, personel dosyaları, e-postalar. Bu veriler yedeğe girdiği anda yedek de 6698 sayılı Kanun'un kapsamındadır. Personel dosyalarındaki sağlık raporları gibi özel nitelikli veriler için kurallar daha sıkıdır.

Kim veri sorumlusu, kim veri işleyen?

Yedeğini aldığınız verinin veri sorumlusu sizsiniz.
Yedekleme hizmeti veren firma, verinizi sizin adınıza işlediği için veri işleyendir.
Hizmet firmasının kullandığı altyapı sağlayıcıları, örneğin veri merkezini işleten şirket, alt veri işleyendir.

Kanun'un 12. maddesine göre veri sorumlusu, verisini kendi adına işleyen firmayla birlikte güvenlik tedbirlerinden müştereken sorumludur. Yedekleme hizmetini seçerken güvenlik ve sözleşme konularını sormak bu yüzden sizin de işinizdir.

Yurt dışındaki veri merkezi, yurt dışına aktarım sayılır

Kişisel Verileri Koruma Kurulu, 17 Mart 2022 tarihli ve 2022/249 sayılı kararında yurt dışındaki bulut sunucularında veri tutan bir şirkete 950.000 TL idari para cezası verdi. Kurul kararda, verilerin farklı ülkelerdeki veri merkezlerinde tutulmasının yurt dışına aktarım niteliğinde olduğunu yerleşik uygulaması olarak belirtti.

Yani yedeğinizin yurt dışındaki bir sunucuda durması, Kanun'un 9. maddesindeki yurt dışına aktarım kurallarına tabidir. Şifrelenmiş yedek için de durum değişmez: şifreleme önemli bir güvenlik tedbiridir, ama yedeği aktarım olmaktan çıkardığını söyleyen bilinen bir Kurul kararı yok.

2024'ten beri yurt dışına aktarım nasıl yapılıyor?

7499 sayılı Kanun'la değişen 9. madde 1 Haziran 2024'te yürürlüğe girdi. Aktarım için üç yol var:

Yeterlilik kararı: Kurul, kişisel verilerin yeterince korunduğu ülkeleri ilan edebilir. Bu yazının hazırlandığı tarihte böyle bir ülke listesinin yayımlanmadığı belirtiliyor; güncel durumu kvkk.gov.tr'den kontrol edin.
Uygun güvenceler: Yeterlilik kararı yoksa taraflardan biri uygun güvence sağlar. Bağlayıcı şirket kuralları ve Kurul'un izin verdiği taahhütname de bu yollardandır, ama yedekleme hizmeti için en pratik olanı standart sözleşmedir.
Arızi istisnalar: Açık rıza gibi istisnalar yalnız arızi, yani düzenli ve süreklilik taşımayan aktarımlar içindir. Her gece çalışan bir yedekleme arızi değildir.

Standart sözleşme ve 5 iş günü kuralı

Kurul, 4 Haziran 2024 tarihli ve 2024/959 sayılı kararıyla dört standart sözleşme metnini kabul etti: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. Taraflar arasındaki ilişkiye uyan metin seçilir. Yedekleme hizmetinde hangisinin kullanılacağını avukatınızla birlikte belirleyin.

Dikkat edilecek noktalar:

Kurul'un yayımladığı hazır metin kullanılır.
Sözleşme imzalandıktan sonra 5 iş günü içinde Kurum'a bildirilir. Bildirim fiziki olarak, KEP ile ya da Kurum'un çevrimiçi standart sözleşme bildirim modülüyle yapılabilir.
Bildirimin yapılmaması ayrıca idari para cezası gerektirir; tutarlar her yıl yeniden değerleme oranıyla güncellenir.
Bildirimi kimin yapacağını sözleşmeden önce netleştirin.

Kendi tarafınızda yapmanız gerekenler

Aydınlatma metni: Müşterilerinize ve çalışanlarınıza verdiğiniz aydınlatma metinlerinde verilerin yurt dışındaki hizmet sağlayıcılara aktarılabileceğini ve amacını belirtin.
Kişisel veri envanteri: Yedekleri ve yedeğin durduğu ülkeyi envantere yazın. VERBİS'e kayıt yükümlüsüyseniz yurt dışına aktarım bilgisini güncelleyin.
Veri işleme sözleşmesi: Yedekleme firmasıyla güvenlik, gizlilik, ihlal bildirimi ve hizmet bitince verinin silinmesini düzenleyen bir sözleşme yapın.
İhlal bildirimi: Bir veri ihlalinde Kurul'a bildirim veri sorumlusunun, yani sizin yükümlülüğünüzdür. Kurul bu bildirimi öğrenmeden itibaren 72 saat içinde bekliyor. Hizmet sağlayıcınızın bir ihlali size ne kadar sürede haber vereceği bu yüzden önemlidir.

Bulut yedekleme hizmetine sorulacak sorular

Yedekler hangi ülkede, hangi şirketin altyapısında duruyor?
Alt veri işleyenler kimler; değişirlerse haber veriliyor mu?
Yurt dışına aktarım için standart sözleşme imzalanıyor mu? Kim imzalıyor, Kurum'a bildirimi kim yapıyor?
Yedekler aktarım sırasında ve saklanırken şifreleniyor mu? Şifreleme anahtarı kimde?
Hizmet firmasının çalışanları yedeklerin içeriğini görebiliyor mu?
Bir ihlal olursa size ne kadar sürede haber veriliyor?
Abonelik bitince veriler ne zaman ve nasıl siliniyor, silindiğine dair bilgi veriliyor mu?

Hangi sektörlerde ek kurallar var?

Kamu kurumları: 2019/12 sayılı Cumhurbaşkanlığı Genelgesi, kamu kurumlarının verilerinin kendi denetimleri dışındaki bulut depolama hizmetlerinde saklanmamasını öngörür. Kamu kurumları için yurt dışındaki bir bulut yedeği fiilen uygun değildir.
Bankacılık, ödeme hizmetleri, sermaye piyasaları, elektronik haberleşme: Bu sektörlerin düzenlemelerinde sistemlerin ve yedeklerin Türkiye'de tutulmasına ilişkin özel kurallar vardır. Önce kendi sektör mevzuatınıza bakın.
Sağlık: Sağlık verisi özel nitelikli kişisel veridir; yurt dışına aktarımda ek tedbirler gerekir. Klinik ve hastaneler bu konuyu mutlaka avukatlarıyla değerlendirmelidir.

Sık sorulan sorular

Türkiye'de veri merkezi olan bir hizmet seçersem ne değişir?

Yedek Türkiye'de kalıyorsa 9. maddedeki yurt dışına aktarım kuralları uygulanmaz. Hizmet sağlayıcıyla veri işleme sözleşmesi, güvenlik tedbirleri ve ihlal bildirimi gibi diğer yükümlülükler aynen devam eder. Hizmet sağlayıcının yedekleri gerçekten nerede tuttuğunu ve alt işleyenlerini yine sorun.

Çalışanlardan ve müşterilerden açık rıza alsak yeterli olur mu?

Açık rıza, değişen 9. maddede yalnız arızi aktarımlar için bir istisna olarak yer alıyor. Her gece çalışan bir yedekleme sürekli bir aktarımdır; bu yüzden açık rızaya dayanmak önemli bir uyum riski taşır. Eski sözleşmelerde ya da formlarda "yurt dışına aktarıma açık rıza veriyorum" kutusu varsa bunu tek başına yeterli saymayın.

Kişisel veri içermeyen yedekler için de bu kurallar geçerli mi?

KVKK yalnız kişisel verileri kapsar. Teknik çizimler ya da ürün fotoğrafları gibi kişisel veri içermeyen dosyaların yedeği bu kurallara girmez. Ancak şirket klasörlerinde kişisel verinin nerede durduğunu ayırmak çoğu zaman zordur; ayrım yapamıyorsanız yedeğin tamamını kişisel veri içeriyormuş gibi değerlendirin.

Örnek: 40 çalışanlı bir lojistik firması

Firma, ofisteki dosya sunucusunu ve muhasebe veritabanını yurt dışındaki bir veri merkezine yedeklemeye karar veriyor. İzlediği yol:

Envanter: Yedeğe girecek veriler çıkarılıyor: müşteri kayıtları, faturalar, personel dosyaları. Personel dosyalarında sağlık raporları olduğu görülüyor.
Kapsam kararı: Sağlık raporlarının bulunduğu klasör avukatla ayrıca değerlendiriliyor.
Sözleşme: Avukat uygun standart sözleşme modülünü seçiyor, sözleşme imzalanıyor ve 5 iş günü içinde Kurum'a bildiriliyor.
Aydınlatma: Müşteri ve çalışan aydınlatma metinleri yurt dışına aktarımı içerecek şekilde güncelleniyor.
İhlal süreci: Yedekleme firmasıyla yapılan sözleşmeye ihlal bildirim süresi yazılıyor ve firmanın içinde ihlali kimin değerlendireceği belirleniyor.

724 Backup'ta yedekler altyapı sağlayıcımız Infrascale'in yurt dışındaki veri merkezlerinde saklanır; Türkiye'de tutulmaz. Bu yüzden yukarıdaki kurallar 724 Backup kullanan işletmeler için de geçerlidir. Yedeklerin nerede durduğunu ve şifreleme ayrıntılarını Güvenlik ve KVKK sayfasında anlattık; sözleşme süreciyle ilgili sorularınız için bize yazabilirsiniz.