KVKK açısından bulut ve kendi sunucu: veri nerede durur

Veri yerelliği, verinin belirli bir ülkenin sınırları içinde tutulması demektir. KVKK'nın odağı ise başka yerdedir: verinin hangi şartla işlendiği, kişinin bilgilendirilip bilgilendirilmediği, verinin nasıl korunduğu ve kime aktarıldığı. Bulut sağlayıcının sunucuları yurt dışındaysa, veri o ülkeye aktarılmış sayılabilir ve bu aktarım kanundaki ayrı şartlara tabidir. 2024'te yürürlüğe giren kanun değişikliğiyle yurt dışı aktarım kademeli bir düzene geçti: önce Kurulun yeterlilik kararı, bu yoksa standart sözleşme ya da bağlayıcı şirket kuralları gibi uygun güvenceler, bunlar da yoksa sınırlı arızi hâller; açık rıza artık yalnız bu son kademede dayanak olabilir.

Örnek senaryo: Kayseri'de bir mobilya üreticisini düşünün. Bankacılık ya da ödeme hizmeti gibi özel düzenlemeye tabi bir sektörde değil. Onun için asıl soru "bulut mu, kendi sunucu mu" değil, "bulut sağlayıcının sunucusu nerede ve veriyi kim görebiliyor" sorusudur. Bazı sektörlerde ise ayrı düzenlemeler verinin yurt içinde tutulmasını isteyebilir; sektörünüze özel kuralları ayrıca kontrol edin.

Veri yerelliği bu yüzden tek başına bir karar ölçütü değildir. Türkiye'deki bir sunucuda duran ama herkesin erişebildiği bir veri, iyi korunan bir veriden daha büyük risk taşıyabilir. Yer, korumanın yalnız bir parçasıdır.

Veriyi buluta taşımak sorumluluğu sağlayıcıya devretmez. Muhasebe müdürü bordroyu buluttaki bir İK yazılımına yüklediğinde, bordro hâlâ şirketin sorumluluğundadır. Bir sızıntı olduğunda çalışan ilk olarak işverene sorar.

Kanun, veri sorumlusunu veriyi kendi adına işleyen kişiyle güvenlik tedbirleri konusunda birlikte sorumlu tutar; bu ortak sorumluluğun sınırını çizmek için veri işleyenle yazılı bir sözleşme yapılması önerilir. Sözleşme sağlayıcının veriyi hangi amaçla, hangi güvenlik tedbirleriyle işleyeceğini ve sözleşme bitince veriyle ne yapacağını yazar. Sözleşme yoksa, sorumluluğun nerede başlayıp bittiği de belirsiz kalır.

Sağlayıcı değiştirmek istediğinizde verinin nasıl geri alınacağı da bu sözleşmenin konusudur; aksi hâlde veri, sözleşmesi biten bir sağlayıcıda kalabilir.

Buluttaki yazılımın başka alt sağlayıcılar kullanıp kullanmadığı da sorulmalıdır. Uygulama bir firmada, yedek başka bir firmada, e-posta gönderimi bir başka firmada olabilir; verinin geçtiği her durak sözleşmede görünmelidir.

Kanun, veri sorumlusundan uygun güvenlik düzeyini sağlamak için teknik ve idari tedbirler almasını bekler. Kendi sunucunuzda bu tedbirlerin hepsi sizindir: kimin hangi kaydı gördüğü, erişimin kayda geçip geçmediği, yedeğin nereye alındığı, yamaların ne zaman yapıldığı.

Örnek senaryo: Bir inşaat firmasının ofisini düşünün. Sunucu merdiven altındaki bir dolapta, yedek aynı dolapta duran harici diskte. Personel dosyalarını herkes görebilir, çünkü yetki hiç tanımlanmamıştır. Veri yurt dışına çıkmaz, ama korunduğu da söylenemez.

Kendi sunucu seçeneğinin gerçek avantajı kontrolün görünürlüğüdür: sunucuya kimin girdiğini, yedeğin nerede durduğunu doğrudan görürsünüz. Bu avantaj ancak tedbirler yazılıysa ve düzenli denetleniyorsa işe yarar. Kendi sunucuya geçen bir şirketin ilk işi bu yüzden yetki tablosunu yazmaktır: hangi rol hangi kaydı görür, kim dışa aktarabilir, kim silebilir.

• Veritabanı ve dosyalar hangi ülkede, kimin altyapısında duruyor?
• Veri yurt dışındaysa aktarım hangi dayanağa, örneğin standart sözleşmeye dayanıyor?
• Yedek nereye alınıyor, şifreli mi, geri dönüş denendi mi?
• Sağlayıcının çalışanları veriye hangi durumda erişebilir ve bu erişim kayda geçiyor mu?
• Veri işleme sözleşmesi ve aydınlatma metni kurulumda hazır mı?
• Sözleşme biterse veri hangi biçimde ve nasıl teslim ediliyor?
• Bir ihlal olursa size nasıl ve ne zaman haber veriliyor?

Son soru önemsiz görünür ama değildir. Kanun, veri ihlali durumunda veri sorumlusuna Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü getirir. Sağlayıcı size geç haber verirse bu yükümlülüğü zamanında yerine getiremezsiniz; haber verme şekli bu yüzden sözleşmede yazmalıdır. Listeyi satın alma aşamasında sorun, sözleşme imzalandıktan sonra değil. Cevapların yazılı gelmesini isteyin; sözlü güvence, bir denetimde ya da bir başvuruda gösterilebilecek bir belge değildir.

Aydınlatma, hangi verinin hangi amaçla işlendiğini ve kime aktarılabileceğini kişiye anlatmaktır. Açık rıza ise her işleme için gerekmez; kanundaki diğer işleme şartlarından biri varsa rıza aranmayabilir. Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğü de barındırma yerine değil, şirketin durumuna bağlıdır ve muafiyetler vardır.

Bir müşteri, eski bir kampanya için hangi verisinin tutulduğunu sorduğunda cevabı bulmak için birkaç ayrı sistemi taramak gerekiyorsa sorun barındırmadan çok dağınıklıktadır. Veri tek kayıtta durduğunda başvuru da tek yerden cevaplanır. Dağınıklığı toparlamaya hangi işle başlanacağı KOBİ'lerde dijitalleşme yazısının konusu.

Veri sahibinin başvurusunda istenen bilgi çoğu zaman basittir: hangi verim tutuluyor, neden tutuluyor, kiminle paylaşıldı. Dağınık sistemlerde bu soruların cevabı günler süren bir aramaya dönüşebilir.

Corex360'ta giriş, cihaz, indirme ve yetki değişikliği kayıt altındadır; erişim rol bazlıdır. Kişisel veri KVKK kapsamında işlenir. Bu olguların tamamı Corex360 güvenlik ve KVKK sayfasında yazılıdır.

Erişim rol bazlıdır; bordro ve kişisel veriyi yalnız rolü izin verenler görür. Satıcıya sorulacaklar arasına dışa aktarma biçimleri ve sözleşme bitince verinin nasıl teslim edildiği de eklenmelidir. Kurumsal politikanız veriyi kendi altyapınızda tutmanızı istiyorsa ayrıntılar kendi sunucunuzda çalışma sayfasındadır. Verinin nerede tutulduğu, kime açık olduğu ve nasıl teslim edildiği sorularını demoya getirin; cevapları kendi durumunuz için birlikte yazalım.

Bu soruları hem Corex360 Bulut hem kendi sunucu seçeneği için sorun; iki seçenekte de cevabın yazılı olması gerekir.