Verileri Türkiye’de Barındırma Zorunluluğu – Türk Hukukunda Veri Yerelleştirme Hükümleri

Veri yerelleştirme nedir?

Veri yerelleştirme (data localisation), verinin bir ülkede bulunmasının zorunlu tutulmasıdır. Veri lokalizasyonu olarak da anılan bu gereklilik, kurumsal veya kişisel veriyi bir alanda barındırılmasını zorunlu kılmaktakta ve bu coğrafi alan dışından bu veriye erişimi kısıtlamaktadır. Veri lokalizasyonu, farklı politik gerekliliklerden, egemenlik ve ulusal güvenlik gibi faktörlerden ya da sektörel önceliklerden kaynaklanmaktadır.

2024 yılında 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun ‘Kişisel verilerin yurt dışına aktarılması’ başlıklı 9. maddesinde değişiklik yapılarak, kişisel verilerin yurt dışına aktarılmasına ilişkin liberal bir rejime geçilmiş olsa da muhtelif mevzuatta verilerin Türkiye’de barındırılmasına yönelik yasaklayıcı hükümlerde bir değişikliğe gidilmemiştir.

Peki, veri yerelleştirmeyi zorunlu kılan hükümler nelerdir? Mevzuatımızda veri lokalizasyonunu zorunlu kılan mevzuat listesi şu şekildedir:

• Banka Kartları ve Kredi Kartları Hakkında Yönetmelik, Madde 26/B
• Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, Madde 25 ve Madde 29/11
• Finansal Kiralama, Faktoring ve Finansman Şirketlerinin Bilgi Sistemlerinin Yönetimine ve Denetimine İlişkin Tebliğ, Madde 15 ve Madde 12/5
• 6493 Sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun, Madde 23
• Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ, Madde 16
• Sermaye Piyasası Kurulu Bilgi Sistemleri Yönetimi Tebliği, Madde 26
• Veri Depolama Kuruluşunun Faaliyet, Çalışma ve Denetim Esasları Hakkında Yönetmelik
• Kaydileştirilen Sermaye Piyasası Araçlarına İlişkin Kayıtların Tutulmasının Usul ve Esasları Hakkında Tebliğ
• Sigortacılık ve Özel Emeklilik Sektörlerinde İç Sistemlere Dair Yönetmelik, Madde 16
• Sermaye Şirketlerinin Açacakları İnternet Sitelerine Dair Yönetmelik
• 5809 sayılı Elektronik Haberleşme Kanunu, Madde 51 ve Madde 60
• Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına İlişkin Yönetmelik
• Elektronik İmza Kanunu’nun Uygulanmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik
• Uzaktan Programlanabilir SIM Teknolojileri (eSIM) Konulu Kurul Kararı
• 112 Tabanlı Araç İçi Acil Çağrı Sistemi (E-Call) Konulu Kurul Kararı
• 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun, Ek Madde 4
• Sosyal Ağ Sağlayıcı Hakkında Usul ve Esaslar
• Kayıtlı Elektronik Posta (KEP) Sistemine İlişkin Usul ve Esaslar Hakkında Yönetmelik
• Sağlık Bakanlığı Sağlık Bilgi Yönetim Sistemleri Hakkında Yönetmelik, Madde 16
• Sağlık Bilgi Sistemleri Uygulamaları Hakkında 2015/17 sayılı Genelge
• Farmakovijilans Faaliyetlerinde Kişisel Verilerin Korunması Hakkında Kılavuz
• Elektrikli Skuter Yönetmeliği, Madde 8
• Elektronik Defter Genel Tebliği (Sıra No:1), Madde 4.4.1
• Vergi Usul Kanunu Genel Tebliği (Sıra No: 509), Madde VI
• Elektronik İmza Kanununun Uygulanmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, Madde 18
• Savunma Sanayi Kanunu, Madde 5
• 2019/12 sayılı Cumhurbaşkanlığı Bilgi ve İletişim Güvenliği Tedbirleri Genelgesi
• Bilgi ve İletişim Güvenliği Rehberi

Yatırım Ortamını İyileştirme Koordinasyon Kurulu (YOİKK) tarafından 2024 yılı Eylem Planında ‘6698 sayılı Kişisel Verilerin Korunması Kanununun Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile uyumlaştırılması’ eylem adı altında ‘Adalet Bakanlığı koordinasyonunda sürdürülen Bilim Komisyonu çalışmalarının ilgili kurum ve kuruluşların katkısı alınarak tamamlanması’ hedefi koyulmuştur.

Aynı eylem planında ‘Yurt dışına veri aktarımına ilişkin ulusal politikaların ticareti destekleyici çerçeveye dönüştürülmesi’ eylem adı altında ‘KVKK dışındaki sektörel düzenlemelerde parçalı bir şekilde yer alan veri lokalizasyonuna yönelik hükümlerin, verilerin korunması ile veriye dayalı ticari hayatın etkin şekilde sürdürülebilmesi arasında “makul denge” kurulması ilkesi doğrultusunda gözden geçirilmesi amacıyla; yönetişim yapısının hayata geçirilmesi, sınır aşan veri transferleri mevzuatı risk değerlendirme komisyonu kurulması – komisyon çalışmaları kapsamında yasal ve idari ihtiyaçların tespit edilmesi” hedefi koyulmuştur.

Sektörel düzenlemelere ilişkin veri lokalizasyonu hükümlerinin değiştirilmesine yönelik bir reform çalışması henüz başlatılmamıştır.