Yurt Dışı Sunucuda Barındırma ve Aktarım: KVKK Kurul Kararı

Yurt Dışı Sunucuda Barındırma ve Aktarım: KVKK Kurul Kararı

Kişisel Verileri Koruma Kurulu (KVKK Kurulu), 17.03.2022 tarihli ve 2022/249 sayılı kararında yurt dışı sunucuda veri barındırmanın yurt dışına kişisel veri aktarımı sayıldığını, bunun için 6698 sayılı Kanun m. 9'un şartlarının aranacağını ortaya koydu. Karar, bulut altyapısı kullanan her işletme için hâlâ referans niteliğindedir; ancak 7499 sayılı Kanunla m. 9 değiştiği için kararın bugün nasıl okunacağı ayrıca sorulmalıdır.

Konunun genel çerçevesi için yurt dışına kişisel veri aktarımı makalesi ve çalışma alanı sayfası incelenebilir.

Uyuşmazlığın Konusu

İlgili kişi, bir teknoloji şirketinin internet sitesine üye olmuş; sitede çerez politikasının bulunmadığını, aydınlatma metninde yurt dışına aktarım yapıldığının bildirildiğini ancak bu yönde açık rızasının alınmadığını ileri sürmüştür. Kişi, hangi verilerinin kaydedildiğini ve aktarıldığını öğrenmek için aydınlatma metnindeki e-posta adresine başvurmuş; otuz günlük yasal sürede yanıt alamamıştır. Kurul bu şikâyet üzerine inceleme başlatmıştır.

Veri sorumlusu savunmasında, hizmetlerini yurt dışında bulunan bulut servis teknolojileriyle sunduğunu, Türkiye'deki barındırma hizmetlerinin modern altyapı bakımından yetersiz kaldığını, aktarım için Kanun m. 9/2(b) kapsamında bir taahhütname çalışması yürüttüğünü ve başvurunun sehven gözden kaçtığını ileri sürmüştür.

Kurulun Gerekçesi

Kurul, önce yurt dışına aktarımın bir veri işleme faaliyeti olduğunu belirlemiştir: Kanun m. 3'teki işleme tanımı "aktarılması"nı açıkça kapsar ve aktarım, saklama veya düzenleme gibi diğer işleme türlerinden farksızdır. Ayrı bir hükümle düzenlenme nedeni, verinin aktarıldığı ülkede de etkin biçimde korunmasıdır.

Kurulun yerleşik uygulamalarında da kişisel verilerin, dünyanın çeşitli yerlerinde bulunan veri merkezlerinde tutulmasının yurt dışına aktarım niteliğinde olduğuna ve sunucuları yurt dışında bulunan veri sorumlularından/veri işleyenlerden temin edilen saklama hizmetleri kapsamındaki kişisel veri işleme faaliyetlerinin de Kanun’un 9 uncu maddesine uygun olarak yerine getirilmesi gerektiğine karar verdiği

KVKK Kurulu, 17.03.2022, 2022/249

Kurul ardından o dönemki sistemi şöyle uygulamıştır: yeterli korumanın bulunduğu ülkeler belirlenmediği, Kurula onaylanmış taahhütname sunulmadığı ve açık rıza alınmadığı için aktarımın dayanağı kalmamıştır. Bu durum Kanun m. 12/1 kapsamında uygun güvenlik düzeyini sağlamaya yönelik gerekli tedbirlerin alınmadığı anlamına gelmiştir¹.

Ceza takdirinde Kurul şu unsurları gözetmiştir: şirketin birçok ülkede faaliyet göstermesi ve ekonomik durumu, çok sayıda kişisel verinin aktarılması, etkilenen ilgili kişi sayısının fazlalığı, aktarımın sistemli biçimde ve kasten yapıldığının savunmada ikrar edilmesi, ihlalin ticari amaçla işlenmesi ve Kanun'un yürürlüğünden altı yıl geçmesine rağmen uyumun sağlanmamış olması.

Hüküm olarak, Kanun m. 18/1(b) uyarınca 950.000 TL idari para cezası verilmiş; aktarımın Kanun m. 9'a uygun hale getirilmesi ve sonucun Kurula bildirilmesi talimatlandırılmış; ilgili kişi başvurularının etkin ve dürüstlük kuralına uygun sonuçlandırılması için gerekli tedbirlerin alınması konusunda uyarı yapılmıştır.

Kararın Anlamı

Karar dört noktada bugün de geçerliliğini korur. Birincisi, yurt dışındaki sunucuda saklama aktarımdır; verinin üçüncü kişiye devredilmemesi sonucu değiştirmez. İkincisi, "Türkiye'de eşdeğer hizmet yok" savunması aktarım şartlarını ortadan kaldırmaz. Üçüncüsü, yaptırım yalnızca m. 9'un ihlali üzerinden değil, m. 12 kapsamında güvenlik tedbirlerinin alınmaması üzerinden de kurulur. Dördüncüsü, ilgili kişi başvurusuna süresinde yanıt vermemek ayrı bir uyarı konusudur.

Kararın dayandığı m. 9/1 düzenlemesi, 01.06.2024 tarihli 7499 sayılı Kanunla değişmiştir. Yeni sistemde yeterlilik kararı, uygun güvenceler (bağlayıcı şirket kuralları, standart sözleşme, taahhütname) ve arızi haller öngörülmüş; açık rıza yalnızca arızi aktarımlarda bir dayanak olarak kalmıştır. Bu nedenle kararın olgusal sonucu değişmemekle birlikte, bugün aynı olayda veri sorumlusunun yoluna standart sözleşme veya bağlayıcı şirket kuralları çıkar.

Uygulamada

Hangi sistemin sunucusunun yurt dışında olduğunun tespiti ilk işlemdir; web barındırma, e-posta hizmeti, CRM, analiz ve reklam araçları bu envantere girer. Sonra her aktarımın dayandığı kademe belirlenir. Standart sözleşme yolu seçildiyse imzadan itibaren beş iş günü içinde Kuruma bildirim gerekir. İlgili kişi başvurularının tek adrese yönlendirilmesi ve izlenmesi, bu karardaki ikinci uyarı nedenini önler. Ayrıntı için yurt dışına kişisel veri aktarımı nasıl yapılır sorusuna ve bulut hizmetine ilişkin bulut hizmeti kullanmak yurt dışına aktarım sayılır mı sorusuna bakılabilir.

İlgili içerikler için bkz. Çerezlerde Açık Rıza: KVKK Kurul Kararı, Yurt Dışına Kişisel Veri Aktarımı: Kurul Uygulaması ve Yeni Rejim ve Kişisel Verilerin Korunması.