Bulut bilişimde gerçek KVKK uyumu, verinin mülkiyeti ve egemenliğinde düğümlenir. Yani altyapının yasal denetiminden şifreleme anahtarlarının kontrolüne, sistem operasyonlarından verilere hangi ülkenin kanunlarının erişebileceğine kadar uzanan hukuki ve teknik yetki alanının kime ait olduğu asıl belirleyicidir.
Türkiye’deki kurumlar verilerini yurt içindeki yerel veri merkezlerinde barındırsalar bile, yabancı menşeili sağlayıcılar kullanıldığında veriler yabancı otoritelerin erişimine açık kalabilir. Bu durum da doğrudan KVKK kapsamında ciddi riskler ve ihlaller doğurabiliyor.
Bu yüzden dijital egemenlik; sağlık, finans, SaaS, kamu, üretim ve yapay zeka odaklı sektörlerde KVKK uyumunun artık en temel şartı haline gelmiştir.
Dijital Egemenlik Nedir ve Türkiye İçin Neden Önemlidir?
Günümüzde bulut altyapısının büyük kısmı ABD merkezli küresel sağlayıcılar tarafından kontrol edilmektedir.
Bu şirketler, veriler fiziki olarak Türkiye’de ya da bölgedeki yakın veri merkezlerinde tutulsa dahi, ABD yetkililerine bu verilere doğrudan erişim hakkı tanıyan CLOUD Act gibi yabancı mevzuatlara tabidir.
Bu durum KVKK açısından ciddi bir yasal risk ve ihlal alanı doğurur. Türkiye’deki kamu kurumları, hastaneler, bankalar ve şirketler, yabancı adli makamların veri taleplerine ve yetki alanı çatışmalarına açık olduklarını fark etmeden en hassas kişisel verilerini bu altyapılarda barındırabilir. Bu da 6698 sayılı Kanun kapsamındaki yetkisiz yurt dışı veri aktarımı ve veri güvenliği hükümlerini doğrudan tehlikeye atar.
Dijital egemenlik tam da bu sorunu ortadan kaldırmayı hedefler: Türk vatandaşlarına ve kurumlarına ait verilerin hem fiziken yurt içinde kalmasını hem de yalnızca Türkiye Cumhuriyeti yasalarına ve KVKK denetimine tabi olmasını sağlar.
Veri Patlaması ve Türkiye’nin Harekete Geçmesinin Sebepleri
Türkiye’de dijitalleşmeyle birlikte üretilen veri miktarı hızla katlanırken, yerli kurumlara ve vatandaşlara ait kritik verilerin önemli bir bölümü yabancı ülke mevzuatlarına tabi küresel bulut altyapılarında barındırılmaktadır. Bu durum, veri miktarındaki artışın ötesinde, işlenen verilerin niteliği sebebiyle ciddi bir hukuki risk teşkil etmektedir.
Nitekim sağlık kayıtları, finansal hareketler, konum bilgileri ve yapay zeka modellerinin eğitiminde kullanılan veri setleri gibi KVKK kapsamında “özel nitelikli kişisel veri” sayılan varlıklar, bu altyapılarda doğrudan işlenmektedir. Ayrıca, sistem logları, tanılama kayıtları ve kullanıcı erişim kalıpları gibi meta veriler dahi kurumların operasyonel yapısını ve bilgi güvenliğini ifşa edebilecek niteliktedir.
Tırmanan siber tehditler, jeopolitik gerilimler ve yapay zeka teknolojilerinin yaygınlaşması ise Kişisel Verileri Koruma Kurumu başta olmak üzere ulusal düzenleyicileri; verinin saklandığı fiziksel lokasyon, sınır ötesi aktarım mekanizmaları ve yabancı adli makamların erişim yetkileri üzerindeki kontrolleri sıkılaştırmaya sevk etmiştir.
Dolayısıyla dijital egemenlik, Türkiye’nin ulusal veri güvenliğini KVKK çerçevesinde teminat altına alırken, teknolojik inovasyonun sürdürülebilirliğini sağlayan vazgeçilmez bir kurumsal standart niteliği taşımaktadır.
Dijital egemenlik, Türkiye’nin bir yandan inovasyonu sürdürürken diğer yandan ulusal veri güvenliğini ve KVKK uyumunu teminat altına almasının tek yoludur.
Egemen Bulut Tercihinin Hukuki ve Etik Zorunlulukları
Türkiye’deki bir işletme, ABD merkezli bir bulut sağlayıcısıyla çalıştığında, kağıt üzerinde tüm KVKK gerekliliklerini sağlamış görünebilir, ancak pratikte ciddi bir yetki alanı çatışması ortaya çıkmaktadır. Bu çelişkinin temel nedeni, yabancı ülke mevzuatlarının sınır ötesi erişim yetkileri aracılığıyla ulusal koruma mekanizmalarını fiilen işlevsiz kılabilmesidir. Bunun en somut örneği olan ABD CLOUD Act, verinin fiziken nerede barındırıldığına bakılmaksızın, ABD menşeili veya denetimindeki bir sağlayıcıda bulunması durumunda Amerikan adli makamlarına verilere doğrudan erişim talep etme hakkı tanımaktadır.
Söz konusu yetki, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) veri işleme ilkeleri, veri güvenliği yükümlülükleri ve yurt dışı veri aktarımı sınırlandırmaları ile açıkça çatışmaktadır. Sağlayıcı iki ülkenin mevzuatına aynı anda tabi olduğunda, hukuki bir emir-yetki çıkmazı oluşmakta ve veri sorumluları doğrudan yasal yaptırım riskiyle baş başa kalmaktadır.
Bu hukuki ve etik gerilim, “egemen bulut” çözümlerinin tercih edilmesini zorunlu hale getirmiştir. Türkiye yargı yetkisi altında faaliyet gösteren yerli ve bağımsız bulut sağlayıcıları, şirket merkezleri ile operasyonel kontrollerinin doğrudan ulusal hukuk sistemine bağlı olması sayesinde, yabancı otoritelerin müdahale riskini ortadan kaldırmakta ve KVKK’ya tam uyumu mümkün kılmaktadır.
KVKK Kapsamında Egemen Bulut Sağlayıcısında Aranacak Temel Özellikler
Türkiye Sınırları İçinde Veri Yerleşimi ve Hukuki Denetim
Bir bulut sağlayıcısından talep edilmesi gereken en temel şart, verinin fiziki olarak Türkiye sınırları içinde barındırılması ve sağlayıcının doğrudan Türkiye Cumhuriyeti yargı yetkisine tabi olmasıdır. Zira verinin saklandığı hukuki alan, uygulanacak yaptırımları ve koruma rejimini doğrudan belirlemektedir. İşletmelerin hassas müşteri kayıtlarını, finansal verilerini veya sağlık bilgilerini yurt içindeki egemen bir bulutta tutması, bu verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile tam koruma altında kalmasını sağlar.
Verilerin yurt içinde ve ulusal denetime tabi bir sağlayıcıda saklanması aşağıdaki güvenceleri sunar:
- Veriler, KVKK Madde 9 hükümleri (Yurt Dışına Veri Aktarımı) ihlal edilmeksizin, yabancı adli makamların sınır ötesi erişim taleplerine karşı hukuki koruma altında kalır.
- Süreçler doğrudan Kişisel Verileri Koruma Kurumu’nun (KVKK) ve ilgili ulusal otoritelerin denetim, düzenleme ve idari yaptırımlarına tabi yürütülür.
- Bilgi ve İletişim Güvenliği Rehberi başta olmak üzere kritik sektörlere yönelik ulusal siber güvenlik ve veri koruma yönergeleriyle tam uyum sağlanır.
Sağlık, finans, telekomünikasyon, hukuk ve kamu gibi düzenlemeye tabi sektörlerde uyumsuzluklar ağır idari para cezalarına, faaliyet durdurmaya ve itibar kaybına yol açabilmektedir. Bu doğrultuda veri egemenliği fiziksel konumla başlasa da nihai olarak yasal kontrolle sağlanır. Hem coğrafi konumu hem de doğrudan ulusal hukuki denetimi temin eden bir altyapı seçmek, veri sorumluları açısından yasal belirlilik oluşturur.
Meta Veri Egemenliği: Gözden Kaçırılan Gizli Uyum Riski
Kişisel veriler uçtan uca şifrelenmiş olsa dahi, bulut platformları operasyonel meta verileri toplamayı sürdürür: Sistem logları, tanılama kayıtları, trafik modelleri, API çağrıları, erişim yetkileri ve telemetri verileri bu kapsamdadır.
Söz konusu meta veriler, kurumların iç işleyişine ve kullanıcı alışkanlıklarına dair kritik operasyonel ipuçları barındırır. Yabancı sermayeli veya denetimli bir sağlayıcı kullanıldığında, birincil veri Türkiye’de tutulsa dahi bu meta verilerin sağlayıcının merkezine aktarılması veya uzaktan erişime açılması KVKK uyarınca yetkisiz “yurt dışına aktarım” ihlali doğurabilmektedir.
Tam egemen bir bulut sağlayıcısı aşağıdaki standartları sağlamalıdır:
- Verinin Türkiye’de tutulması
- Meta verilerin ve logların Türkiye sınırları içinde işlenmesi
- Teknik destek ve operasyonel müdahale hizmetlerinin doğrudan yerel ekiplerce yürütülmesi
Bu yaklaşım, kurumsal uyum mimarilerinde en sık karşılaşılan hukuki boşlukları ortadan kaldırır.
Şeffaf Fiyatlandırma ve Tedarikçi Bağımlılığının (Vendor Lock-in) Önlenmesi
Küresel hiper ölçekli bulut sağlayıcılarında karşılaşılan en belirgin operasyonel güçlüklerden biri karmaşık ve öngörülemeyen faturalandırma modelleridir. Özellikle veri çıkarma maliyetlerinin hesaplanması teknik ve mali bir belirsizlik yaratır. Buna karşılık egemen ve yerel bulut mimarilerinde şeffaf maliyetlendirme, sabit fiyatlama ve açık kullanım modelleri öne çıkmaktadır. Bu şeffaflık, bütçe yönetiminde finansal öngörülebilirlik sunar.
Bununla birlikte, açık standartlara ve açık kaynak mimarilere dayalı altyapı tercihi, kurumları tek bir sağlayıcıya bağımlı kalmaktan (vendor lock-in) korur. Açık API standartları ve açık kaynak uyumluluğu, iş yüklerinin ilerleyen dönemde farklı platformlara veya şirket içi (on-premise) sistemlere taşınabilmesini kolaylaştırır. Uzun vadeli bir bulut ve veri güvenliği stratejisinde, esneklik ve taşınabilirlik en az teknik işlevsellik kadar kritik bir gerekliliktir.
Dijital Egemenliğe Giden Yol Haritası
Kurumlar için dijital egemenlik tek bir kararla ulaşılan bir sonuç değildir, stratejik, teknik ve hukuki aşamalardan oluşan kapsamlı bir dönüşüm sürecidir.
Veri Envanteri ve Hukuki Risk Analizi
İşlenen kişisel verilerin fiziksel olarak nerede barındırıldığını, altyapı üzerinde hangi yabancı yargı alanlarının yetkisi olduğunu belirleyin. Özel nitelikli kişisel veriler başta olmak üzere hangi iş yüklerinin mutlak egemenlik gerektirdiğini netleştirin.
Veri Yönetişimi ve KVKK Politikalarının Uyumlandırılması
6698 sayılı Kanun, Kurul kararları ve Bilgi ve İletişim Güvenliği Rehberi ile uyumlu kurum içi roller, erişim matrisleri, veri sınıflandırma şemaları ve yönetişim prosedürleri oluşturun.
Mimarinin Planlanması ve Hibrit/Egemen Tasarım
Kritik ve özel nitelikli verileri genel iş yüklerinden izole eden, yerel egemen bulut ve çoklu bulut (multi-cloud) modellerini bir arada kullanan güvenli altyapı mimarisini tasarlayın.
Geçiş, Donanımsal Ayrıştırma ve Güvenlik Uygulamaları
İş yüklerini güvenli yöntemlerle taşıyın, sıfır güven (Zero Trust) yaklaşımını, uçtan uca şifrelemeyi, izole ağ protokollerini ve kesintisiz log/denetim araçlarını devreye alın.
Sürekli Denetim, Operasyonel İzleme ve Uyum Yönetimi
Teknik ve idari tedbirlerin etkinliğini düzenli olarak test edin, veri envanterini güncel tutun, erişim yetkilerini dinamik şekilde yönetin ve mevzuat değişikliklerine göre bulut mimarisini sürekli geliştirin.
Bu yapılandırılmış çerçeve, işletmelerin regülasyon uyumunu eksiksiz sağlarken, operasyonel esneklikten ve inovasyon hızından ödün vermeden bulut altyapılarını modernize etmelerine imkan tanır.
KVKK Uyumunda Güvenilir Bir Çözüm Ortağı: Bulutistan
Türkiye’nin regülasyon ortamında veri sorumlularının yasal risklerin önüne geçebilmesi, tercih edilen sağlayıcının yerel mevzuata tam entegrasyonu ve teknik yetkinlikleri ile doğrudan ilişkilidir.
Bu noktada Bulutistan, dijital egemenlik ve KVKK gereksinimlerini aşağıdaki teknik ve kurumsal standartlarla karşılamaktadır:
Yurt İçi Veri Yerleşimi ve Hukuki Koruma: Veriler ve yedekler, İstanbul, Ankara ve İzmir olmak üzere Türkiye’deki 8 farklı veri merkezinde barındırılır. Veri doğrudan Türkiye Cumhuriyeti yargı yetkisi altında kaldığından, yabancı kanunların sınır ötesi veri taleplerine ve KVKK ihlallerine karşı tam koruma sağlanır.
Uluslararası Güvenlik Tescili (CSA STAR): Küresel hiper ölçekli sağlayıcılar seviyesinde bir güvenlik sunan Cloud Security Alliance (CSA) STAR sertifikasına sahip Türkiye merkezli ilk bölgesel bulut sağlayıcısıdır.
Kişisel Veri ve Bilgi Güvenliği Standartları: KVKK Madde 12/1-c kapsamındaki veri güvenliği yükümlülükleri; ISO 27001, ISO 27701 (Kişisel Veri Yönetimi), ISO 27017 (Bulut Güvenliği), ISO 27018 (Bulutta Kişisel Verilerin Korunması) ve ISAE 3402 denetim raporları ile belgelenmektedir.
İzole Ağ ve Özel Bulut Mimarisi: Çok kiracılı sistemlerin doğurabileceği veri karışması risklerine karşı her müşteri, dedike bir sanal güvenlik duvarı ve bağımsız yerel ağ (WLAN) arkasında izole bir mimaride konumlandırılır.
Lokal Yapay Zeka ve Veri İşleme (GPUaaS & LLMaaS): Kurumların yapay zeka iş yükleri, veri setleri, prompt’lar ve model çıktıları yurt dışına çıkarılmadan, yerli GPU sunucu havuzu ve Türkiye’nin ilk yerli LLM-as-a-Service (LLMaaS) altyapısı üzerinden KVKK uyumlu olarak işlenir.
Öngörülebilir Maliyet ve Esnek Mimari: Açık kaynaklı (OpenStack) altyapı uyumluluğu, taahhütsüz sözleşme modelleri ve Türkiye’deki ilk saatlik faturalandırmalı “kullandığın kadar öde” sistemi ile tedarikçi bağımlılığı (vendor lock-in) ve öngörülemeyen maliyet riskleri ortadan kaldırılır.
