KVKK Kapsamında Bulut Bilişimde Veri Sorumlusu ve Veri İşleyen Sözleşmeleri Rehberi

Bir bulut hizmetinin birkaç tıklamayla devreye alınabilmesi, kişisel veriler bakımından riskin de aynı ölçüde basit olduğu anlamına gelmez. Müşteri kayıtlarından çalışan dosyalarına kadar geniş bir veri kümesi başka bir altyapıya taşınırken kimin karar verdiği, kimin talimatla hareket ettiği ve bir güvenlik olayında kimin ne yapacağı sözleşmede açık değilse teknik kolaylık ciddi bir hukuki ve ticari belirsizliğe dönüşebilir. Sağlam bir bulut sözleşmesi, hizmeti yalnızca satın almaz; verinin yaşam döngüsünü baştan sona düzenler.

Bulut Bilişimde Veri Sorumlusu ve Veri İşleyen Ayrımı Nasıl Yapılır?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) bakımından veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulması ve yönetilmesinden sorumlu gerçek veya tüzel kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına ve talimatları çerçevesinde kişisel verileri işleyen veri sorumlusunun organizasyonu dışındaki gerçek veya tüzel kişidir.

Bu ayrım sözleşmedeki “sağlayıcı”, “iş ortaklığı” veya “veri işleyen” etiketine göre değil, fiilî karar yetkisine göre yapılır. Hangi verilerin, kimlerden, hangi amaçla toplanacağına; kimlerle paylaşılacağına ve ne kadar süre saklanacağına müşteri karar veriyorsa veri sorumlusu genellikle müşteridir. Sağlayıcının depolama yöntemi, altyapı mimarisi veya güvenlik aracının teknik ayrıntılarını seçmesi ise tek başına onu veri sorumlusu yapmaz.

Nitekim Kişisel Verileri Koruma Kurulunun 22.02.2024 tarihli ve 2024/284 sayılı kararında, işleme amacını, veri kategorilerini ve saklama süresini belirlemeyen teknik hizmet sağlayıcısının veri işleyen olarak nitelendirilebileceği kabul edilmiştir. Kişisel Verileri Koruma Kurumunun Veri Sorumlusu ve Veri İşleyen Rehberi’ndeki bulut örneğinde de müşterinin verilerini yalnızca müşterinin talimatına uygun saklayan ve kendi amaçları için kullanamayan sağlayıcı veri işleyendir.

Ancak aynı tüzel kişi, farklı faaliyetlerde farklı roller üstlenebilir. Bulut şirketi müşterinin verisini talimatla barındırırken veri işleyen; kendi çalışanlarının verileri bakımından veri sorumlusudur. Daha önemlisi, müşteri verilerini ürün geliştirme, hedefli reklam, kendi analitiği veya yapay zekâ modeli eğitimi gibi bağımsız amaçlarla kullanmaya başlarsa bu kullanım yönünden ayrı bir veri sorumluluğu gündeme gelebilir. Böyle bir amaç, genel bir “hizmeti iyileştirme” ifadesinin içine gizlenmemeli; rol, hukuki sebep, aydınlatma ve aktarım sonuçları ayrıca değerlendirilmelidir.

Bulut Sağlayıcıya Veri Güvenliği Sorumluluğu Devredilebilir mi?

Veri sorumlusu, bulut altyapısını ve operasyonun önemli bölümünü dışarıdan alsa da KVKK kapsamındaki sorumluluğunu bütünüyle sağlayıcıya devredemez. Kanun’un 12. maddesi; hukuka aykırı işlemeyi ve erişimi önleme, verileri muhafaza etme ve uygun güvenlik düzeyini sağlama yükümlülüğünü veri sorumlusuna yükler. Kişisel veriler başka bir kişi tarafından veri sorumlusu adına işleniyorsa gerekli tedbirlerin alınması bakımından veri sorumlusu ile veri işleyen birlikte sorumludur.

Bu nedenle sözleşme, kanundan doğan kamusal sorumluluğu ortadan kaldıran bir kalkan değildir. Görevleri somutlaştırır, denetim ve belgelendirme süreçlerini düzenler, hizmet seviyesi ile tazminat ilişkisini belirler ve taraflar arasındaki rücu imkânını güçlendirir. Sağlayıcının bilgi güvenliği sertifikası veya yüksek erişilebilirlik taahhüdü de müşterinin risk değerlendirmesi ve denetim yükümlülüğünün yerini tutmaz.

KVKK’de Avrupa Birliği Genel Veri Koruma Tüzüğü’nün 28. maddesine benzer, bütün veri işleyen sözleşmeleri için aynı ayrıntıda genel bir zorunlu madde listesi bulunmamaktadır. Yine de Kanun’un 12. maddesi, hesap verebilirlik yaklaşımı, Kurul kararları ve Kurumun güvenlik rehberleri; veri işleme ilişkisinin yazılı, ölçülebilir ve denetlenebilir hükümlerle kurulmasını güçlü bir risk yönetimi gereği hâline getirir.

Bulut Hizmet Alımlarında Sözleşme Mimarisi: DPA, SLA ve Güvenlik Ekleri

Tek bir ana hizmet sözleşmesine dağınık birkaç veri koruma cümlesi eklemek, çoğu bulut alımı için yeterli olmaz. Belgeler birbiriyle çelişmeyecek bir öncelik sırasıyla şu katmanlarda kurulabilir:

• Veri İşleme Sözleşmesi: Rolleri, talimat sınırını, veri kategorilerini, güvenlik ve uyum görevlerini belirler.
• Hizmet Seviyesi Anlaşması (SLA): Erişilebilirlik, performans, destek ve kesinti telafisini ölçülebilir hâle getirir.
• Ana Hizmet Sözleşmesi: Hizmetin kapsamını, ücreti, süreyi, fikrî hakları, genel sorumluluğu ve feshi düzenler.
• Alt Veri İşleyen ve Lokasyon Listesi: Veri merkezlerini, destek konumlarını, yedek bölgelerini ve alt sağlayıcıları görünür kılar.
• Bilgi Güvenliği Eki: Şifreleme, çok faktörlü kimlik doğrulama, günlük kayıtları, yedekleme, zafiyet yönetimi ve olay müdahalesi gibi kontrolleri teknik ayrıntıya bağlar.

Ana metin ile çevrim içi politika çeliştiğinde hangisinin uygulanacağı açık olmalıdır. Sağlayıcının internet sitesindeki şartları tek taraflı değiştirebilmesi; güvenlik seviyesini, alt veri işleyenleri veya veri lokasyonunu müşteri fark etmeden değiştirebilir. Esaslı değişikliklerde önceden bildirim, itiraz veya haklı fesih mekanizması kurulması bu riski azaltır.

Bulut Veri İşleme Sözleşmesinde (DPA) Yer Alması Önerilen Temel Hükümler

İşleme Amacı, Talimat Sınırları ve İkincil Veri Kullanım Yasakları

Sözleşme; işleme konusunu, hizmet süresini, amaçları, işlem türlerini, ilgili kişi gruplarını ve veri kategorilerini tarif etmelidir. Talimatların kim tarafından, hangi kanaldan verileceği ve mevzuata aykırı görülen bir talimat karşısında sağlayıcının nasıl hareket edeceği belirlenmelidir.

Sağlayıcının veriyi yalnızca hizmeti sunmak için kullanacağı açıkça yazılmalı; ürün geliştirme, reklam, bağımsız profil çıkarma veya yapay zekâ eğitimi gibi ikincil amaçlar yasaklanmalı ya da ayrı bir hukuki değerlendirmeye bağlanmalıdır. Toplulaştırma ve anonimleştirme ifadeleri de denetimsiz bir kullanım izni yaratmamalıdır; geri döndürülebilir veya kişilerle ilişkilendirilebilir veri anonim sayılmaz.

Erişim Kontrolleri, MFA ve Teknik-İdari Güvenlik Tedbirleri

Veriye erişim, görev gereği bilmesi gereken kişilerle sınırlandırılmalı; yetkilendirme, periyodik erişim kontrolleri ve personel gizlilik yükümlülüğü düzenlenmelidir. Destek ekibinin üretim verisine erişimi olağan kabul edilmemeli, onay ve kayıt mekanizmasına bağlanmalıdır.

Teknik ve idari tedbirler soyut bir “sektör standardı” ifadesine bırakılmamalıdır. Risk seviyesine göre şu başlıklar ölçülebilir biçimde yazılabilir:

• Zafiyet, yama, kötü amaçlı yazılım ve sızma testi süreçleri
• İş sürekliliği, felaket kurtarma hedefleri ve periyodik tatbikatlar
• Erişim ve yönetici işlemlerinin değiştirilemez günlük kayıtlarıyla izlenmesi
• Aktarım sırasındaki ve depolanan verilerin şifrelenmesi ile anahtar yönetimi
• Yedekleme, geri yükleme testleri ve senkronizasyon hatalarına karşı kontroller
• Çok faktörlü kimlik doğrulama, ayrıcalıklı hesap kontrolü ve rol tabanlı yetkilendirme

Denetim maddesi; sertifika ve bağımsız raporların sunulmasını, yüksek riskli veya olay sonrası hâllerde ek bilgi ve makul yerinde denetimi, bulguların giderilme sürelerini kapsamalıdır. Denetim hakkı, diğer müşterilerin sırlarını veya sistem güvenliğini tehlikeye atmayacak ölçülü bir usulle işletilebilir.

Alt Veri İşleyen Zinciri Yönetimi ve Değişiklik İtiraz Mekanizmaları

Bulut hizmeti çoğu zaman veri merkezi, çağrı merkezi, izleme, e-posta ve destek şirketlerinden oluşan bir zincire dayanır. Bu nedenle mevcut alt veri işleyenler, görevleri ve faaliyet konumları sözleşme ekinde gösterilmelidir. Yeni bir alt veri işleyenin görevlendirilmesi için önceden bildirim süresi, müşterinin gerekçeli itiraz hakkı ve çözülemeyen riskte fesih veya alternatif hizmet imkânı tanımlanmalıdır.

Ana sağlayıcı, alt veri işleyene en az kendi üstlendiği veri koruma ve güvenlik yükümlülüklerini aktarmalıdır. Alt sözleşme kurulmuş olması müşterinin ana muhatabını belirsizleştirmemeli; ana sağlayıcı zincirin yönetimi ve ihlali bakımından sözleşmesel sorumluluğunu korumalıdır.

Bulutta Veri İhlali Bildirimi: 72 Saat Kuralı ve Olay Müdahalesi

Kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde Kurula bildirim görevi veri sorumlusuna aittir. Kurulun 2019/10 sayılı kararı uyarınca veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapmalıdır. Bu 72 saat, veri işleyene doğrudan yüklenen bağımsız bir Kurul bildirimi süresi gibi kaleme alınmamalıdır.

Müşterinin değerlendirme ve bildirim için çok az zamanı bulunduğundan veri işleyenin veri sorumlusuna “gecikmeksizin” ve ihlali öğrendiği andan itibaren sözleşmede saat bazında belirlenen kısa bir süre içinde haber vermesi gerekir. İlk bildirim bütün ayrıntıları içermese dahi olayın zamanı, etkilenen sistem ve veriler, olası sonuçlar, alınan tedbirler ve irtibat kişisi açıklanmalıdır. Günlük kayıtlarının, sistem görüntülerinin ve diğer delillerin korunması; kök neden analizi, güncellemeler, ilgili kişilere bildirim desteği ve resmî makamlarla koordinasyon da sözleşmeye bağlanmalıdır.

İlgili Kişi Başvuruları ve Kurul Denetimlerinde Sağlayıcı Desteği

Sağlayıcı, ilgili kişi başvurusuna kendi adına cevap vermek yerine talebi gecikmeden veri sorumlusuna iletmeli ve veri bulma, dışa aktarma, düzeltme, erişimi kısıtlama veya silme işlemlerinde yardımcı olmalıdır. Yanıt süreleri, ücretlendirme ve teknik kapasite önceden belirlenirse başvuru geldiğinde iş akışı yeniden tasarlanmak zorunda kalmaz.

Aynı destek; Kurul bilgi talepleri, denetimler, etki ve risk değerlendirmeleri ile ihlal incelemeleri için de düzenlenmelidir. Sağlayıcının hangi kayıtları ne kadar sürede sunacağı ve yetkili ekiplerle nasıl iletişim kuracağı açık olmalıdır.

Sözleşme Sonunda Veri İadesi, Güvenli Silme ve Yedeklerin İmhası

Saklama süresi müşteri talimatı ve hukuki gerekliliklerle uyumlu olmalıdır. Fesihte verinin hangi açık ve kullanılabilir formatta iade edileceği; aktif sistemlerden, yedeklerden, çoğaltılmış ortamlardan ve alt işleyenlerden ne zaman silineceği belirlenmelidir. Teknik olarak anında silinemeyen yedekler için izolasyon, yeniden kullanmama, olağan döngüde üzerine yazma süresi ve silme teyidi düzenlenebilir.

“Hesap kapatıldı” kaydı, bütün kopyaların güvenli biçimde silindiğini tek başına kanıtlamaz. Silme raporu veya yetkili teyidi, saklama istisnasının hukuki dayanağı ve istisna süresince uygulanacak erişim kısıtları dosyada bulunmalıdır.

Bulut Bilişimde Yurt Dışı Aktarım ve Standart Sözleşmeler

Türkiye’de bir veri merkezi seçmek her erişimin Türkiye’de kalmasını garanti etmez. Yurt dışındaki destek personeli, küresel yönetim paneli, yabancı alt veri işleyen, felaket kurtarma merkezi veya yedekleme bölgesi kişisel verilere erişebiliyorsa KVKK’nin 9. maddesi bakımından yurt dışı aktarım analizi gerekebilir. Veri yerleşimi seçeneği bu nedenle erişim haritasıyla birlikte incelenmelidir.

Ticari veri işleme sözleşmesi ile KVKK’nin 9. maddesindeki uygun güvence mekanizmalarından biri olan standart sözleşme aynı belge değildir. İlki, hizmet ilişkisindeki rol, güvenlik, talimat ve sorumluluk dağılımını yönetir; ikincisi, belirli bir yurt dışı aktarımının hukuki mekanizmasını kurar. Kurum, aktarım taraflarının rollerine göre veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna olmak üzere dört standart sözleşme türü yayımlamıştır.

Uygun standart sözleşme, somut aktarım zincirine göre seçilmeli ve imzalanmasını takip eden beş iş günü içinde Kuruma bildirilmelidir. Yeterlilik kararı, bağlayıcı şirket kuralları ve Kanun’daki diğer aktarım mekanizmalarının uygulanabilirliği ayrıca değerlendirilebilir. Metnin değiştirilmesi veya yalnızca sağlayıcının yabancı hukuk sözleşmesine atıf yapılması, KVKK kapsamındaki şekil ve bildirim gerekliliklerini kendiliğinden karşılamaz.

Bulutta Özel Nitelikli Veri İşleme

Sağlık, biyometrik ve genetik veriler ile Kanun’da sayılan diğer özel nitelikli kişisel veriler işlendiğinde genel güvenlik paketiyle yetinilmemelidir. Kurulun 2018/10 sayılı kararında öngörülen çerçeve doğrultusunda ayrı politika ve prosedürler, görev bazlı yetkilendirme, düzenli eğitim, gizlilik taahhütleri ve daha sık erişim kontrolü gerekir.

Elektronik ortamdaki veriler şifrelenmeli; kriptografik anahtarlar güvenli ve ayrı ortamlarda tutulmalı, uzaktan erişimde en az iki aşamalı kimlik doğrulama ve güvenli aktarım kanalları kullanılmalıdır. Bulut sağlayıcısının anahtara erişimi, destek oturumları, yönetici hesapları ve olay kayıtları özel olarak sorgulanmalıdır. Hizmetin sağlık veya insan kaynakları gibi yüksek riskli bir süreçte kullanılması, güvenlik ekinin ve denetim sıklığının buna göre ağırlaştırılmasını gerektirir.

Bulut Sağlayıcı Seçiminde KVKK Uyumu ve Bilgi Güvenliği Durum Tespiti (Due Diligence) Listesi

Pazarlama sunumu veya sertifika listesi, somut veri akışını tek başına açıklamaz. Teklif kabul edilmeden önce iş, hukuk, bilgi güvenliği ve satın alma ekipleri en az şu kontrolleri tamamlamalıdır:

• İşlenecek veri ve ilgili kişi kategorileri veri envanteriyle eşleştirildi mi?
• Fiyat değişikliği, hizmet kesintisi ve alt işleyen değişiminde çıkış hakkı var mı?
• İlgili kişi başvurusu, Kurul talebi ve denetim için hizmet seviyesi tanımlandı mı?
• Veri merkezi, yedek, destek erişimi ve alt veri işleyen konumları haritalandı mı?
• İhlal bildirimi müşterinin 72 saatlik takvimini karşılayacak kadar kısa ve işler mi?
• Müşteri ile sağlayıcının her işleme faaliyeti bakımından rolü ayrı ayrı belirlendi mi?
• Yurt dışı aktarım mekanizması ve gerekiyorsa standart sözleşme türü belirlendi mi?
• Şifreleme, anahtar yönetimi, çok faktörlü kimlik doğrulama ve günlük kaydı kanıtlandı mı?
• Veri dışa aktarımı gerçek bir örnekle test edildi mi; format, süre ve ücret kabul edilebilir mi?
• Sağlayıcının veriyi kendi amacı için kullanmasını sağlayan lisans veya ürün geliştirme hükmü var mı?

Bu soruların yanıtları, yalnızca hukuki uyumu değil operasyonun sürdürülebilirliğini ve toplam geçiş maliyetini de gösterir.

Vendor Lock-in Riskini Önleme: Bulut Sözleşmelerinde Fesih ve Geçiş Yönetimi

Bulut sözleşmesinin en kritik anı bazen hizmete giriş değil, hizmetten çıkıştır. Sağlayıcı bağımlılığı olarak da anılan vendor lock-in riski; verinin kapalı formatta tutulması, dışa aktarım ücretinin yüksekliği, uygulama bağlantılarının taşınamaması veya geçiş desteğinin belirsizliği nedeniyle müşteriyi fiilen sözleşmede kalmaya zorlayabilir.

Sözleşme; olağan fesih, güvenlik ihlali, tekrarlanan hizmet kesintisi, mevzuata aykırı aktarım ve kabul edilemez alt işleyen değişikliği için çıkış senaryolarını düzenlemelidir. Geçiş dönemindeki paralel çalışma, teknik destek, veri formatı, bütünlük doğrulaması, günlük kayıtlarının teslimi ve iş birliği süresi önceden belirlenmelidir. Silme işlemi, yeni sisteme aktarımın eksiksiz olduğu doğrulanmadan başlatılmamalıdır. Sorumluluk sınırları da bu aşamayla uyumlu kurulmalıdır. Genel ücret tutarıyla sınırlı bir tazminat hükmünün veri ihlali, gizlilik ihlali, hukuka aykırı bağımsız kullanım veya silmeme gibi risklerde yeterli olup olmadığı ayrıca müzakere edilmelidir. Siber risk sigortasının kapsamı, istisnaları ve poliçe limiti incelenmeli; sigorta varlığı sözleşmesel sorumluluğun yerine geçirilmemelidir.

Esenyel Partners ile Bulut Sözleşmelerinde Veri Riskini Baştan Yönetin

Belirsiz roller, görünmeyen alt sağlayıcılar ve işlemeyen bir çıkış planı, bulut hizmetinin maliyet avantajını veri ihlali, mevzuata aykırılık ve iş sürekliliği riskine çevirebilir. Bu riskler, satın alma tamamlandıktan sonra değil, veri akışı tasarlanırken yönetilmelidir.

Esenyel Partners; rol ve aktarım analizinden veri işleme sözleşmesi ile güvenlik eklerinin hazırlanmasına, tedarikçi müzakeresinden olay ve fesih planlarının kurulmasına kadar bulut hizmet alımının hukuki yapısını iş ihtiyaçlarıyla birlikte değerlendirebilir.

Yeni bir bulut hizmetine geçmeden veya mevcut sağlayıcı sözleşmenizi yenilemeden önce veri akışınızı ve sözleşme katmanlarınızı gözden geçirmek için Esenyel Partners ile iletişime geçebilirsiniz.

İletişim