Bulut Hizmeti Kullanmak Yurt Dışına Veri Aktarımı Sayılır mı?

Bulut Hizmeti Kullanmak Yurt Dışına Veri Aktarımı Sayılır mı?

Kısa cevap: Evet. Sunucuları yurt dışında bulunan bir bulut veya barındırma hizmetinde kişisel veri tutmak, verinin başkasına devredilmemiş olması fark etmeksizin yurt dışına aktarımdır ve 6698 sayılı Kanun m. 9'un şartlarına tabidir.

Kurulun Yaklaşımı

Kişisel Verileri Koruma Kurulu (KVKK Kurulu), 17.03.2022 tarihli ve 2022/249 sayılı kararında kişisel verilerin dünyanın çeşitli yerlerindeki veri merkezlerinde tutulmasının yurt dışına aktarım niteliğinde olduğunu belirtmiş ve bu tür saklama hizmetlerinin de Kanun m. 9'a uygun yürütülmesi gerektiğini vurgulamıştır. Karar ayrıntıları için yurt dışı sunucuda barındırma kararının analizine bakılabilir¹.

Önemli: "Türkiye'de eşdeğer barındırma hizmeti yok" gerekçesi Kurul önünde kabul görmemiştir. Teknik zorunluluk, m. 9'daki şartların yerine geçmez.

Bugün Hangi Dayanak Gerekir

7499 sayılı Kanunla değişen m. 9 uyarınca rutin bulut barındırma için yeterlilik kararı, yoksa uygun güvence (standart sözleşme, bağlayıcı şirket kuralları veya taahhütname) gerekir. Standart sözleşme, m. 9/5 uyarınca imzadan itibaren beş iş günü içinde Kuruma bildirilir. Sistematik aktarım arızi haller kapsamına sokulamaz.

Uygulamada

İşletme önce hangi hizmetlerin sunucusunun yurt dışında olduğunu envantere yazmalıdır. Sonra her hizmet sağlayıcı için hangi kademenin kullanıldığı sözleşmeyle belgelenmeli, aydınlatma metninde alıcı ve aktarım amacı gösterilmelidir. Konunun bütünü için Yurt Dışına Kişisel Veri Aktarımı: Kurul Uygulaması ve Yeni Rejim makalesi ve Kişisel Verilerin Korunması Rehberi kullanılabilir.

---

İlgili içerikler için bkz. Yurt Dışına Kişisel Veri Aktarımı Nasıl Yapılır? ve Kişisel Verilerin Korunması.

Dipnotlar

1. KVKK Kurulu, 17.03.2022, 2022/249; 6698 sayılı Kişisel Verilerin Korunması Kanunu, RG 07.04.2016/29677, m. 9 (7499 sayılı Kanunla değişik). ↩