KVKK ve Bulut Sunucu: Kişisel Veri Sorumluluğu Kimde?
KVKK açısından bulut sunucu kullanmak, kişisel verilerin bir sağlayıcının altyapısında işlenmesi demektir; bu verileri işleyen kurum genellikle veri sorumlusu, altyapıyı sunan sağlayıcı ise veri işleyen konumunda olur. 6698 sayılı Kanunun 12. maddesine göre gerekli teknik ve idari tedbirleri almak veri sorumlusunun yükümlülüğüdür; bu sorumluluk sağlayıcıya devredilerek ortadan kalkmaz.
KVKK’ya göre veri sorumlusu ve veri işleyen kimdir?
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) iki temel rol tanımlar. Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişidir.
| Rol | Kanundaki özü | Bulut sunucuda tipik karşılığı |
|---|---|---|
| Veri sorumlusu | İşleme amacını ve yöntemini belirler | Müşteri ve çalışan verilerini bulut sunucuda işleyen şirket |
| Veri işleyen | Veri sorumlusu adına ve talimatıyla veri işler | Sunucu altyapısını barındıran bulut sağlayıcısı (genellikle) |
| İlgili kişi | Kişisel verisi işlenen gerçek kişi | Müşteriler, çalışanlar, ziyaretçiler |
Rol tespiti önemlidir, çünkü aydınlatma yükümlülüğü ve ilgili kişi başvurularının yanıtlanması gibi görevler esas olarak veri sorumlusuna aittir; veri işleyen ise talimat çerçevesinde hareket eder.
Bir bulut sağlayıcısının rolü her zaman tek değildir. Sağlayıcı, sizin sunucunuzdaki içeriği yalnızca barındırdığında genellikle veri işleyen konumundadır; kendi müşteri kayıtları gibi verileri kendi amaçlarıyla işlediğinde ise o veriler bakımından kendisi veri sorumlusudur. Kesin rol, sözleşmeye ve fiili duruma göre belirlenir.
İlk pratik adım, bulut sunucuda hangi kişisel verilerin tutulduğunu bilmektir: müşteri iletişim bilgileri, çalışan kayıtları, sağlık gibi özel nitelikli veriler. Özel nitelikli kişisel veriler için Kanun daha sıkı koruma ister; bu verileri bulutta tutuyorsanız tedbir düzeyinizi buna göre yükseltmeniz gerekir.
KVKK madde 12 bulut sunucu kullanan kurumdan ne bekler?
Kanunun 12. maddesi veri güvenliğini düzenler: veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve verilerin muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri almak zorundadır. Verilerin sizin adınıza başka biri tarafından işlenmesi halinde, bu tedbirler konusunda veri işleyenle müştereken sorumlu olursunuz.
Madde ayrıca veri sorumlusunun kendi kurumunda Kanun hükümlerinin uygulanmasını sağlamak için gerekli denetimleri yapmasını veya yaptırmasını ister. İşlenen verilerin kanuni olmayan yollarla başkalarınca ele geçirilmesi halinde durum en kısa sürede ilgili kişiye ve Kurula bildirilir. Bu nedenle bulut sağlayıcınızın olay anında sizi hızla bilgilendirmesi sözleşmede netleşmelidir.
Kanun, sağlayıcıyla yapılacak sözleşmenin biçimini ayrıntılı tarif etmez; ancak müşterek sorumluluk ve denetim yükümlülüğü, kapsamın, güvenlik tedbirlerinin ve bildirim sürecinin yazılı sözleşmede netleştirilmesini pratikte önemli kılar.
Teknik ve idari tedbirlere örnekler
- Teknik tedbirler: güvenlik duvarı, şifreleme, erişim kontrolü ve çok faktörlü doğrulama, yedekleme, log kaydı ve izleme, yama yönetimi. Uygulanabilir adımlar için bulut sunucu güvenliği kontrol listesine bakabilirsiniz.
- İdari tedbirler: yetki ve erişim politikaları, çalışanlara gizlilik taahhüdü ve eğitim, sağlayıcıyla yazılı sözleşme, olay müdahale prosedürü ve düzenli iç denetim.
Kişisel veriyi Türkiye’de tutmanın pratik faydaları nelerdir?
KVKK, verinin yurt içinde tutulmasını genel bir kural olarak zorunlu kılmaz; ancak veriyi Türkiye’deki bir veri merkezinde tutmak uyum sürecinizi pratikte kolaylaştırır.
- Yurt dışına aktarım kuralları (md. 9) kapsamına girme ihtimali azalır; aktarım güvencesi, bildirim ve belge yönetimi yükü hafifler.
- Verinin, yedeklerinin ve erişim kayıtlarının fiziksel olarak nerede bulunduğunu belirlemek ve denetlemek daha kolay olur.
- Sağlayıcıyla iletişim, denetim ve olay yönetimi aynı saat diliminde, Türkçe ve yerel mevzuat çerçevesinde yürür.
- Uygulamalarınıza daha düşük gecikmeyle erişirsiniz, çünkü veri kullanıcılarınıza coğrafi olarak yakındır.
- Bankacılık ve kamu gibi bazı sektörlerde verinin yurt içinde tutulmasını öngören ayrı düzenlemeler bulunur; bu durumda yerli altyapı bir zorunluluğa dönüşebilir.
Dcloud verileri Türkiye’deki veri merkezlerinde barındırır: İstanbul Avrupa, İstanbul Anadolu ve Ankara. İstanbul veri merkezleri 10 Gbps fiber altyapıyla yedekli biçimde bağlıdır; 2013’ten beri hizmet veren Ankara FKM ise coğrafi yedekleme ve felaketten kurtarma çözümleri sunar. Veri Yedekleme ve Kurtarma hizmeti yasal ve sektörel düzenlemelere uyumu kolaylaştırmayı amaçlar; ancak bir sağlayıcının altyapısı, kişisel veri yükümlülüklerinizin yerine geçmez. Lokasyonlar için altyapımız sayfasına bakabilirsiniz.
KVKK’da kişisel veriyi yurt dışına aktarma kuralları nelerdir?
Yurt dışına aktarım, Kanunun 9. maddesinde düzenlenir. 7499 sayılı Kanunla yapılan değişiklik 1 Haziran 2024’te yürürlüğe girmiştir. Aşağıda genel çerçeve özetlenmiştir; ayrıntılar ve güncel uygulama için hukuk danışmanınızla teyit yapmanız gerekir.
- Yeterlilik kararı: Aktarımın yapılacağı ülke, uluslararası kuruluş veya ülke içindeki sektörler hakkında Kişisel Verileri Koruma Kurulu’nun yeterlilik kararı varsa ve Kanundaki veri işleme şartlarından biri bulunuyorsa aktarım yapılabilir.
- Uygun güvenceler: Yeterlilik kararı yoksa, ilgili kişinin haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi şartıyla uygun güvencelerin sağlanması gerekir. Standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi araçlar bu kapsamda değerlendirilir; bazıları Kurula bildirim ya da Kurul izni gerektirir.
- Arızi aktarım: Yeterlilik kararı ve uygun güvenceler yoksa aktarım, yalnızca arızi (düzenli ve sürekli olmayan) nitelikteyse ve Kanunda sayılan istisnai hallerden biri varsa mümkündür; örneğin ilgili kişinin riskler hakkında bilgilendirildikten sonra açık rıza vermesi.
Bu kuralların amacı, veri Türkiye dışına çıktığında ilgili kişilerin korumasının zayıflamamasıdır. Yeterlilik kararları ve standart sözleşme metinleri gibi unsurlar Kişisel Verileri Koruma Kurumu tarafından duyurulur; güncel durumu resmî kaynaklardan takip etmelisiniz.
Bulut kullanımında bu kurallar sıkça gözden kaçan noktalarda devreye girer: yurt dışındaki bir sunucuda tutulan yedekler, yurt dışından yapılan uzaktan destek erişimi veya alt hizmet sağlayıcı kullanımı duruma göre aktarım sayılabilir. Bu nedenle sağlayıcıdan, verinin ve erişimin nerede olduğuna dair net bilgi almak gerekir.
Bulut sağlayıcısı seçerken hangi soruları sormalısınız?
Sağlayıcı değerlendirmesinde yalnızca teknik özelliklere değil, verinin yolculuğuna da bakın. Aşağıdaki soruların yanıtlarını yazılı olarak alın:
- Verilerim hangi ülke ve şehirde, hangi veri merkezinde tutuluyor?
- Yedekler ve felaket kurtarma kopyaları nerede saklanıyor? Yurt dışında bir kopya var mı?
- Yurt dışından uzaktan erişim veya destek var mı, alt hizmet sağlayıcı kullanılıyor mu?
- Erişim kayıtları (log) tutuluyor mu, ne kadar süre saklanıyor, gerektiğinde bana sunulabiliyor mu?
- Sözleşmede veri işleme kapsamı, gizlilik, güvenlik tedbirleri, güvenlik olayı bildirim süresi ve denetim hakkı yer alıyor mu?
- Sözleşme sona erdiğinde verilerim nasıl iade edilir ve nasıl silinir?
- Bir güvenlik olayında hangi destek kanalına, hangi süreçle ulaşırım?
Aldığınız yanıtları sözleşme eklerine veya yazılı teklife taşıyın ve değişiklik olduğunda size bildirileceğinden emin olun. Verinin konumu ya da alt hizmet sağlayıcılar değişirse, uyum değerlendirmenizin de yeniden yapılması gerekebilir.
Bu soruları Dcloud ekibine de iletişim sayfamızdaki kanallardan iletebilirsiniz.
Sıkça Sorulan Sorular
Altyapınızı birlikte planlayalım
Bulut sunucu, yedekleme ve güvenlik ihtiyaçlarınız için uzman ekibimizle görüşün.
İlgili Yazılar ve Hizmetler
Yayın tarihi: 2 Ekim 2026. Son güncelleme: 2 Ekim 2026.
