Kişisel Verileri Türkiye’de Barındırma Zorunluluğu – Türk Hukukunda Veri Lokalizasyon Hükümleri

Doç. Dr. Mehmet Bedii Kaya

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 9. maddesinde 2024 yılında yapılan değişiklikle, kişisel verilerin yurt dışına aktarılmasına ilişkin daha liberal bir rejime geçilmiş olsa da, çeşitli mevzuatlarda verilerin Türkiye’de barındırılmasına yönelik yasaklayıcı hükümlerde herhangi bir değişiklik yapılmamıştır. Farklı düzenlemelerde hâlâ veri yerelleştirmeye ilişkin hükümler yer almaktadır.

Veri yerelleştirme nedir? Veri yerelleştirme (data localisation), verilerin belirli bir ülkede bulundurulmasının zorunlu tutulmasıdır. “Veri lokalizasyonu” olarak da anılan bu gereklilik, kurumsal veya kişisel verilerin belirli bir coğrafi alanda barındırılmasını zorunlu kılar ve bu alan dışından söz konusu verilere erişimi sınırlar. Veri lokalizasyonu; egemenlik, ulusal güvenlik, politik gereklilikler veya sektörel öncelikler gibi farklı faktörlerden kaynaklanmaktadır.

Veri lokalizasyonu hükümleri elbette sadece kişisel veriyi sınırlandırmamaktadır. Bilişim sisteminin tüm verilerine yönelik Türkiye’de işleme ve barındırma zorunluluğu getirmektedir. Kişisel veriler evleviyetle bu sınırın içinde kalmaktadır. Dolayısıyla, veri lokalizasyon hükümlerini verilere yönelik genel bir işleme ve barındırma yasağı olarak okumak gerekir.

Peki, veri yerelleştirmeyi zorunlu kılan hükümler nelerdir? Mevzuatımızda veri lokalizasyonunu zorunlu kılan mevzuat listesi şu şekildedir:

1. 2019/12 sayılı Cumhurbaşkanlığı Bilgi ve İletişim Güvenliği Tedbirleri Genelgesi, Madde 1, 2 ve 20
2. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi Bilgi ve İletişim Güvenliği Rehberi, Tedbir No: 4.3.1.1 ve Tedbir No: 3.2.7.2
3. 5411 Sayılı Bankacılık Kanunu, Madde 73
4. Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, Madde 10, 25 ve 29
5. Banka Kartları ve Kredi Kartları Hakkında Yönetmelik, Madde 26/B
6. Bankaların İç Sistemleri ve İçsel Sermaye Yeterliliği Değerlendirme Süreci Hakkında Yönetmelik, Madde 11(4)
7. Finansal Kiralama, Faktoring, Finansman ve Tasarruf Finansman Şirketleri Kanunu, Madde 17
8. Finansal Kiralama, Faktoring ve Finansman Şirketlerinin Bilgi Sistemlerinin Yönetimine ve Denetimine İlişkin Tebliğ, Madde 12(5) Madde 15(2)
9. 6362 sayılı Sermaye Piyasası Kanunu, Madde 87
10. Sermaye Piyasası Kurulu VII-128.10 sayılı Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği, Madde 27(1), Madde 30(3) ve (4)
11. Veri Depolama Kuruluşunun Faaliyet, Çalışma ve Denetim Esasları Hakkında Yönetmelik, Madde 6, 16, 19
12. Sermaye Piyasası Kurulu II-13.1 sayılı Kaydileştirilen Sermaye Piyasası Araçlarına İlişkin Kayıtların Tutulmasının Usul ve Esasları Hakkında Tebliğ, Madde 33(2)
13. 6493 Sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun, Madde 23
14. Ödeme ve Menkul Kıymet Mutabakat Sistemlerinin Faaliyetleri Hakkında Yönetmelik, Madde 24(6), Madde 25(4)
15. Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik, Madde 19(12), Madde 62(3)
16. Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ, Madde 16(7), Madde 21(1) ve (2)
17. 5809 sayılı Elektronik Haberleşme Kanunu, Madde 51
18. Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına İlişkin Yönetmelik, Madde 5(2), Madde 8(1)(e)
19. 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun, Ek Madde 4
20. BTK Sosyal Ağ Sağlayıcı Hakkında Usul ve Esaslar (Karar Tarihi: 28.03.2023, Karar Sayısı: 2023/DK-İD/119), Madde 13
21. Elektronik İmza Kanunu’nun Uygulanmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, Madde 18(1)
22. Uzaktan Programlanabilir SIM Teknolojileri (eSIM) Konulu Kurul Kararı (Karar Tarihi: 12.02.2019, Karar No: 2019/DK-TED/053)
23. Kayıtlı Elektronik Posta Sistemine İlişkin Usul ve Esaslar Hakkında Yönetmelik, Madde 16(1)(l)
24. BTK 112 Tabanlı Araç İçi Acil Çağrı Sistemi (E-Call) Kurul Kararı (Karar Tarihi: 22.01.2018, Karar No: 2018/DK-YED/27)
25. İnternet Alan Adları Yönetmeliği, Madde 17
26. Elektrikli Skuter Yönetmeliği, Madde 8
27. Gelir İdaresi Başkanlığı (GİB) Elektronik Defter Genel Tebliği (Sıra No:1), Madde 4.4.1
28. Gelir İdaresi Başkanlığı (GİB) Vergi Usul Kanunu Genel Tebliği (Sıra No: 509), Madde V.1.2. ve Madde VI
29. Gelir İdaresi Başkanlığı (GİB)  Vergi Usul Kanunu Genel Tebliği (Sıra No: 431), Madde 7
30. Sigortacılık ve Özel Emeklilik Düzenleme ve Denetleme Kurumu (SEDDK) Sigortacılık ve Özel Emeklilik Sektörlerinde İç Sistemlere Dair Yönetmelik, Madde 16
31. Sağlık Bakanlığı Sağlık Bilgi Yönetim Sistemleri Hakkında Yönetmelik, Madde 16
32. Sağlık Bilgi Sistemleri Uygulamaları Hakkında 2015/17 sayılı Genelge, Madde 2.7
33. Sağlık Bakanlığı USBS Uzaktan Sağlık Bilgi Sistemi Kılavuzu, Madde 26 ve 27
34. İçişleri Bakanlığı Türkiye Cumhuriyeti Kimlik Kartı Elektronik Kimlik Doğrulama Sistemi Yönetmeliği, Madde 20
35. 2920 sayılı Türk Sivil Havacılık Kanunu, Madde 40

Yukarıda belirtilen mevzuat çerçevesinde hangi kurumlar için veri yerelleştirme zorunludur? Türk idari teşkilatında aşağıdaki kurumlar bakımından veri yerelleştirme yükümlülüğü söz konusudur:

• Cumhurbaşkanlığı
• Cumhurbaşkanlığı Dijital Dönüşüm Ofisi (Kapatılan) (Yerine Siber Güvenlik Başkanlığı)
• Bankacılık Düzenleme ve Denetleme Kurumu (BDDK)
• Sermaye Piyasası Kurulu (SPK)
• Türkiye Cumhuriyet Merkez Bankası (TCMB)
• Bilgi Teknolojileri ve İletişim Kurumu (BTK)
• Ulaştırma ve Altyapı Bakanlığı
• Gelir İdaresi Başkanlığı (GİB)
• Sigortacılık ve Özel Emeklilik Düzenleme ve Denetleme Kurumu (SEDDK)
• Sağlık Bakanlığı
• İçişleri Bakanlığı
• Sivil Havacılık Genel Müdürlüğü

Görüldüğü üzere çok geniş yelpazede veri lokalizasyonu kısıtlaması bulunmaktadır. Sektörel bir sınıflandırma yapmak gerekirse, şu sektörler/alanlar için veri lokalizasyonu hükümleri uygulanmaktadır:

• Kamu hizmetleri
• Kritik hizmetler ve altyapılar (özel sektör tarafından sunulsa bile)
• Bankacılık ve finans hizmetleri
• Sermaye piyasası faaliyetleri
• Ödeme hizmetleri
• Elektronik haberleşme hizmetleri
• Sosyal medya faaliyetleri
• Vergi hizmetleri
• Ulaştırma hizmetleri
• Sigortacılık hizmetleri
• Sağlık hizmetleri
• Havacılık sektörü

Yatırım Ortamını İyileştirme Koordinasyon Kurulu (YOİKK), 2024 yılı Eylem Planı kapsamında “6698 sayılı Kişisel Verilerin Korunması Kanunu’nun Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile uyumlaştırılması” başlıklı eylem altında, “Adalet Bakanlığı koordinasyonunda sürdürülen Bilim Komisyonu çalışmalarının ilgili kurum ve kuruluşların katkısı alınarak tamamlanması” hedefini belirlemiştir.

Aynı planda “Yurt dışına veri aktarımına ilişkin ulusal politikaların ticareti destekleyici bir çerçeveye dönüştürülmesi” eylemi altında KVKK dışındaki sektörel düzenlemelerde parçalı bir şekilde yer alan veri lokalizasyonuna yönelik hükümlerin, verilerin korunması ile veriye dayalı ticari hayatın etkin şekilde sürdürülebilmesi arasında makul denge kurulması ilkesi doğrultusunda gözden geçirilmesi amacıyla; yönetişim yapısının hayata geçirilmesi, sınır aşan veri transferleri mevzuatı risk değerlendirme komisyonu kurulması -komisyon çalışmaları kapsamında yasal ve idari ihtiyaçların tespit edilmesi hedefi koyulmuştur.

Sektörel düzenlemelere ilişkin veri lokalizasyonu hükümlerinin değiştirilmesine yönelik bir reform çalışması henüz başlatılmamıştır.

Bir sonraki bölümde, veri lokalizasyonuna ilişkin kurumlar, dayanakları ve ilgili hükümler tablo şeklinde yer almaktadır.

CUMHURBAŞKANLIĞI
2019/12 sayılı Cumhurbaşkanlığı Bilgi ve İletişim Güvenliği Tedbirleri Genelgesi	Madde 1 – Nüfus, sağlık ve iletişim kayıt bilgileri ile genetik ve biyometrik veriler gibi kritik bilgi ve veriler yurtiçinde güvenli bir şekilde depolanacaktır. Madde 3 – Kamu kurum ve kuruluşlarına ait veriler, kurumların kendi özel sistemleri veya kurum kontrolündeki yerli hizmet sağlayıcılar hariç bulut depolama hizmetlerinde saklanmayacaktır. Madde 20 – Haberleşme hizmeti sağlamak üzere yetkilendirilmiş işletmeciler Türkiye’de internet değişim noktası kurmakla yükümlüdür. Yurtiçinde değiştirilmesi gereken yurtiçi iletişim trafiğinin yurtdışına çıkarılmamasına yönelik tedbirler alınacaktır.
Cumhurbaşkanlığı Dijital Dönüşüm Ofisi Bilgi ve İletişim Güvenliği Rehberi	Tedbir No: 4.3.1.1 Tedbir Seviyesi: 1 Tedbir Adı: Bulut Hizmeti Kullanımı Tedbir Tanımı: Kritik verilerin yurt içinde depolandığı ve yurt dışında barındırılmayacağı garanti altına alınmalıdır. Kurumlara ait özel bulut sistemleri haricinde, bulut servis sağlayıcılardan yer, sunucu veya servis tabanlı bulut hizmeti kullanılacaksa, – Erişen personel, yetki ve yetkinlik düzeyleri – Erişim, işlem ve ağ trafiği iz kayıtlarının izlenmesi – Güncelleme durum alarmları – Siber olay alarmları – Performans ve kapasite göstergeleri kurum tarafından kontrol edilmelidir. Tedbir No: 3.2.7.2 Tedbir Seviyesi: 1 Tedbir Adı: Bulut Depolama Hizmetlerinde Kurumsal Verilerin Bulundurulmaması Tedbir Tanımı: Kurumların kendi özel sistemleri veya yurt içinde yerleşik kurum kontrolündeki hizmet sağlayıcılar hariç olmak üzere kurumsal kritik verilerin saklanması/depolanması amacıyla bulut depolama hizmetleri kullanılmamalıdır. Bk. Tedbir No: 4.3.1.1
BANKACILIK DÜZENLEME VE DENETLEME KURUMU (BDDK)
5411 Sayılı Bankacılık Kanunu	Sırların saklanması Madde 73 – (Değişik üçüncü fıkra: 13/2/2011-6111/146 md.) Sıfat ve görevleri dolayısıyla bankalara veya müşterilerine ait sırları öğrenenler, söz konusu sırları bu konuda kanunen açıkça yetkili kılınan mercilerden başkasına açıklayamazlar. Bu yükümlülük görevden ayrıldıktan sonra da devam eder. (Ek cümleler:20/2/2020-7222/10 md.) Bankacılık faaliyetlerine özgü olarak bankalarla müşteri ilişkisi kurulduktan sonra oluşan gerçek ve tüzel kişilere ait veriler, müşteri sırrı hâline gelir. Diğer kanunların emredici hükümleri saklı kalmak kaydıyla, müşteri sırrı niteliğindeki bilgiler, bu maddede belirtilen sır saklama yükümlülüğünden istisna tutulan hâller haricinde, 24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca müşterinin açık rızası alınsa dahi, müşteriden gelen bir talep ya da talimat olmaksızın yurt içindeki ve yurt dışındaki üçüncü kişilerle paylaşılamaz ve bunlara aktarılamaz. Kurul ekonomik güvenliğe ilişkin yapacağı değerlendirme neticesinde, müşteri sırrı ya da banka sırrı niteliğinde olan her türlü verinin, yurt dışındaki üçüncü kişilerle paylaşılmasını ya da bunlara aktarılmasını yasaklamaya, ayrıca bankaların faaliyetlerini yürütmede kullandıkları bilgi sistemleri ve bunların yedeklerinin yurt içinde bulundurulması hususunda karar almaya yetkilidir. Bu maddede belirtilen sır saklama yükümlülüğünden istisna tutulan hâllerde yapılacak paylaşımlar da dâhil olmak üzere, müşteri sırrı ve banka sırrı niteliğindeki bilgiler, sadece belirtilen amaçlarla sınırlı olmak ve ölçülülük ilkesine uygun olarak bu amaçların gerektirdiği kadar veriyi içermek kaydıyla paylaşılabilir. 22/4/1926 tarihli ve 818 sayılı Borçlar Kanunu, 13/6/1952 tarihli ve 5953 sayılı Basın Mesleğinde Çalışanlarla Çalıştıranlar Arasındaki Münasebetlerin Tanzimi Hakkında Kanun, 20/4/1967 tarihli ve 854 sayılı Deniz İş Kanunu ile 22/5/2003 tarihli ve 4857 sayılı İş Kanunu kapsamında çalıştırılan işçi, gemi adamı ve gazetecinin ücret, prim, ikramiye ve bu nitelikte her çeşit istihkak ödemelerinin özel olarak açılan banka hesabına yapılması halinde, bu hesaplara ilişkin bilgi ve belgelerin Çalışma ve Sosyal Güvenlik Bakanlığı, Maliye Bakanlığı ve Hazine Müsteşarlığı ile bunlara bağlı ve ilgili kurum ve kuruluşlara verilmesi ile 31/5/2006 tarihli ve 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanununun 8 inci ve 100 üncü maddelerinin uygulanması ile genel sağlık sigortalılığında gelir testinin yapılmasına ilişkin bilgi ve belgelerin Sosyal Güvenlik Kurumuna ve il veya ilçe sosyal yardımlaşma ve dayanışma vakıflarınca yapılan sosyal yardım hak sahiplerinin tespiti ile gelir testi işlemlerinin yürütülmesi amacıyla Aile ve Sosyal Politikalar Bakanlığı Sosyal Yardımlar Genel Müdürlüğüne verilmesi sırrın ifşası sayılmaz. Bu bilgi ve belgelerin verilmesine ilişkin usûl ve esaslar Çalışma ve Sosyal Güvenlik Bakanlığı, Maliye Bakanlığı, Hazine Müsteşarlığının bağlı olduğu Bakanlık ile Kurulca belirlenir.
Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik	Verilerin paylaşılması MADDE 10 – (1) Banka, müşterinin kendisinden gelen ve yazılı şekilde ya da kalıcı veri saklayıcısı yoluyla kanıtlanabilir nitelikte olan bir müşteri talebi olmaksızın, faaliyetlerinin ifası sırasında ve her türlü dış hizmet alımlarında bilgi sistemleri aracılığıyla edindiği, sakladığı veya işlediği müşteri sırrı niteliğindeki bilgileri, Kanunda yer alan istisnai haller haricinde yurtiçindeki ve yurtdışındaki üçüncü kişilerle paylaşamaz ve bunlara aktaramaz. Birincil ve ikincil sistemler MADDE 25 – (1) Bankaların birincil ve ikincil sistemlerini yurt içinde bulundurmaları zorunludur. (2) Birincil sistemlerin kaçıncı yedeği olduğuna bakılmaksızın birincil sistemlerin her türlü yedeği ikincil sistemler olarak kabul edilir ve birinci fıkra hükmüne tabidir. (3) Bankacılık faaliyetlerinin yürütülmesi veya Kanun ve mevzuatta tanımlanan sorumlulukların yerine getirilmesi amacını taşımayan banka içi mesajlaşma sistemleri, piyasa izleme platformları gibi sistemler birincil sistemler kapsamında değildir. Bankanın kullanmakta olduğu herhangi bir sistem ya da uygulamanın birincil sistemler kapsamına girmemesi için sistem veya uygulama üzerinden herhangi bir iş sürecinin yürütülmemesi, hassas veri ya da sır kapsamına girebilecek verilerin işlenmemesi, iletilmemesi ve saklanmaması gereklidir. (4) İşlemlerin doğası gereği yurt dışı ile etkileşimin gerekli olduğu ödeme veya mesajlaşma sistemleri gibi bankacılık işlemleri hariç olmak üzere, bankanın yurt dışında kurulu bir sistemden herhangi bir onay sürecine tabi olmaksızın bankacılık işlemlerini gerçekleştirebilmesi ve yurt dışı iletişim ağlarıyla bağlantılarının kesildiği durumlarda dahi yurt içinde kurulu bulunan birincil ve ikincil sistemleri aracılığıyla ülke içerisinde bankacılık faaliyetlerini sunmaya devam edebilmesi esastır. (5) Birincil veya ikincil sistemler kapsamında olan bir faaliyet için dış hizmet ya da bulut bilişim hizmeti alınması halinde, dış hizmet sağlayıcının sunduğu hizmete ilişkin faaliyetleri yürütmede kullandığı bilgi sistemleri ve bunların yedekleri de birincil ve ikincil sistemler kapsamında ele alınır ve yurt içinde bulundurulur. Dış hizmet alımı sürecinin yönetimi Madde 29 – (11) Banka, bir dış hizmet olarak bulut bilişim hizmetlerini kullanabilir. Birincil veya ikincil sistemler için bulut hizmeti tek bir bankaya tahsis edilmiş donanım ve yazılım kaynakları üzerinden özel bulut hizmet modeliyle alınabilir. Bunun yanında, sadece Kurum denetimine tabi kuruluşlara tahsis edilmiş donanım ve yazılım kaynaklarının fiziksel olarak paylaşıldığı ancak mantıksal olarak her bankaya özgü ayrı kaynağın atandığı topluluk bulutu hizmet modeliyle dış hizmet alınması Kurul iznine tabidir. Kurul, gerekli gördüğü hallerde topluluk bulutu hizmeti kapsamına dâhil olabilecek kuruluşları değiştirmeye yetkilidir.
Bankaların İç Sistemleri ve İçsel Sermaye Yeterliliği Değerlendirme Süreci Hakkında Yönetmelik	Bilgi sistemlerinin tesisi Madde 11 – (4) Bankaların birincil ve ikincil sistemlerini yurt içinde bulundurmaları zorunludur.
Banka Kartları ve Kredi Kartları Hakkında Yönetmelik	Bilgi sistemlerinin tesisi Madde 26/B – (5) Beklenmedik durumlar nedeniyle mevcut verilerin kaybının önlenmesi amacıyla bir veri yedekleme merkezi oluşturulur. (Değişik ibare:RG-25/9/2020-31255) Bilgi alışverişi kuruluşları veri yedekleme merkezinin yerini, yurt içinde olmak kaydıyla veriye yetkisiz erişim risklerini de dikkate alarak acil ve beklenmedik durumların etki alanı dışında kalacak şekilde belirlerler.
Finansal Kiralama, Faktoring, Finansman ve Tasarruf Finansman Şirketleri Kanunu	Denetim, gözetim ve bilgi verme MADDE 17 – (1) Şirketin bu Kanun kapsamındaki gözetim ve denetimi Kurum tarafından yapılır. (2) Kurum; şirket, şirket ortakları, şirketin kontrol ettiği ortaklıklar ile bunların şubeleri ve ilgili diğer gerçek ve tüzel kişilerden bu Kanun hükümleri ile ilgili görecekleri bütün bilgileri gizli dahi olsa istemeye, bunların vergiyle ilgili kayıtları dâhil olmak üzere tüm defter, kayıt ve belgelerini incelemeye yetkili olup, bilgi istenenler de istenilen bilgileri vermekle, defter, kayıt ve belgeleri incelemeye hazır bulundurmakla, tüm bilgi işlem sistemini denetim amaçlarına uygun olarak Kurumun yerinde denetim yapan meslek personeline açmakla, verilerin güvenliğini sağlamakla ve muhafaza etmek zorunda oldukları her türlü defter, belge ve karneler ile vermek zorunda bulundukları bilgilere ilişkin mikrofiş, mikrofilm, manyetik teyp, disket ve benzeri ortamlardaki kayıtlarını ve bu kayıtlara erişim veya kayıtları okunabilir hale getirmek için gerekli tüm sistem ve şifrelerini inceleme için ibraz etmek ve işletmekle yükümlüdür.
Finansal Kiralama, Faktoring ve Finansman Şirketlerinin Bilgi Sistemlerinin Yönetimine ve Denetimine İlişkin Tebliğ	Dış hizmet alımı ve yönetimi MADDE 12 – (5) Şirket dış hizmet olarak bulut bilişim hizmetlerini kullanabilir. Birincil ve ikincil sistemler için bulut hizmeti, tek bir şirkete tahsis edilmiş donanım ve yazılım kaynakları üzerinden özel bulut hizmet modeliyle alınabilir. Bunun yanında, sadece Kurumun denetimine tabi şirketlere tahsis edilmiş donanım ve yazılım üzerinde, şirketler arasında mantıksal ayrıma gidilerek topluluk bulutu hizmet modeliyle dış hizmet alınması Kurum iznine tabidir. Ayrıca, Kanuna tabi bir şirketin ana ortağı, iştiraki ve ana ortağın iştirakleriyle birlikte donanım ve yazılım üzerinde, şirketler arasında mantıksal ayrıma gidilerek kullanılması da Kurum iznine tabidir. Diğer hükümler MADDE 15 – (1) Şirket sunduğu internet hizmetleri kapsamında; a) Müşterinin işlem gerçekleştirdiği platformun şirkete ait olduğunu garanti eden, b) İşlemin taşıdığı risklerle uyumlu olarak gerekli kimlik doğrulama mekanizmasını sağlayan, c) Kullanıcıları güvenlik riskleri hakkında bilgilendiren, bir yapı tesis eder. (2) Şirket birincil ve ikincil sistemlerini yurt içinde bulundurur. Bu kapsamda dış hizmet alınması halinde, dış hizmet sağlayıcının söz konusu hizmete ilişkin faaliyetleri yürütmede kullandığı bilgi sistemleri ve bunların tüm yedekleri de yurt içinde tutulur.
SERMAYE PİYASASI KURULU (SPK)
6362 sayılı Sermaye Piyasası Kanunu	Veri depolama kuruluşları MADDE 87 – (3)Veri depolama kuruluşları nezdindeki bilgilerin kamu tüzel kişileri dâhil üçüncü kişiler ile paylaşımı Kurulun onayına tabidir. Bu fıkranın uygulanmasında kişisel verilerin kullanılmasına ilişkin mevzuata riayet edilir.
VII-128.10 sayılı Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği	Bilgi sistemleri sürekliliği MADDE 27- (1) Kurum, Kuruluş ve Ortaklıkların birincil ve ikincil sistemlerini yurt içinde bulundurmaları zorunludur. İkincil sistemin yeri, doğal ve çevresel felaketlere karşı birincil sistemle aynı risklere maruz kalmayacak şekilde seçilir. Muafiyetler MADDE 30-(3) Bilgi Sistemleri Bağımsız Denetim Tebliği (III-62.2) hükümleri kapsamında, bilgi sistemleri bağımsız denetim zorunluluğu bulunmayan halka açık ortaklıklar, 27 nci maddenin birinci fıkrası uyarınca, birincil ve ikincil sistemlerini yurt içinde bulundurmak zorunda değildir. (4) Platformlar, bulut hizmet sağlayıcısının yurt içinde temsilciliğinin bulunması koşulu ile müşteri emirlerinin eşleştiği ortamlar için yurt dışı bulut hizmeti kullanabilir. Her halükarda, yurt dışı bulut hizmeti sağlayıcı bünyesinde oluşan tüm kayıtlar gün sonunda yurt içindeki sistemlere aktarılır.
Veri Depolama Kuruluşunun Faaliyet, Çalışma ve Denetim Esasları Hakkında Yönetmelik	VDK’nın görev ve yetkileri MADDE 6 – (1) VDK’nın görev ve yetkileri şunlardır: a) Kanunun 87 nci maddesi çerçevesinde, Kurulca belirlenen işlemlere ilişkin kendisine raporlanan verileri Türkiye sınırları içerisinde olmak üzere elektronik ortamda kaydetmek ve saklamak, Gizlilik MADDE 16 – (1) VDK kayıtları gizlidir. Ancak, bu Yönetmelikte belirlenen esaslara uygun olarak bilgi verilmesi gizliliğin ihlali sayılmaz. (2) VDK nezdindeki bilgilerin kamu tüzel kişileri dâhil üçüncü kişiler ile paylaşımında 24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanununa ve ilgili diğer mevzuata riayet edilir. Diğer veri talepleri MADDE 19 – (3) Yabancı ülke otoritelerinin VDK nezdindeki verilerin paylaşılmasına ilişkin taleplerinin VDK tarafından karşılanması Kurul onayına tabidir. Kurul, söz konusu talepleri; a) İki ülke arasında verilerin paylaşılmasına ilişkin olarak karşılıklılık esasına dayanan ikili veya çok taraflı işbirliği anlaşması ya da ilgili otoriteler arasında mutabakat zaptı bulunması, b) Paylaşılan verilerin kullanılmasına ilişkin olarak bu Yönetmelikteki gizlilik ilkelerine eş değer hükümlerin ilgili ülke mevzuatında bulunması, hususlarını da dikkate alarak sonuçlandırır.
II-13.1 sayılı Kaydileştirilen Sermaye Piyasası Araçlarına İlişkin Kayıtların Tutulmasının Usul ve Esasları Hakkında Tebliğ	Hak sahiplerinin bilgilendirilmesi MADDE 33 – (2) Hak sahibinin yurt dışında yerleşik kişi olması durumunda, MKK tarafından hak sahibinin yanı sıra bu yatırımcılara yurt dışında saklama hizmeti sunan kuruluşa hak sahipliği bilgilerinin iletilmesi mümkündür. Bunun için, bu müşterilerin yurt dışında saklama hizmeti sunan kuruluşla arasındaki sözleşmede bu kuruluşun müşterilerin hak sahipliği bilgilerine erişimine yönelik hüküm olması ve yurt dışında saklama hizmeti sunan kuruluş ile yurtiçinde saklamaya yetkili yatırım kuruluşu arasında bu konuya özgü bir sözleşme olması gerekir. Bu fıkra uyarınca MKK tarafından hak sahibi yerine, yurt dışında saklama hizmeti sunan kuruluşa bilgi verilebilmesi için yurt içinde saklamaya yetkili yatırım kuruluşunun MKK’ya başvuru yaparak, bilgi verilecek yurt dışında saklama hizmeti sunan kuruluşun unvanının, bu kuruluşun müşterileri ile arasındaki sözleşmede gerekli hükümlerin bulunduğuna ilişkin beyanının ve ilgili hak sahiplerinin MKK’ya bildirmesi zorunludur. Yurt dışında saklama hizmeti sunan kuruluş aldığı bu bilgilerin gizliliğini korumakla yükümlüdür. Bu bilgiler hukuka aykırı olarak kimseyle paylaşılamaz ve veriliş amaçları dışında kullanılamaz.
TÜRKİYE CUMHURİYET MERKEZ BANKASI (TCMB)
6493 Sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun	Belge ve kayıtların saklanması ile kişisel bilgilerin korunması, değişikliklerin bildirilmesi MADDE 23 – (1) Sistem işleticisi, ödeme kuruluşu ve elektronik para kuruluşu bu Kanunda yer alan hususlar ile ilgili belgeleri ve kayıtları en az on yıl süreyle güvenli ve istenildiği an erişime imkân sağlayacak şekilde yurt içinde saklar. Sistem işleticisinin faaliyetlerini yürütmede kullandığı bilgi sistemleri ve bunların yedekleri de yurt içinde tutulur. Ödeme kuruluşu ve elektronik para kuruluşunun faaliyetlerini yürütmede kullandıkları bilgi sistemlerine ilişkin usul ve esaslar Bankaca belirlenir.
Ödeme ve Menkul Kıymet Mutabakat Sistemlerinin Faaliyetleri Hakkında Yönetmelik	Bilgi sistemleri MADDE 24 – (6) Sistem işleticisinin bilgi sistemleri yurt içinde kurulu olmak zorundadır. Sistem işleticisinin, faaliyetlerini yürütmede kullandığı bilgi sistemleri kapsamında bir dış hizmet alması halinde, dış hizmet sağlayıcısının bu kapsamdaki faaliyetlerini yürütmede kullandığı bilgi sistemleri ve bunların yedeklerinin de yurt içinde tutulması esastır. Yedek merkez, yedek sistemler ve iş sürekliliği planı MADDE 25 – (4) Yedek merkez, yedek sistemler ve veri yedekleme merkezi yurt içinde bulunmak zorundadır. Yedek merkezin, yedek sistemlerin ve veri yedekleme merkezinin yeri, acil ve beklenmedik durumların, yedekleri birincil sistem ve merkezlerle aynı anda ve oranda etkilemesini engelleyecek şekilde belirlenir.
Ödeme Hizmetleri ve Elektronik Para İhracı ile Ödeme Hizmeti Sağlayıcıları Hakkında Yönetmelik	Yurt dışında yerleşik tüzel kişilerle birlikte hizmet sunulması MADDE 19 – (12) Bu madde uyarınca kurulacak iş birliği neticesinde gerçekleştirilecek ödeme işlemlerine ilişkin belge ve kayıtların kuruluş tarafından yurt içinde saklanması zorunludur. Verilerin korunması MADDE 62 – (3) Ödeme hizmeti sağlayıcıları tarafından ihraç edilmiş ödeme araçlarına ilişkin hassas müşteri verilerinin yurt içinde bulunan işyerleri nezdinde veya sorumluluğunda saklanması durumunda, bu verilerin yurt içinde tutulması ve saklanması zorunludur.
Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri ile Ödeme Hizmeti Sağlayıcılarının Ödeme Hizmetleri Alanındaki Veri Paylaşım Servislerine İlişkin Tebliğ	Bilgi sistemlerine ilişkin dış hizmet alım sürecinin yönetimi MADDE 16 – (7) Kuruluş her türlü veriyi işlemek, saklamak ve iletmek için bir dış hizmet olarak yurt içinde tesis edilmiş bulut bilişim hizmetlerini kullanabilir. Ancak hassas müşteri verilerini, rekabete duyarlı verileri, kişisel verileri veya müşteriyle ilintilendirilebilir ve onu belirli ya da belirlenebilir kılan her türlü bilgiyi işleyecek, saklayacak ve iletecek şekilde bulut bilişim hizmetinin alınması, bu dış hizmetin ancak sadece kuruluşa tahsis edilmiş donanım ve yazılım kaynakları üzerinden sunulduğu özel bulut hizmet modeli ile alınması halinde mümkündür. Banka tarafından uygun görülen dış hizmet sağlayıcılar tarafından sunulması durumunda kuruluş, sadece ödeme hizmeti sağlayıcılarına veya bilgi sistemlerine ilişkin faaliyetleri ilgili mevzuat çerçevesinde yetkili bir otorite tarafından düzenlenen ve denetlenen diğer kredi kuruluşları veya finansal kuruluşlara tahsis edilmiş donanım ve yazılım kaynaklarının fiziksel olarak paylaşıldığı ancak mantıksal olarak her ödeme hizmeti sağlayıcısına özgü ayrı kaynağın atandığı topluluk bulutu hizmet modeliyle dış hizmet alabilir. Topluluk bulutu hizmetinin, kuruluşun ana ortağı, iştiraki veya ana ortağının iştiraki olan ve bilgi sistemlerine ilişkin faaliyetleri ilgili mevzuat çerçevesinde yetkili bir otorite tarafından düzenlenen ve denetlenen bir kredi kuruluşu veya finansal kuruluş (Ek ibare:RG-7/10/2023-32332) ya da bunlara bilgi sistemleri ile alakalı olarak hizmet sunan bağlı ortaklıkları tarafından verilmesi, sadece ana ortak, iştirakleri ve ana ortağın iştiraklerine tahsis edilmiş donanım ve yazılım kaynaklarının fiziksel olarak paylaşıldığı ancak mantıksal ayrıma gidilerek kuruluşa özgü ayrı bir kaynak atanması koşuluyla bu fıkra hükümlerine aykırılık teşkil etmez. Kuruluşun müşteri verisi içermeyen test ve geliştirme ortamları ve sistemleri için gerekli güvenlik tedbirlerini alarak bulut bilişim hizmeti alması halinde bu fıkra hükmü uygulanmaz. Bilgi sistemlerine ilişkin sınırlamalar MADDE 21 – (1) Kuruluşların birincil ve ikincil sistemleri ile veri yedekleme merkezlerini yurt içinde bulundurmaları zorunludur. Bu maddenin uygulanmasında, Yönetmeliğin 19 uncu maddesinin on üçüncü fıkrası hükümleri saklıdır. (2) Aynı kuruluşun müşterileri ya da farklı kuruluşların müşterileri arasındaki ödeme işlemlerinin yürütülmesinde kullanılan tüm bilgi sistemleri ve bunların yedeklerinin yurt içinde bulunması esastır. Bu kapsamda dış hizmet alınması halinde, dış hizmet sağlayıcının söz konusu hizmete ilişkin faaliyetleri yürütmede kullandığı bilgi sistemleri ve bunların yedekleri de yurt içinde tutulur.
BİLGİ TEKNOLOJİLERİ VE İLETİŞİM KURUMU (BTK)
5809 sayılı Elektronik Haberleşme Kanunu	Kişisel verilerin işlenmesi ve gizliliğin korunması MADDE 51 – (6) Kişisel verilerin yurt dışına aktarılmasına ilişkin ilgili mevzuat hükümleri saklı kalmak kaydıyla, trafik ve konum verileri ancak ilgili kişilerin açık rızaları alınmak koşuluyla yurt dışına aktarılabilir.
Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına İlişkin Yönetmelik	İlkeler MADDE 5 – (2) Milli güvenlik gerekçesiyle trafik ve konum verilerinin yurt dışına çıkarılmaması esastır. Açık rıza alma şartları MADDE 8 – (1) İşletmeciler, aboneden/kullanıcıdan açık rıza alınmasını gerektiren durumlarda aşağıdaki şartları yerine getirir: e) Trafik ve konum verilerinin üçüncü taraflara aktarımının söz konusu olduğu durumlar için; 1) Aktarılacak verinin kapsamı, 2) Aktarılacak tarafın adı ve açık adresi, 3) Aktarma amacı ve süresi, 4) Üçüncü tarafın yurt dışında olması halinde verinin aktarılacağı ülkenin adı, şeklindeki bilgiler verilerek ayrıca açık rıza alınır. Bu bilgilerde değişiklik olması halinde tekrar açık rıza alınır.
5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun	EK MADDE 4 – (6) Türkiye’den günlük erişimi bir milyondan fazla olan yurt içi veya yurt dışı kaynaklı sosyal ağ sağlayıcı, Türkiye’deki kullanıcıların verilerini Türkiye’de barındırma yönünde gerekli tedbirleri alır.
BTK Sosyal Ağ Sağlayıcı Hakkında Usul ve Esaslar (Karar Tarihi: 28.03.2023, Karar Sayısı: 2023/DK-İD/119)	Verilerin Türkiye’de barındırılması MADDE 13 – (1) Türkiye’den günlük erişimi bir milyondan fazla olan sosyal ağ sağlayıcı, Türkiye’deki kullanıcıların verilerini Türkiye’de barındırma yönünde gerekli tedbirleri alır. (2) Bu maddenin uygulanmasında temel kullanıcı bilgileri ile Kurum tarafından bildirilebilecek hususlara ilişkin verilerin Türkiye’de barındırılması yönünde gerekli tedbirlerin alınmasına öncelik verilir.
Elektronik İmza Kanunu’nun Uygulanmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik	İmza Oluşturma ve Doğrulama Verileri Madde 18 – ESHS, kendi imza oluşturma ve doğrulama verileri ile sertifikasını  Türkiye Cumhuriyeti sınırları içerisinde oluşturur ve imza oluşturma verisini hiçbir şekilde bu sınırların dışına çıkaramaz.
Uzaktan Programlanabilir SIM Teknolojileri (eSIM) Konulu Kurul Kararı (Karar Tarihi: 12.02.2019, Karar No: 2019/DK-TED/053)	Uzaktan Programlanabilir SIM teknolojilerine yönelik olarak; eSIM abonelik yönetimi (GSMA-SM – GSMA Subscription Manager) süreci ile ilgili olan profil verisi hazırlama ve güvenli yönlendirme sunucuları (SM-DP (Subscription Manager Data Preparation), SM-SR (Subscription Manager Secure Routing), SM-DP+, SM-DS (Subscription Manager Discovery Server), Veri Merkezi ve süreç içerisinde GSMA tarafından belirlenebilecek benzeri fonksiyonlara sahip sistem bileşenleri) ve yazılımlar (SM-DP, SM-SR, SM-DP+, SM-DS, Veri Merkezi ve süreç içerisinde GSMA tarafından belirlenebilecek benzeri fonksiyonlara sahip sistem bileşenleri üzerinde çalışan yazılımlar, platformlar, LPA (Local Profile Assistant) de dahil abonelik profili yönetimine ilişkin mobil uygulamalar) ile GSMA standartlarında eSIM platformu ile ilgili öngörülen diğer ekipman ve yazılımlar da dahil tüm yapı, sistem ve depolama birimlerinin, ülkemizde yetkilendirilen işletmeci tarafından veya tüm sorumluluk işletmeciye ait olmak üzere işletmecilerin belirleyeceği üçüncü kişiler tarafından ülkemiz sınırları içerisinde tesis edilmesi, birlikte çalışabilirliğinin temin edilmesi, kontrolünün sağlanması, tüm verinin ülkemiz sınırları içerisinde tutulması, tüm bu sistemlerin GSMA standartlarına uygun olarak kurulması ve ilgili dokümantasyon ve süreçlerin tamamlanarak sistemlerin 29.02.2020 tarihine kadar Kurumca belirlenecek yerde kurulması,
Kayıtlı Elektronik Posta Sistemine İlişkin Usul ve Esaslar Hakkında Yönetmelik	KEPHS’nin yükümlülükleri MADDE 16 – (1) KEPHS; l) KEP sistemine ilişkin ana ve yedek sistemlerini Türkiye Cumhuriyeti sınırları içerisinde bulundurmakla,
BTK 112 Tabanlı Araç İçi Acil Çağrı Sistemi (E-Call) Kurul Kararı (Karar Tarihi: 22.01.2018, Karar No: 2018/DK-YED/27)	112 Acil Çağrı Servisi Tabanlı Araç İçi Acil Çağrı Sistemin Yerleştirilmesi ile İlgili Tip Onayı Yönetmeliği’ne uygun olarak ülkemizde kullanılmak üzere üretilen veya ithalat yoluyla satılan araçlardaki eCall ile birlikte katma değerli hizmet sunumuna imkan sağlayan haberleşme sistemlerinde hizmet verecek sunucuların başta 5809 sayılı Elektronik Haberleşme Kanununda belirtilen milli güvenlik ve kamu düzenine ilişkin hükümler ile ilgili diğer mevzuata uygun olarak ülkemizde bulundurulması ve sistemdeki kişisel verilerin ilgili kişinin açık rızası olmaksızın yurt dışına çıkartılmaması,
ULAŞTIRMA VE ALTYAPI BAKANLIĞI
İnternet Alan Adları Yönetmeliği	Kayıt kuruluşlarının yükümlülükleri MADDE 17 – (1) KK’lar; k) TRABİS’e entegre olan sistemlerini ve yedeklerini Türkiye Cumhuriyeti sınırları içinde bulundurmakla,
Elektrikli Skuter Yönetmeliği	Yetki belgesi almanın veya yenilemenin özel şartları MADDE 8 – (1) Yetki belgesi için başvuranların; c) Gerçekleştirecekleri faaliyetlere ilişkin verilerin tutulacağı veri tabanının saklanacağı sunucuların Türkiye Cumhuriyeti sınırları içerisinde barındırılması ve İdarenin erişimine açık olması,
GELİR İDARESİ BAŞKANLIĞI (GİB)
Gelir İdaresi Başkanlığı (GİB) Elektronik Defter Genel Tebliği (Sıra No:1)	4.4. e-Defter Dosyaları, Berat Dosyaları ve Muhasebe Fişlerinin Muhafaza ve İbrazı 4.4.1. Bu Tebliğ kapsamında, e-Defter uygulamasına dâhil olanlar, muhafaza ve ibraz ödevlerini yerine getirirken aşağıdaki hususlara uygun hareket etmek zorundadırlar: d) e-Defter ve berat dosyalarının e-Defter uygulamasına dâhil olan mükelleflerin kendilerine ait bilgi işlem sistemlerinde muhafaza edilmesi mecburidir. Üçüncü kişiler nezdinde ya da yurt dışında muhafaza işlemi, muhafaza ve ibraz sorumluluğunu ortadan kaldırmamakta ve Başkanlık ve Genel Müdürlük açısından herhangi bir hüküm ifade etmemektedir. Muhafaza yükümlülüğünün Türkiye Cumhuriyeti sınırları içerisinde ve Türkiye Cumhuriyeti kanunlarının geçerli olduğu yerlerde yerine getirilmesi zorunludur.
Gelir İdaresi Başkanlığı (GİB) Vergi Usul Kanunu Genel Tebliği (Sıra No: 509)	V.1.2. Özel Entegratörlerin Bilgi İşlem Sistemi Aracılığıyla Kullanım (Özel Entegratör Yöntemi) Mükellefin, e-Belge gönderip alma işlemini özel entegrasyon izni alan mükelleflere ait bilgi işlem sistemi vasıtasıyla gerçekleştirmesi, muhafaza ve ibraz ödevlerini ortadan kaldırmaz. e-Belge gönderip alma işleminde kullanılan bilgi işlem sistemi yazılım ve donanım alt yapısının Türkiye Cumhuriyeti sınırları içerisinde ve Türkiye Cumhuriyeti kanunlarının geçerli olduğu yerlerde bulunması zorunludur. VI. Muhafaza ve İbraz Yükümlülüğü Mükelleflere ait e-Belgelerin yine mükelleflere ait bilgi işlem sistemlerinde saklanması esas olup üçüncü kişiler nezdinde de elektronik saklama yapılabilecektir. Başka mükelleflerden (Başkanlıktan izin alan saklamacı kuruluşlar dâhil) elektronik saklama hizmetinin alınması mükelleflerin e-Belgelerinin muhafaza ve ibraza ilişkin asli sorumluluğunu ortadan kaldırmaz. e-Belgelerin muhafazasının Türkiye Cumhuriyeti sınırları içerisinde ve Türkiye Cumhuriyeti kanunlarının geçerli olduğu yerlerde yapılması zorunludur. Bu zorunluluk yurt dışında ikincil bir arşivleme yapılmasına engel teşkil etmez.
Gelir İdaresi Başkanlığı (GİB)  Vergi Usul Kanunu Genel Tebliği (Sıra No: 431)	Uygulanacak diğer hükümler Madde 7 – (3) Muhafaza ve ibraz işleminin Türkiye Cumhuriyeti sınırları içerisinde ve Türkiye Cumhuriyeti kanunlarının geçerli olduğu yerlerde yapılması zorunludur. Elektronik ortamda oluşturulan kayıtların muhafazası, mükelleflere ait bilgi işlem sistemlerinde gerçekleştirilir.
SİGORTACILIK VE ÖZEL EMEKLİLİK DÜZENLEME VE DENETLEME KURUMU (SEDDK)
Sigortacılık ve Özel Emeklilik Sektörlerinde İç Sistemlere Dair Yönetmelik	Bilgi sistemlerinin ve iş süreçlerinin tesisi MADDE 16 – (5) Kuruluşların birincil ve ikincil sistemlerini yurt içinde bulundurmaları zorunludur. Ancak, elektronik posta hizmetleri, telekonferans veya video konferans gibi hizmetler birincil ve ikincil sistemlerin yurt içinde bulundurulma zorunluluğundan istisnadır.
SAĞLIK BAKANLIĞI
Sağlık Bilgi Yönetim Sistemleri Hakkında Yönetmelik	Gizlilik MADDE 16- (2) Sağlık hizmeti sunumu ve ilgili süreçler kapsamında elde edilen veriler; sağlık hizmeti sunucularının veri kayıt ortamları, Bakanlığın merkezi sağlık veri sistemleri veya Genel Müdürlüğün onayladığı diğer veri kayıt ortamları haricinde hiçbir yere kaydedilemez ve aktarılamaz. (3) Kişisel sağlık verilerinin muhafaza edileceği veri ortamları, talep üzerine Genel Müdürlük tarafından kurulan bir komisyon marifeti ile uzaktan ya da yerinde denetlenir ve onaylanır. Veriler yalnızca yurt içinde ve güvenli bir şekilde muhafaza edilir. (4) Ülke dışında hizmet veren sağlık kuruluşlarında ise hizmet verilen yerdeki düzenlemeler çerçevesinde işlem tesis edilir.
Sağlık Bilgi Sistemleri Uygulamaları Hakkında 2015/17 sayılı Genelge	2. Sağlık Bilgi Sistemleri Standartları ve Entegrasyonu 2.7. Bilgi sistemlerindeki veriler; sağlık tesislerindeki veri kayıt ortamları, Bakanlık merkezi veri kayıt ortamı ya da Genel Müdürlüğün onayladığı veri kayıt ortamları haricinde hiçbir yere kaydedilemez ve gönderilemez.
Sağlık Bakanlığı USBS Uzaktan Sağlık Bilgi Sistemi Kılavuzu	26. Uygulama verileri, kurumun kendi özel sistemleri veya kurum kontrolündeki yurt içi bulut ortamlarında saklanabilmelidir. 27. USBS içinde yer alan anlık mesajlaşma ve görüntülü görüşme yeteneği için kullanılan sunucular, yurt içinde ve kurum kontrolünde olmalıdır.
İÇİŞLERİ BAKANLIĞI
Türkiye Cumhuriyeti Kimlik Kartı Elektronik Kimlik Doğrulama Sistemi Yönetmeliği	KDHS verileri MADDE 20 – (1) KDHS, EKDS’ye ilişkin imza oluşturma ve doğrulama verileri ile sertifikasını Türkiye Cumhuriyeti sınırları dışına çıkaramaz.
SİVİL HAVACILIK GENEL MÜDÜRLÜĞÜ
2920 sayılı Türk Sivil Havacılık Kanunu	Milli Sivil Havacılık Güvenlik Kurulu ve havacılık güvenliği Madde 40 – Havayolu ile seyahat edecek kişilerin bilgileri kişilerin seyahatini kolaylaştırmak veya güvenlik ve risk değerlendirmesi yapmak amacıyla 24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu çerçevesinde toplanabilir, kaydedilebilir, işlenebilir, paylaşılabilir, havacılık güvenliği ve emniyetini sağlamak üzere değerlendirilerek gereken tedbirler alınabilir. Bu kapsamda, talep halinde yolcu bilgileri havayolu işletmeleri veya kurumlar tarafından üçüncü ülkelerle İçişleri Bakanlığının uygun görüşü ile paylaşılabilir. İçişleri Bakanlığı değerlendirme esnasında ilgili tüm kurum ve kuruluşlar ile koordine sağlar ve mütekabiliyet çerçevesinde karar verir.