Veri Egemenliği Nedir? KVKK Çağında Data Sovereignty ve Verinin Yerelliği

Kısaca Veri Egemenliği Nedir?

Veri egemenliği, bir veri kümesinin hangi hukuk düzenlerinin kapsamına girebileceğini ve hangi ülke otoritelerinin veri üzerinde hukuki yetki iddia edebileceğini ifade eder.

Bu değerlendirme yapılırken yalnızca verinin fiziksel depolama noktası değil, aşağıdaki unsurlar birlikte incelenir:

• Verinin fiziksel olarak saklandığı ülke
• Veri sorumlusunun yerleşik olduğu ülke
• Veri işleyen ve alt işleyenlerin yerleşik olduğu ülkeler
• Bulut veya SaaS sağlayıcısının tabi olduğu hukuk
• Yurt dışındaki ekiplerin uzaktan erişim yetkileri
• Yedekleme ve felaket kurtarma kopyalarının lokasyonu
• Şifreleme anahtarlarını kontrol eden taraf
• Log, metadata ve telemetri verilerinin işlendiği ortam
• Sağlayıcının alt yüklenicileri ve destek merkezleri
• Sözleşmede belirlenen uygulanacak hukuk ve yetkili mahkeme

Bu nedenle "veri Türkiye'deki bir sunucuda bulunuyor" bilgisi önemli olsa da tek başına tam bir veri egemenliği değerlendirmesi değildir.

Veri Egemenliği Neden Yalnızca Verinin Fiziksel Konumu Değildir?

Verinin fiziksel konumu veri egemenliğinin temel bileşenlerinden biridir, ancak tek belirleyicisi değildir.

Örneğin bir veri Türkiye'deki veri merkezinde saklanabilir. Ancak bu altyapı yabancı merkezli bir sağlayıcı tarafından yönetiliyor, yönetim paneli yurt dışında çalışıyor veya yurt dışındaki destek personeli kişisel verilere erişebiliyorsa birden fazla yargı alanı devreye girebilir.

Benzer şekilde verinin kendisi Türkiye'de tutulurken aşağıdaki bileşenler yurt dışında bulunabilir:

• Bulut hizmetinin kontrol düzlemi
• Kimlik doğrulama ve yetkilendirme servisi
• Merkezi log ve izleme platformu
• Hata kayıtları ve destek sistemi
• Yedekleme veya felaket kurtarma ortamı
• Antivirüs, DLP veya güvenlik analitiği servisi
• Şifreleme anahtar yönetim hizmeti
• Yapay zeka modeli veya API servisi

Veri egemenliği bu nedenle "disk hangi ülkede?" sorusundan daha geniştir. Asıl değerlendirme, verinin yaşam döngüsü boyunca hangi sistemlerden geçtiği ve hangi tarafların erişimine açık olduğudur.

Veri Egemenliği, Veri İkametgahı ve Veri Yerelleştirmesi Arasındaki Fark Nedir?

Data sovereignty, data residency ve data localization birbiriyle ilişkili ancak farklı sorulara yanıt veren kavramlardır.

Veri İkametgahı - Data Residency

Veri ikametgahı, verinin fiziksel olarak hangi ülke, şehir, bölge veya veri merkezinde saklandığını ifade eder.

"Yedeklerimiz Ankara'daki veri merkezinde tutuluyor" ifadesi bir veri ikametgahı beyanıdır.

Veri Egemenliği - Data Sovereignty

Veri egemenliği, verinin hangi hukuk düzenlerine ve kamu otoritelerinin yetkisine tabi olabileceğini ifade eder.

Verinin bulunduğu ülke bu değerlendirmede önemlidir. Ancak sağlayıcının şirket merkezi, veriyi işleyen taraflar, uzaktan erişimler ve sözleşmesel yapı da sonucu etkileyebilir.

Veri Yerelleştirmesi - Data Localization

Veri yerelleştirmesi, belirli veri türlerinin yasal veya düzenleyici gereklilik nedeniyle belirli bir ülke sınırları içinde tutulması zorunluluğudur.

Yerelleştirme, veri ikametgahını şirket tercihi olmaktan çıkarıp hukuki bir gerekliliğe dönüştürebilir.

Veri Kontrolü - Data Control

Veri kontrolü, veriyi kimin yönetebildiği, silebildiği, taşıyabildiği, şifreleme anahtarlarını değiştirebildiği ve erişim yetkilerini belirleyebildiğiyle ilgilidir.

Veri Türkiye'de olsa bile yönetim kontrolü tamamen yabancı bir hizmet sağlayıcıdaysa şirketin egemenlik seviyesi beklenenden düşük olabilir.

Veri Egemenliği ile Veri Güvenliği Aynı Şey midir?

Hayır. Veri güvenliği verinin nasıl korunduğuyla, veri egemenliği ise hangi hukuk ve yargı alanlarının veri üzerinde yetki sahibi olabileceğiyle ilgilenir.

Veri güvenliği aşağıdaki teknik ve idari kontrolleri içerir:

• Şifreleme
• Erişim kontrolü
• Çok faktörlü kimlik doğrulama
• Yedekleme
• Immutable saklama
• Loglama
• İhlal tespiti
• Felaket kurtarma

Veri egemenliği ise şu sorulara odaklanır:

• Veri hangi ülkenin hukukuna tabi?
• Yabancı bir kamu otoritesi erişim talebinde bulunabilir mi?
• Veri yurt dışına aktarılıyor mu?
• Alt işleyenler hangi ülkelerde faaliyet gösteriyor?
• Sağlayıcı değiştirildiğinde veri geri alınabilir mi?

Güvenli bir sistem egemenlik açısından uygun olmayabilir. Aynı şekilde veriyi Türkiye'de tutmak da zayıf güvenlik kontrolleri bulunan bir sistemi güvenli hale getirmez.

Veri Egemenliği Neden Önemli Hale Geldi?

Veri egemenliğinin önem kazanmasının temel nedeni, kurumsal verinin artık tek bir şirket ağı veya veri merkezi içinde kalmamasıdır.

Küresel Bulut ve SaaS Kullanımı

Şirketler e-posta, CRM, ERP, dosya paylaşımı, yedekleme, analitik ve yapay zeka hizmetlerini farklı SaaS ve bulut platformlarından kullanıyor.

Tek bir iş süreci sırasında veriler birden fazla ülke, sağlayıcı ve alt işleyenden geçebilir.

Sınır Ötesi Veri Akışlarının Artması

Uygulama sunucusu Türkiye'de olsa bile e-posta gönderimi, hata izleme, müşteri desteği, güvenlik analizi veya yapay zeka API'si nedeniyle veri yurt dışındaki sistemlerle paylaşılabilir.

Regülasyonların Güçlenmesi

KVKK, GDPR ve sektörel düzenlemeler; verinin işlenme amacı, aktarım mekanizması, saklama süresi, erişim yetkileri ve güvenliği konusunda daha ayrıntılı yükümlülükler getiriyor.

Yabancı Yargı Yetkisi Riski

Bir sağlayıcının tabi olduğu ülkenin hukuku, belirli koşullar altında sağlayıcının kontrolündeki verilere erişim talebi doğurabilir.

Bu nedenle yalnızca veri merkezinin lokasyonu değil, hizmeti sunan tüzel kişinin ve ana şirketin tabi olduğu hukuk da değerlendirilmelidir.

Siber Dayanıklılık İhtiyacı

Şirketin veriye kriz anında erişebilmesi, sağlayıcı kesintisinden bağımsız kurtarma noktalarına sahip olması ve veriyi başka altyapıya taşıyabilmesi egemenlik stratejisinin parçasıdır.

Bu konu daha geniş bir çerçevede Siber Dayanıklılık Nedir? rehberinde ele alınmaktadır.

KVKK ve Veri Egemenliği Arasındaki İlişki Nedir?

KVKK doğrudan "veri egemenliği" terimini tanımlamaz. Ancak kişisel verilerin hukuka uygun işlenmesi, korunması ve yurt dışına aktarılması için getirdiği kurallar veri egemenliği kararlarını doğrudan etkiler.

Türkiye'de yerleşik bir veri sorumlusu, kişisel veriyi yabancı bir bulut, SaaS, destek, yedekleme veya analiz hizmetine aktarıyorsa KVKK'nın yurt dışına aktarım hükümlerini değerlendirmelidir.

Kişisel verinin yurt dışında saklanması, işlenmesi veya yurt dışındaki bir alıcıya aktarılması, yalnızca teknik bir hizmet satın alımı değildir. Aynı zamanda uygun hukuki aktarım mekanizmasının kurulmasını gerektirebilir.

KVKK'da Yurt Dışına Veri Aktarımı Nasıl Düzenleniyor?

KVKK'nın 9. maddesinde 2024 yılında yapılan değişiklik sonrasında yurt dışına kişisel veri aktarımı üç aşamalı bir sistemle düzenlenmektedir.

Güncel değerlendirme sırası şöyledir:

1. Yeterlilik kararının bulunup bulunmadığının kontrol edilmesi
2. Yeterlilik kararı yoksa uygun güvencelerden birinin sağlanması
3. Yeterlilik kararı ve uygun güvence yoksa yalnızca arızi aktarım istisnalarının değerlendirilmesi

1. Yeterlilik Kararı

Kişisel Verileri Koruma Kurulu, bir ülke, ülke içindeki belirli sektör veya uluslararası kuruluş hakkında yeterlilik kararı verebilir.

Yeterlilik kararı bulunduğunda, KVKK'nın 5. veya 6. maddesindeki uygun işleme şartlarından birinin de mevcut olması kaydıyla veri aktarımı gerçekleştirilebilir.

2. Uygun Güvenceler

Yeterlilik kararı bulunmuyorsa, ilgili kişinin aktarım yapılan ülkede haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi kaydıyla uygun güvencelerden biri kullanılabilir.

KVKK kapsamında başlıca uygun güvence yöntemleri şunlardır:

• Kamu kurumları arasında uluslararası sözleşme niteliğinde olmayan anlaşma ve Kurul izni
• Çok uluslu şirket grupları için bağlayıcı şirket kuralları ve Kurul onayı
• Kurul tarafından yayımlanan standart sözleşmeler
• Yeterli korumayı sağlayan yazılı taahhütname ve Kurul izni

Standart Sözleşme

Standart sözleşmeler veri sorumlusu ve veri işleyen rollerine göre dört farklı aktarım modeli için hazırlanmıştır:

• Veri sorumlusundan veri sorumlusuna
• Veri sorumlusundan veri işleyene
• Veri işleyenden veri işleyene
• Veri işleyenden veri sorumlusuna

Standart sözleşmenin imzalarının tamamlanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilmesi gerekir.

3. Arızi Aktarım Halleri

Yeterlilik kararı veya uygun güvence bulunmuyorsa, yalnızca düzenli olmayan, süreklilik göstermeyen ve nadiren gerçekleşen arızi aktarımlar için Kanunda sayılan istisnalar değerlendirilebilir.

İlgili kişinin olası riskler hakkında bilgilendirilerek verdiği açık rıza da bu arızi aktarım hallerinden biridir.

Bu nedenle açık rıza, sürekli kullanılan global SaaS veya bulut altyapılarındaki düzenli veri akışlarının otomatik çözümü olarak değerlendirilmemelidir.

Güncel resmi dokümanlara Kişisel Verileri Koruma Kurumunun Yurt Dışına Aktarım sayfasından ulaşılabilir.

Veriyi Türkiye'de Tutmak KVKK Uyumunu Otomatik Olarak Sağlar mı?

Hayır. Veriyi Türkiye'de tutmak yurt dışına aktarım riskini azaltabilir ve uyum sürecini sadeleştirebilir, ancak tek başına KVKK uyumluluğu sağlamaz.

Türkiye'de saklanan kişisel veriler için de aşağıdaki yükümlülükler devam eder:

• Hukuka uygun veri işleme şartının belirlenmesi
• Aydınlatma yükümlülüğünün yerine getirilmesi
• Amaçla bağlantılı ve ölçülü veri işleme
• Doğru saklama ve imha sürelerinin belirlenmesi
• Erişim yetkilerinin sınırlandırılması
• Teknik ve idari güvenlik tedbirlerinin uygulanması
• Veri işleyenlerle uygun sözleşmelerin kurulması
• İhlal tespit ve bildirim süreçlerinin hazırlanması
• İlgili kişi başvurularının yönetilmesi
• Log ve denetim kayıtlarının tutulması

Ayrıca veri Türkiye'de depolansa bile yurt dışındaki destek ekibi, alt işleyen veya yönetim platformunun veriye erişebildiği mimariler yurt dışına aktarım açısından ayrıca değerlendirilmelidir.

Veri Türkiye'deyse Hangi Durumlarda Yine Yurt Dışı Aktarım Riski Oluşabilir?

Verinin depolama katmanının Türkiye'de olması, veri yaşam döngüsünün tamamının Türkiye'de kaldığı anlamına gelmez.

Aşağıdaki durumlar yurt dışı aktarım veya yabancı yargı riski açısından incelenmelidir:

• Yurt dışındaki destek ekibinin üretim sistemine uzaktan erişmesi
• Logların yabancı SIEM veya izleme platformuna gönderilmesi
• Hata kayıtlarında kişisel veri bulunması
• Yedeklerin yabancı bulut bölgesinde saklanması
• Felaket kurtarma replikalarının yurt dışında tutulması
• Kimlik doğrulama servisinin yurt dışında çalışması
• E-posta, SMS veya çağrı merkezi sağlayıcısının yurt dışında olması
• AI veya LLM servisine gerçek müşteri verisi gönderilmesi
• Yurt dışındaki alt işleyenin veriye erişebilmesi
• Metadata ve telemetri verilerinin global sistemlere aktarılması
• Şifreleme anahtarlarının yabancı sağlayıcı kontrolünde bulunması

Sağlayıcı değerlendirmesi yapılırken veri tabanı lokasyonu kadar bu ikincil veri akışları da haritalanmalıdır.

Veri Egemenliğinin Teknik Katmanları Nelerdir?

Veri egemenliği, tek bir depolama kararından değil, veri düzlemi, kontrol düzlemi, kimlik, anahtar, yedekleme ve operasyon katmanlarının birlikte yönetilmesinden oluşur.

1. Veri Düzlemi - Data Plane

Uygulama verisinin, veri tabanlarının, dosyaların ve nesne depolama alanlarının bulunduğu katmandır.

Temel soru, asıl verinin hangi fiziksel lokasyonda saklandığıdır.

2. Kontrol Düzlemi - Control Plane

Bulut kaynaklarının oluşturulduğu, silindiği, yapılandırıldığı ve yetkilendirildiği yönetim katmanıdır.

Veri Türkiye'de olsa bile kontrol düzlemi yurt dışında çalışabilir.

3. Kimlik Düzlemi

Kullanıcı, yönetici ve servis hesaplarının kimlik doğrulama ve yetkilendirme süreçlerini kapsar.

Üretim ve yedekleme sistemlerinin aynı yabancı kimlik sağlayıcısına bağımlı olması egemenlik ve dayanıklılık riski yaratabilir.

4. Şifreleme Anahtarı Katmanı

Verinin şifreli olması önemlidir. Ancak anahtarı kim yönetiyorsa veriye erişim üzerinde önemli ölçüde kontrol sahibidir.

Müşteri kontrollü anahtarlar, HSM kullanımı ve anahtarların belirli ülkede tutulması veri kontrolünü güçlendirebilir.

5. Log ve Metadata Katmanı

Loglar, IP adresleri, kullanıcı kimlikleri, dosya adları, işlem zamanları ve hata kayıtları kişisel veya hassas veri içerebilir.

Asıl veri Türkiye'de tutulurken logların global izleme platformuna gönderilmesi veri akışında görünmeyen bir boşluk oluşturabilir.

6. Yedekleme Katmanı

Yedekler üretim verisinin tam veya kısmi kopyalarıdır. Bu nedenle üretim verisi için uygulanan egemenlik şartları yedekler için de değerlendirilmelidir.

Yönetilen yedekleme modelinin kapsamı için BackupaaS Nedir? rehberi incelenebilir.

7. Felaket Kurtarma Katmanı

Felaket kurtarma ortamında çalışan replika, asıl sistemle aynı kişisel ve kritik verileri içerebilir.

DR mimarisinin lokasyonu ve operasyon modeli için DRaaS Nedir? içeriği tamamlayıcıdır.

8. Destek ve Operasyon Katmanı

Sistem yöneticileri, bakım ekipleri, yazılım geliştiriciler ve üçüncü taraf destek personelinin hangi ülkelerden erişebildiği belgelenmelidir.

Şifreleme Veri Egemenliği Sorununu Çözer mi?

Şifreleme veri güvenliğini güçlendirir, ancak tek başına veri egemenliği veya yurt dışı aktarım sorununu ortadan kaldırmaz.

Şifrelenmiş veri de kişisel veri niteliğini koruyabilir. Ayrıca veriyi işleyen platform aşağıdaki bilgilere erişmeye devam edebilir:

• Kullanıcı hesapları
• IP adresleri
• İşlem zamanları
• Dosya adları
• Veri hacmi
• Erişim logları
• Şifreleme anahtarları

Şifreleme mimarisinde şu sorular sorulmalıdır:

• Anahtarları kim üretiyor?
• Anahtarlar hangi ülkede tutuluyor?
• Sağlayıcı anahtarlara erişebiliyor mu?
• Müşteri anahtarını iptal edebiliyor mu?
• Yedekleme ve DR kopyaları aynı anahtarı mı kullanıyor?
• Anahtar yönetim servisi kullanılamazsa veri erişilebilir mi?

Sovereign Cloud - Egemen Bulut Nedir?

Sovereign cloud, veri, yönetim, kimlik, anahtar, operasyon ve hukuki kontrol katmanlarının belirli bir egemenlik politikası altında çalışacak şekilde tasarlandığı bulut modelidir.

Egemen bulut yalnızca "yerel region" anlamına gelmez. Güçlü bir sovereign cloud modeli aşağıdaki bileşenleri birlikte ele alır:

• Verinin belirlenen ülke sınırları içinde tutulması
• Yönetim ve destek erişimlerinin sınırlandırılması
• Yerel tüzel kişi ve sözleşme yapısı
• Müşteri kontrollü veya yerel anahtar yönetimi
• Yerel yedekleme ve felaket kurtarma altyapısı
• Alt işleyenlerin ve veri akışlarının şeffaflığı
• Veri dışa aktarma ve sağlayıcıdan çıkış kabiliyeti
• Yerel operasyon ve denetim desteği

Sovereign cloud ile private cloud aynı kavram değildir. Private cloud kaynakların yalnızca bir şirkete tahsis edilmesiyle ilgilidir. Sovereign cloud ise ağırlıklı olarak yargı yetkisi, veri lokasyonu ve operasyonel kontrolle ilgilenir.

Bir Özel Bulut mimarisi, yerli veri merkezi, yerel operasyon ve müşteri kontrollü güvenlik katmanlarıyla birleştirildiğinde egemenlik hedeflerini destekleyebilir.

Global Bulut Sağlayıcısının Türkiye Bölgesi Veri Egemenliği Sağlar mı?

Türkiye bölgesinin kullanılması veri ikametgahını destekler, ancak tam veri egemenliğinin sağlandığını tek başına kanıtlamaz.

Aşağıdaki konular ayrıca incelenmelidir:

• Hizmeti sunan sözleşme tarafı hangi ülkede?
• Ana şirket hangi hukuk düzenine tabi?
• Yönetim ve destek personeli nereden erişiyor?
• Control plane hangi ülkede çalışıyor?
• Loglar ve metadata nerede tutuluyor?
• Yedekler ve replikalar hangi bölgelerde?
• Şifreleme anahtarları kim tarafından yönetiliyor?
• Alt işleyenler hangi ülkelerde?
• Hukuki veri talepleri nasıl yönetiliyor?

Global bulut kullanımı otomatik olarak uygunsuz değildir. Ancak bölge seçimi, sözleşme ve teknik mimari birlikte değerlendirilmelidir.

Veri Egemenliği Altyapı Modeli Seçimini Nasıl Etkiler?

Veri egemenliği hedefi, on-premise, colocation, private cloud, public cloud, hybrid cloud ve SaaS seçimlerini doğrudan etkiler.

IaaS modelinin teknik ve ticari çerçevesi için IaaS Nedir? içeriği incelenebilir.

Veri Egemenliği Yedekleme Stratejisini Nasıl Etkiler?

Birincil verinin Türkiye'de tutulup yedeklerin yurt dışında saklanması, veri egemenliği zincirinde önemli bir boşluk oluşturabilir.

Yedekleme değerlendirmesinde aşağıdaki sorular yanıtlanmalıdır:

• Yedekler hangi ülkede tutuluyor?
• Yedek depolama altyapısının sahibi kim?
• Yedeklere hangi ülkelerdeki ekipler erişebiliyor?
• Yedekler immutable mı?
• Şifreleme anahtarlarını kim kontrol ediyor?
• Yedek verisi başka bölgelere çoğaltılıyor mu?
• Hizmet sona erdiğinde yedekler nasıl siliniyor?
• Yedekler açık formatta dışarı aktarılabiliyor mu?

Yedeklerin saldırganlar tarafından değiştirilememesi için Immutable Backup Nedir? rehberi de değerlendirilmelidir.

Felaket Kurtarma Lokasyonu Veri Egemenliği Açısından Neden Önemlidir?

Felaket kurtarma replikaları, üretim sisteminin tam veya tama yakın kopyalarını içerdiği için aynı egemenlik ve uyumluluk şartlarına tabi olabilir.

DR ortamı değerlendirilirken şunlar kontrol edilmelidir:

• DR veri merkezinin ülkesi ve şehri
• Üretim ve DR lokasyonlarının yeterli fiziksel ayrışması
• DR ortamının veri işleyenleri
• Failover sırasında verinin geçtiği ağ rotaları
• DR ortamındaki yönetici hesapları
• Failback sırasında gerçekleşen veri transferi
• DR testlerinde kullanılan gerçek veya maskelenmiş veriler

Yerel DR tasarımı, veriyi ülke içinde tutarken üretim ve kurtarma ortamları arasında fiziksel dayanıklılık oluşturabilir.

Yapay Zeka ve LLM Kullanımı Veri Egemenliğini Nasıl Etkiler?

Kurumsal verinin harici yapay zeka veya LLM servislerine gönderilmesi, yeni bir veri işleme ve olası yurt dışı aktarım katmanı oluşturabilir.

AI servislerinde şu sorular sorulmalıdır:

• Prompt içeriği hangi ülkede işleniyor?
• Prompt ve çıktılar ne kadar süre saklanıyor?
• Veri model eğitimi için kullanılıyor mu?
• Model sağlayıcısının alt işleyenleri kimler?
• Log ve abuse monitoring verileri nerede tutuluyor?
• Veri bölgesi seçilebiliyor mu?
• Private endpoint veya dedicated model seçeneği var mı?
• Veri anonimleştirme veya maskeleme uygulanıyor mu?

Hassas, kişisel veya ticari sır niteliğindeki verilerin genel amaçlı AI servislerine doğrudan gönderilmesi yerine veri sınıflandırması, maskeleme ve onay mekanizmaları uygulanmalıdır.

Veri Egemenliği Hangi Sektörler İçin Daha Kritiktir?

Veri egemenliği her şirket için önemlidir, ancak hassas, stratejik veya yoğun şekilde regüle edilen veri işleyen sektörlerde daha kritik hale gelir.

Finans ve Ödeme Sistemleri

Finansal işlem verileri, müşteri kimlik bilgileri, hesap hareketleri, denetim kayıtları ve ödeme verileri yüksek hassasiyete sahiptir.

Finans kuruluşları KVKK'nın yanında kendi sektörel düzenlemelerini de ayrı olarak değerlendirmelidir.

Sağlık

Sağlık verileri özel nitelikli kişisel veridir. Hasta kayıtları, laboratuvar sonuçları, görüntüler ve sağlık geçmişi daha yüksek güvenlik ve erişim kontrolü gerektirir.

Kamu ve Kritik Altyapı

Kamu hizmetleri, enerji, ulaşım, savunma ve kritik altyapı sistemleri ulusal güvenlik ve hizmet sürekliliği açısından stratejik veri işleyebilir.

Telekomünikasyon

Abone, trafik, iletişim ve lokasyon verileri kişisel veri koruma ve sektörel düzenlemeler açısından dikkatle yönetilmelidir.

E-ticaret ve Perakende

Müşteri hesapları, siparişler, ödeme süreçleri, davranış verileri ve sadakat programları geniş kişisel veri hacmi oluşturur.

Üretim ve Endüstri

Üretim reçeteleri, ürün tasarımları, tedarik zinciri verileri ve operasyon teknolojisi kayıtları kişisel veri olmasa bile ticari sır ve stratejik varlık niteliği taşıyabilir.

Hukuk, Danışmanlık ve Profesyonel Hizmetler

Müvekkil dosyaları, sözleşmeler, dava belgeleri ve ticari sırlar gizlilik ve egemenlik açısından yüksek riskli veri kategorileridir.

Veri Egemenliği Sağlayıcı Sözleşmelerini Nasıl Etkiler?

Veri egemenliği teknik mimari kadar sözleşme, DPA, alt işleyen ve hizmetten çıkış hükümleriyle de yönetilir.

Sağlayıcı sözleşmesinde aşağıdaki konular açıkça yer almalıdır:

• Verinin saklanacağı ülke ve veri merkezi
• Yedeklerin ve DR kopyalarının lokasyonu
• Veri sorumlusu ve veri işleyen rolleri
• Alt işleyenlerin listesi ve değişiklik bildirimleri
• Uzaktan destek ve yönetim lokasyonları
• Veri aktarım mekanizması
• Şifreleme ve anahtar yönetimi
• Yetkili personelin erişim sınırları
• Denetim ve raporlama hakları
• Veri ihlali bildirim süreleri
• Hizmet sona erdiğinde veri dışa aktarma
• Verinin güvenli silinmesi ve silme kanıtı
• Sağlayıcı değişikliği ve exit planı
• Uygulanacak hukuk ve uyuşmazlık çözümü

Veri Egemenliği Sağlayıcısı Seçerken Hangi Sorular Sorulmalıdır?

Sağlayıcı seçiminde yalnızca "veriler Türkiye'de mi?" sorusu yeterli değildir. Veri, erişim, yönetim, anahtar, yedek ve sözleşme katmanları birlikte değerlendirilmelidir.

Veri Lokasyonu

• Birincil veri hangi şehir ve veri merkezinde saklanıyor?
• Yedekler hangi lokasyonda tutuluyor?
• DR replikaları nerede saklanıyor?
• Metadata ve loglar başka ülkeye aktarılıyor mu?
• Veri otomatik olarak başka bölgelere çoğaltılıyor mu?

Kurumsal ve Hukuki Yapı

• Sözleşme hangi tüzel kişiyle imzalanıyor?
• Sağlayıcının ana şirketi hangi ülkeye tabi?
• Veri işleyen ve alt işleyenler kimler?
• Yurt dışına aktarım için hangi mekanizma kullanılıyor?
• Standart sözleşme bildiriminden kim sorumlu?

Erişim ve Operasyon

• Veriye hangi ülkelerdeki çalışanlar erişebilir?
• Uzaktan destek erişimleri nasıl onaylanıyor?
• Erişimler loglanıyor ve düzenli denetleniyor mu?
• Yerel operasyon ekibi bulunuyor mu?
• Ayrıcalıklı hesaplarda MFA ve onay mekanizması var mı?

Şifreleme ve Anahtarlar

• Veri aktarımda ve depoda şifreleniyor mu?
• Anahtarları kim kontrol ediyor?
• Müşteri tarafından yönetilen anahtar seçeneği var mı?
• HSM hangi ülkede bulunuyor?
• Anahtar iptal edildiğinde sağlayıcı veriye erişebilir mi?

Yedekleme ve Dayanıklılık

• Yedekler Türkiye'de tutulabiliyor mu?
• Yedekler immutable mı?
• Üretim ve yedekleme kimlikleri ayrıştırılmış mı?
• Restore testleri düzenli yapılıyor mu?
• DR lokasyonu üretimden yeterince ayrılmış mı?

Taşınabilirlik ve Exit Planı

• Veri açık ve kullanılabilir formatta dışarı aktarılabiliyor mu?
• Dışa aktarma için ek ücret uygulanıyor mu?
• Veri çıkışının tamamlanması ne kadar sürüyor?
• Sözleşme sona erdiğinde kopyalar ne zaman siliniyor?
• Silme işlemi için kanıt veya rapor sunuluyor mu?

Kurumsal Veri Egemenliği Stratejisi Nasıl Oluşturulur?

Veri egemenliği stratejisi, veri merkezini seçmekle değil, kurumun tüm veri akışlarını, hukuki yükümlülüklerini ve kontrol ihtiyaçlarını haritalamakla başlar.

Adım 1: Veri Envanteri Oluşturun

Kişisel veri, özel nitelikli veri, ticari sır, fikri mülkiyet, finansal kayıt ve operasyon verileri sınıflandırılmalıdır.

Adım 2: Veri Akışlarını Haritalayın

Verinin toplandığı, işlendiği, aktarıldığı, yedeklendiği ve silindiği tüm sistemler belirlenmelidir.

Adım 3: Yargı Yetkisi Matrisi Oluşturun

Her sistem için veri lokasyonu, sağlayıcı merkezi, alt işleyenler, destek ülkeleri ve uygulanacak hukuk kayıt altına alınmalıdır.

Adım 4: Yurt Dışı Aktarımları Belirleyin

Depolama, API, destek, log, backup, AI ve SaaS akışları ayrı ayrı değerlendirilmelidir.

Adım 5: Hukuki Aktarım Mekanizmasını Kurun

Yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları, taahhütname veya arızi aktarım şartlarından hangisinin uygulanacağı belirlenmelidir.

Adım 6: Hedef Veri Yerleşimini Tasarlayın

Hangi verilerin Türkiye'de, hangilerinin yurt dışında tutulabileceği veri sınıfı ve iş gereksinimine göre belirlenmelidir.

Adım 7: Kontrol ve Anahtar Modelini Belirleyin

Yönetici erişimleri, ayrıcalıklı hesaplar, şifreleme anahtarları ve kontrol düzlemi değerlendirilmelidir.

Adım 8: Yedek ve DR Zincirini Tamamlayın

Üretim verisiyle aynı egemenlik şartları yedek ve felaket kurtarma kopyalarına da uygulanmalıdır.

Adım 9: Sağlayıcı Sözleşmelerini Güncelleyin

DPA, alt işleyen, lokasyon, denetim, veri ihlali, dışa aktarma ve silme hükümleri netleştirilmelidir.

Adım 10: Sürekli İzleme Kurun

Yeni SaaS kullanımı, alt işleyen değişikliği, region değişimi ve yeni veri akışları düzenli olarak izlenmelidir.

Veri Egemenliği İçin Hangi KPI'lar Takip Edilmelidir?

• Veri envanteri kapsamı: Envantere alınan sistemlerin toplam sistemlere oranı
• Lokasyonu doğrulanan veri oranı: Fiziksel depolama yeri bilinen veri kümelerinin oranı
• Onaylı aktarım kapsamı: Uygun hukuki mekanizması bulunan yurt dışı aktarımların oranı
• Alt işleyen görünürlüğü: Güncel alt işleyen listesi bulunan sağlayıcıların oranı
• Yerel yedekleme kapsamı: Türkiye'de tutulan kritik yedeklerin oranı
• Yerel DR kapsamı: Türkiye'de bulunan kritik felaket kurtarma kopyalarının oranı
• Müşteri kontrollü anahtar oranı: Müşteri kontrolündeki anahtarlarla korunan kritik verilerin oranı
• Yurt dışı yönetici erişimi: Yurt dışından yetkili erişime açık kritik sistem sayısı
• Standart sözleşme bildirim süresi: İmza ile Kurum bildirimi arasındaki süre
• Exit test başarı oranı: Sağlayıcıdan veri çıkarma testlerinin başarı oranı
• Silme doğrulama süresi: Hizmet sonlandırıldıktan sonra silme kanıtının alınma süresi
• Veri akışı inceleme sıklığı: Veri akışlarının güncellendiği periyot

Veri Egemenliği Projelerinde Sık Yapılan Hatalar

1. Veri Egemenliği ile Veri İkametgahını Aynı Görmek

Verinin Türkiye'de bulunması önemli bir avantajdır, ancak sağlayıcının yargı alanı ve uzaktan erişimler ayrıca incelenmelidir.

2. Yalnızca Birincil Veriyi Değerlendirmek

Yedekler, DR replikaları, loglar, metadata ve test ortamları kapsam dışında bırakılmamalıdır.

3. Açık Rızayı Sürekli Aktarımın Varsayılan Çözümü Sanmak

Güncel KVKK rejiminde açık rıza, uygun güvence bulunmayan durumlarda yalnızca arızi aktarım şartları içinde değerlendirilir.

4. Yurt Dışı Destek Erişimini Gözden Kaçırmak

Veri Türkiye'de olsa bile yabancı destek personelinin erişimi ayrıca analiz edilmelidir.

5. Şifrelemenin Tüm Hukuki Riski Ortadan Kaldırdığını Varsaymak

Şifreleme güçlü bir güvenlik kontrolüdür, ancak veri aktarımı ve uygulanacak hukuk değerlendirmesinin yerini almaz.

6. Anahtar Kontrolünü Sorgulamamak

Verinin şifreli olması kadar anahtarların kim tarafından ve nerede yönetildiği de önemlidir.

7. DPA'yı Standart Bir Evrak Olarak Görmek

Veri işleme anlaşması gerçek veri akışını, alt işleyenleri, lokasyonu ve erişim modelini doğru şekilde yansıtmalıdır.

8. Sağlayıcıdan Çıkış Planı Hazırlamamak

Verinin dışarı alınamadığı altyapı, teknik ve hukuki bağımlılık yaratır.

9. Her Veriyi Zorunlu Olmadığı Halde Yerelleştirmek

Veri egemenliği risk bazlı tasarlanmalıdır. Tüm veriyi aynı koruma ve lokasyon seviyesinde tutmak gereksiz maliyet yaratabilir.

10. Hukuk ve IT Ekiplerini Ayrı Çalıştırmak

Hukuki aktarım mekanizması teknik veri akışını yansıtmıyorsa kağıt üzerinde uyumlu ancak fiilen hatalı bir yapı oluşabilir.

Türkiye'de Yerli Veri Merkezi Kullanmanın Avantajları Nelerdir?

Türkiye'de veri merkezi kullanımı, veri ikametgahını netleştirir, yurt dışı aktarım kapsamını azaltabilir ve denetim ile operasyon süreçlerini sadeleştirebilir.

Başlıca avantajlar şunlardır:

• Verinin fiziksel lokasyonunun açık biçimde belirlenmesi
• Yurt dışı aktarım ihtiyacının azaltılması
• Yerel hukuk ve sözleşme yapısı
• Yerel destek ve operasyon ekiplerine erişim
• Denetim ve fiziksel inceleme kolaylığı
• Daha düşük ağ gecikmesi
• Yerel bağlantı ve operatör seçenekleri
• Yerli yedekleme ve DR mimarisi kurabilme
• Veri taşınabilirliğinin daha kontrollü yönetilmesi

Ancak veri merkezinin Türkiye'de olması sağlayıcının güvenlik, süreklilik ve hizmet kalitesinin otomatik olarak yeterli olduğu anlamına gelmez.

Fiziksel güvenlik, enerji, soğutma, ağ yedekliliği, sertifikasyon, operasyon, yedekleme ve SLA şartları ayrıca değerlendirilmelidir.

Carrier-Neutral Veri Merkezi Veri Egemenliğini Nasıl Destekler?

Carrier-neutral veri merkezi, şirketin verisini Türkiye'de tutarken bağlantı sağlayıcısı, ağ rotası ve yedeklilik üzerinde daha fazla kontrol kurmasına yardımcı olur.

Tek operatöre bağlı olmayan yapı şu avantajları sağlayabilir:

• Birden fazla internet servis sağlayıcısı kullanımı
• Farklı fiziksel fiber güzergahları
• Operatör arızasına karşı bağlantı yedekliliği
• Private cloud ve colocation arasında doğrudan bağlantı
• Yerel trafik için daha kontrollü ağ rotaları
• Sağlayıcı bağımlılığının azaltılması

Bu modelin ayrıntıları için Carrier-Neutral Veri Merkezi Nedir? rehberi incelenebilir.

Ixpanse ile Veri Egemenliği Yaklaşımı

Ixpanse, veri egemenliğini yalnızca verinin Türkiye'de tutulması olarak değil, veri merkezi, bağlantı, private cloud, yedekleme, felaket kurtarma ve yönetilen operasyon katmanlarının birlikte tasarlanması olarak ele alır.

Ankara'da konumlanan carrier-neutral veri merkezi altyapısı, şirketlerin birincil sistemlerini, özel bulut iş yüklerini, yedeklerini ve felaket kurtarma kopyalarını Türkiye içinde konumlandırabilecekleri mimarilerin kurulmasını destekler.

Ixpanse'in Sunucu Barındırma hizmeti, müşteri donanımının profesyonel veri merkezi ortamında ve yerel lokasyonda çalıştırılmasına imkan verir.

Özel Bulut hizmeti, iş yüklerinin Türkiye'deki ölçeklenebilir ve özelleştirilebilir altyapıda çalıştırılmasını destekler.

Veri Koruma ve Yönetilen Hizmetler katmanları ise yedekleme, felaket kurtarma, izleme ve günlük altyapı operasyonunun aynı mimari içinde ele alınmasına yardımcı olur.

Ixpanse yaklaşımında veri egemenliği mimarisi aşağıdaki bileşenlerle tasarlanabilir:

• Türkiye'de birincil veri barındırma
• Türkiye'de private cloud ve IaaS
• Türkiye'de yedekleme ve immutable saklama
• Türkiye'de felaket kurtarma replikaları
• Carrier-neutral ve çoklu operatör bağlantısı
• Müşteri ihtiyacına göre erişim ve ağ izolasyonu
• Yerel operasyon ve yönetilen hizmet desteği
• Veri lokasyonu ve altyapı raporlaması

Veri egemenliği tek başına bir ürün değildir. Veri sınıflandırması, hukuki aktarım mekanizması, sözleşmeler, erişim kontrolü ve altyapı tasarımının birlikte çalıştığı kurumsal bir programdır.

Veri egemenliği, Türkiye'de veri barındırma, private cloud, BackupaaS veya DRaaS ihtiyaçlarınızı değerlendirmek için Ixpanse uzman ekibiyle iletişime geçebilirsiniz.

Sonuç

Veri egemenliği, verinin yalnızca fiziksel olarak nerede saklandığını değil, hangi hukuk düzenlerinin, sağlayıcıların ve yönetim katmanlarının kontrolü altında bulunduğunu değerlendiren bütünsel bir yaklaşımdır.

• Veri egemenliği, veri ikametgahı ve veri yerelleştirmesi farklı kavramlardır.
• Verinin Türkiye'de tutulması önemli bir avantajdır, ancak tek başına tam uyumluluk veya egemenlik sağlamaz.
• KVKK'nın yurt dışına aktarım rejimi 1 Haziran 2024 tarihinde değişmiştir.
• Güncel rejim yeterlilik kararı, uygun güvenceler ve arızi aktarım hallerinden oluşur.
• Standart sözleşmeler imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilmelidir.
• Birincil veri kadar yedek, DR, log, metadata ve destek erişimleri de değerlendirilmelidir.
• Şifreleme önemlidir, ancak anahtar kontrolü ve yargı değerlendirmesinin yerini almaz.
• Sovereign cloud yalnızca yerel region değil, yerel kontrol ve operasyon gerektirir.
• Sağlayıcıdan veri çıkarma ve güvenli silme kabiliyeti veri egemenliğinin parçasıdır.
• Yerli ve carrier-neutral veri merkezi altyapısı, yerel ve denetlenebilir mimari kurulmasını destekleyebilir.

Kurumların sorması gereken soru yalnızca "verimiz nerede?" değildir.

Asıl soru şudur: Verimize kimler, hangi ülkelerden, hangi hukuki yetkiyle ve hangi teknik kontroller altında erişebilir?

Veri Egemenliği Hakkında Sıkça Sorulan Sorular

Veri egemenliği nedir?

Veri egemenliği, verinin hangi ülke veya ülkelerin hukukuna ve kamu otoritelerinin yetkisine tabi olabileceğini belirleyen hukuki, teknik ve yönetişimsel çerçevedir.

Veri egemenliği ile data residency arasındaki fark nedir?

Data residency verinin fiziksel olarak nerede saklandığını, veri egemenliği ise hangi hukuk ve yargı alanlarının veri üzerinde yetki sahibi olabileceğini ifade eder.

Veri yerelleştirmesi nedir?

Veri yerelleştirmesi, belirli veri türlerinin mevzuat veya düzenleyici gereklilik nedeniyle ülke sınırları içinde tutulması zorunluluğudur.

Veriyi Türkiye'de tutmak KVKK uyumluluğu sağlar mı?

Tek başına sağlamaz. Yerel saklama yurt dışı aktarım riskini azaltabilir, ancak veri işleme şartları, aydınlatma, güvenlik, saklama, erişim ve imha yükümlülükleri devam eder.

Veri Türkiye'de olsa bile yurt dışına aktarım gerçekleşebilir mi?

Yurt dışındaki destek ekibi, alt işleyen, log platformu, yedekleme sistemi veya yönetim servisi veriye erişiyorsa veri akışı yurt dışına aktarım açısından ayrıca değerlendirilmelidir.

KVKK'nın yurt dışına aktarım rejimi ne zaman değişti?

KVKK'nın 9. maddesindeki güncel yurt dışı aktarım düzenlemesi 1 Haziran 2024 tarihinde yürürlüğe girdi.

KVKK kapsamında yurt dışına veri aktarımı nasıl yapılabilir?

Aktarım yeterlilik kararı, uygun güvenceler veya bunların bulunmadığı sınırlı durumlarda arızi aktarım istisnalarından biri üzerinden gerçekleştirilebilir.

Standart sözleşme nedir?

Standart sözleşme, Kişisel Verileri Koruma Kurulu tarafından yayımlanan ve yurt dışına veri aktarımında uygun güvence sağlayabilen sözleşme modelidir.

Standart sözleşme Kuruma ne zaman bildirilmelidir?

Standart sözleşme, tarafların imzalarının tamamlanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilmelidir.

Açık rıza sürekli bulut veri aktarımı için yeterli midir?

Güncel rejimde açık rıza, yeterlilik kararı veya uygun güvence bulunmayan durumlarda arızi ve süreklilik göstermeyen aktarımlar için değerlendirilen istisnalardan biridir.

Global bir bulut sağlayıcısının Türkiye bölgesi veri egemenliği sağlar mı?

Türkiye bölgesi veri ikametgahını destekler. Ancak sağlayıcının yargı alanı, control plane, destek erişimleri, alt işleyenler, yedekler ve anahtar yönetimi ayrıca incelenmelidir.

Sovereign cloud nedir?

Sovereign cloud, veri, yönetim, kimlik, anahtar ve operasyon katmanlarının belirli bir ülke veya egemenlik politikası altında kontrol edildiği bulut modelidir.

Private cloud ile sovereign cloud aynı şey midir?

Hayır. Private cloud kaynakların tek bir kuruma tahsis edilmesiyle, sovereign cloud ise veri lokasyonu, yargı yetkisi ve kontrol modeliyle ilgilenir.

Şifreleme veri egemenliğini garanti eder mi?

Hayır. Şifreleme veri güvenliğini artırır, ancak veri aktarımı, sağlayıcı yargısı, metadata ve anahtar kontrolü konularını tek başına çözmez.

Yedekler için veri egemenliği gerekli midir?

Evet. Yedekler üretim verisinin kopyalarını içerdiği için lokasyon, erişim, yurt dışı aktarım, şifreleme ve silme şartları açısından ayrıca değerlendirilmelidir.

Felaket kurtarma replikaları da kapsamda mıdır?

Evet. DR replikaları genellikle üretim sisteminin tam veya tama yakın kopyalarıdır ve aynı veri koruma gereksinimlerine tabi olabilir.

AI servisleri veri egemenliğini etkiler mi?

Evet. Prompt, çıktı, log ve metadata yabancı bir AI platformunda işleniyor veya saklanıyorsa yeni bir yurt dışı veri akışı oluşabilir.

Veri egemenliği yalnızca kişisel veriler için mi önemlidir?

Hayır. Ticari sırlar, fikri mülkiyet, kritik altyapı verileri, üretim bilgileri ve stratejik şirket verileri de egemenlik açısından önemlidir.

Ixpanse veri egemenliğini nasıl destekler?

Ixpanse, Türkiye'deki carrier-neutral veri merkezi, colocation, private cloud, veri koruma, BackupaaS, DRaaS ve yönetilen hizmet katmanlarıyla yerel ve kontrol edilebilir altyapı mimarilerinin kurulmasını destekler.

İlgili İçerikler

• IaaS Nedir? Infrastructure as a Service Kurumsal Rehberi
• Carrier-Neutral Veri Merkezi Nedir?
• BackupaaS Nedir?
• DRaaS Nedir?
• Immutable Backup Nedir?
• Siber Dayanıklılık Nedir?
• Cloud FinOps Nedir?
• BT Maliyetlerini Optimize Etmek
• Sunucu Barındırma Hizmetleri
• Özel Bulut Hizmetleri
• Veri Koruma Hizmetleri
• Yönetilen Hizmetler

Resmi Kaynaklar

• Kişisel Verileri Koruma Kurumu - Yurt Dışına Aktarım
• Kişisel Verilerin Yurt Dışına Aktarılması Rehberi
• Yurt Dışına Aktarım Standart Sözleşmeleri
• Standart Sözleşmelerde Dikkat Edilecek Hususlar