KVKK Uyumlu Hosting: Veri Konumu ve Teknik Önlemler
Resmî bir “KVKK sertifikalı hosting” yoktur; uyum, veri sorumlusunun aldığı önlemlerle ve sağlayıcıyla kurduğu sözleşmeyle sağlanır. Veri konumunu, yurt dışına aktarımı, teknik ve idari tedbirleri, veri işleyen sözleşmesini ve ihlal bildirimini anlatıyoruz.
KVKK uyumlu hosting arayan işletmelerin bilmesi gereken ilk gerçek şudur: Kişisel Verileri Koruma Kurumu’nun hosting firmalarına verdiği resmî bir “KVKK uyumluluk sertifikası” yoktur. Uyum, verinin sorumlusu olan işletmenin kendi süreçleri ve sağlayıcısıyla birlikte aldığı önlemlerle sağlanır; bir sağlayıcı yalnızca bu önlemleri mümkün kılar ya da zorlaştırır.
Müşteri formları, üyelik kayıtları, sipariş bilgileri veya çalışan verileri tutan her site 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındadır. Ayrılmış kaynak ve daha sıkı erişim kontrolü sunan kurumsal hosting paketleri bu tedbirleri uygulamayı kolaylaştırır. Aşağıdaki bilgiler genel çerçevedir, hukuki görüş yerine geçmez; mevzuat ve Kurul kararları değişebildiği için kendi durumunuzu bir hukuk danışmanıyla değerlendirin.
Kısa cevap
KVKK uyumlu hosting, resmî bir sertifika değil; kişisel veri işleyen bir sitenin, 6698 sayılı Kanun’un istediği teknik ve idari tedbirlerle barındırılmasıdır. Bunun için verinin hangi ülkede tutulduğunu bilmek, yurt dışına aktarım varsa Kanun’un 9. maddesindeki şartlara uymak, erişim kontrolü, şifreleme, kayıt ve yedekleme uygulamak ve sağlayıcıyla veri işleyen sözleşmesi imzalamak gerekir. Ayrıntılar için hukuk danışmanına başvurun.
KVKK uyumlu hosting sertifikası var mı?
Hayır; KVKK, hosting hizmetleri için bir sertifika ya da onaylı sağlayıcı listesi öngörmez. “KVKK uyumlu” ifadesini kullanan bir sağlayıcı, kendi tarafında güvenlik tedbirleri aldığını ve sözleşmesel yükümlülükleri üstlenmeye hazır olduğunu anlatıyordur; bu, sizin uyumunuzu kendiliğinden sağlamaz.
Kanun’da iki rol öne çıkar:
- Veri sorumlusu: Kişisel verinin neden ve nasıl işleneceğine karar veren taraftır; siteniz için bu sizsiniz.
- Veri işleyen: Veri sorumlusu adına ve onun talimatıyla veriyi işleyen taraftır; hosting sağlayıcınız genellikle bu konumdadır.
Kanun’un 12. maddesi, veri sorumlusunun veri güvenliği için uygun teknik ve idari tedbirleri almasını ister ve veri başka biri tarafından işlendiğinde bu tedbirler konusunda iki tarafı birlikte sorumlu tutar. ISO 27001 gibi bilgi güvenliği belgeleri sağlayıcının süreç olgunluğu hakkında fikir verebilir; ancak bunlar da KVKK uyum belgesi değildir. Kurumsal paketlerin genel özellikleri kurumsal hosting nedir yazısında anlatılır.
Veriler yurt dışında tutulabilir mi?
KVKK, kişisel verilerin yalnızca Türkiye’de saklanmasını genel bir kural olarak öngörmez; ancak verinin yurt dışındaki bir sunucuda tutulması ya da oraya gönderilmesi, Kanun’un 9. maddesindeki yurt dışına aktarım kurallarına tabi olabilir. Bu madde 2024’te yapılan değişiklikle yeniden düzenlenmiştir ve genel hatlarıyla şu yolları tanır:
- Kurul’un ilgili ülke, sektör ya da uluslararası kuruluş için verdiği yeterlilik kararı,
- yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları veya Kurul izniyle yapılan taahhütname gibi uygun güvenceler,
- bunların da bulunmadığı arızi durumlar için sınırlı istisnalar.
Standart sözleşmenin Kurum’a bildirilmesi gibi usul kuralları da vardır. Ayrıca bankacılık, ödeme hizmetleri ve sağlık gibi bazı sektörlerde verinin yurt içinde tutulmasını isteyen ayrı düzenlemeler bulunur. Sağlayıcınızdan sitenizin, e-postalarınızın ve yedeklerinizin hangi ülkede tutulduğunu yazılı olarak öğrenin; CDN, harici yedek ya da e-posta filtreleme hizmetlerinin veriyi başka ülkelere taşıyıp taşımadığını da sorun. Aktarım değerlendirmesini mutlaka bir hukuk danışmanıyla yapın.
Hangi teknik ve idari tedbirler alınmalı?
Teknik tedbirler veriye yetkisiz erişimi ve kaybı önler, idari tedbirler ise bu önlemlerin kim tarafından nasıl uygulanacağını belirler. Kurum’un yayımladığı kişisel veri güvenliği rehberi de bu iki başlığı birlikte ele alır. Hosting ortamında öne çıkan önlemler şunlardır:
- Erişim kontrolü: Panel, FTP, SSH ve veritabanı hesaplarını kişiye özel açın, yetkiyi işe göre sınırlayın ve iki adımlı doğrulama kullanın. Ayrılan çalışanların erişimini aynı gün kapatın.
- Kayıt (log) tutma: Yönetici girişleri, veritabanı erişimleri ve önemli işlemler kayıt altına alınmalı, kayıtlar değiştirilemeyecek biçimde belirli bir süre saklanmalıdır.
- Şifreleme: Tüm sayfalarda geçerli bir SSL sertifikası ile HTTPS kullanın; parolaları güçlü özetleme algoritmalarıyla saklayın, hassas alanları uygulama düzeyinde şifrelemeyi değerlendirin.
- Güncelleme ve sıkılaştırma: CMS, eklenti ve PHP sürümlerini güncel tutun, kullanılmayan servisleri kapatın.
- Yedekleme: Yedeklerin şifreli, erişimi kısıtlı ve düzenli olarak geri yükleme testinden geçmiş olması gerekir.
- Silme ve imha: Saklama süresi dolan verileri belirlenmiş bir politika doğrultusunda silin; yalnızca canlı veritabanından değil yedeklerden ve dışa aktarılmış dosyalardan da.
Sunucu tarafındaki sıkılaştırma adımları için sunucu güvenliği kontrol listesi yazısına bakabilirsiniz.
Hosting sağlayıcısıyla veri işleyen sözleşmesi neden gerekli?
Veri işleyen sözleşmesi, sağlayıcının verilerinizi yalnızca sizin talimatınızla ve hizmet amacıyla işleyeceğini, hangi güvenlik tedbirlerini alacağını ve bir ihlalde size nasıl haber vereceğini yazılı hâle getirir. Kanun veri sorumlusu ile veri işleyeni tedbirler konusunda birlikte sorumlu tuttuğu için bu yükümlülüklerin kâğıt üzerinde tanımlı olması, bir sorun anında tarafların ne yapacağını netleştirir.
Sözleşmede genellikle şu başlıkların bulunması beklenir:
- İşlenen verinin türü, amacı ve hizmet süresi,
- verinin tutulduğu ülke ve alt yüklenicilerin (ör. yedek ya da e-posta filtreleme hizmeti) listesi,
- sağlayıcının aldığı teknik ve idari tedbirler,
- personelin gizlilik yükümlülüğü,
- ihlal durumunda bildirim yükümlülüğü ve iletişim yolu,
- hizmet sona erdiğinde verinin iadesi ve silinmesi.
Sağlayıcının standart hizmet sözleşmesi bu konuları kısmen kapsayabilir; eksik kalan başlıkları ek protokolle tamamlamak için hukuk danışmanınızla çalışın. Müşteri panelinden açacağınız destek talebiyle sağlayıcıdan güvenlik tedbirleri hakkında yazılı bilgi istemek de bu sürecin parçasıdır.
Veri ihlali olursa ne yapılmalı?
KVKK, işlenen verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu ilgili kişiye ve Kurul’a en kısa sürede bildirmesini ister; Kurul bu süreyi kararlarında somutlaştırmıştır. Bu yüzden ihlal planını olay yaşanmadan hazırlamak gerekir.
- Kontrol altına alın: Sızıntı yolunu kapatın, ele geçirilen parolaları değiştirin, gerekirse siteyi bakım moduna alın.
- Kanıtları koruyun: Sunucu kayıtlarını, değiştirilen dosyaları ve zaman bilgisini silmeden saklayın.
- Kapsamı belirleyin: Hangi verinin, kaç kişiye ait kaydın ve hangi tarih aralığının etkilendiğini çıkarın.
- Bildirim sürecini başlatın: Kurul’un güncel bildirim formunu ve süresini hukuk danışmanınızla kontrol ederek ilgili kişilere ve Kurul’a bildirim yapın.
- Kalıcı önlem alın: Kök nedeni giderin, tedbirleri güncelleyin ve olayı belgeleyin.
Saldırı sonrası teknik temizlik adımları web sitesi hacklendi ne yapmalı yazısında ayrıntılı anlatılır.
KVKK uyumlu hosting kontrol listesi
Aşağıdaki tablo, KVKK uyumlu hosting değerlendirmesinde sağlayıcıya sormanız ve kendi tarafınızda yapmanız gerekenleri ayırır:
| Konu | Sağlayıcıya sorun | Sizin sorumluluğunuz |
|---|---|---|
| Veri konumu | Sunucu, yedek ve e-posta hangi ülkede? | Yurt dışı aktarım varsa 9. madde değerlendirmesi |
| Erişim | Personel erişimi nasıl sınırlanıyor ve kayda alınıyor? | Kişiye özel hesap, iki adımlı doğrulama |
| Şifreleme | Yedekler ve depolama şifreli mi? | HTTPS, parola özetleme, hassas alan şifreleme |
| Yedekleme | Sıklık, saklama süresi, geri yükleme yolu | Geri yükleme testi, saklama süresine uyum |
| İzleme | Ağ ve sunucu izlemesi nasıl yapılıyor? | Uygulama ve yönetici kayıtlarının takibi |
| Sözleşme | Veri işleyen sözleşmesi ve alt yükleniciler | Sözleşmenin hukuk danışmanıyla incelenmesi |
| İhlal | Bildirim süresi ve iletişim kanalı | İhlal müdahale planı, Kurul’a bildirim |
LIONFIN altyapısı tarafında veri merkezimiz 7/24 NOC ve SOC ekiplerince izlenir ve ağ katmanında RouteFence Firewall ile korunur. Yedekleme politikanızı kurarken 3-2-1 yedekleme kuralı iyi bir başlangıç çerçevesidir; daha fazla izolasyon gereken projelerde VDS sunucu seçeneğini de değerlendirebilirsiniz.
Sık Sorulan Sorular
KVKK için sunucunun Türkiye’de olması şart mı?
KVKK genel bir yurt içinde saklama zorunluluğu getirmez, ancak verinin yurt dışındaki bir sunucuda tutulması yurt dışına aktarım kurallarını gündeme getirebilir. Bankacılık, ödeme ve sağlık gibi bazı sektörlerde ayrıca yerelleştirme isteyen düzenlemeler vardır. Sektörünüze ve veri türünüze göre değerlendirmeyi bir hukuk danışmanıyla yapın.
Hosting firması KVKK’dan sorumlu mu?
Hosting firması genellikle veri işleyen konumundadır ve kendi altyapısında güvenlik tedbirlerini almakla yükümlüdür. Kanun, veri sorumlusu ile veri işleyeni teknik ve idari tedbirler konusunda birlikte sorumlu tutar. Ancak verinin hangi amaçla toplanacağı, aydınlatma metni ve saklama süreleri gibi konular veri sorumlusu olan işletmenin sorumluluğundadır.
KVKK uyumlu hosting için hangi belgeleri istemeliyim?
Sağlayıcıdan veri işleyen sözleşmesi ya da hizmet sözleşmesindeki ilgili maddeleri, verinin tutulduğu ülke bilgisini, yedekleme ve erişim politikasının özetini ve ihlal bildirimi için iletişim yolunu yazılı olarak isteyin. Varsa bilgi güvenliği belgeleri de fikir verir. Belgelerin yeterliliğini hukuk danışmanınızla birlikte değerlendirin.
SSL sertifikası KVKK uyumu için yeterli mi?
Hayır. SSL sertifikası veriyi yalnızca tarayıcı ile sunucu arasında taşınırken korur; sunucuda saklanan veriyi, yedekleri, yetkisiz yönetici erişimini ya da veri saklama sürelerini kapsamaz. HTTPS önemli bir temel tedbirdir ama erişim kontrolü, kayıt tutma, yedekleme ve silme politikalarıyla birlikte uygulandığında anlam kazanır.
Paylaşımlı hosting KVKK’ya aykırı mı?
Paylaşımlı hosting kendi başına aykırı sayılmaz; önemli olan hesapların birbirinden yalıtılması, erişim kontrolü ve yedekleme gibi tedbirlerin yeterli olmasıdır. Özel nitelikli veri ya da yüksek hacimli kişisel veri işliyorsanız ayrılmış kaynaklı kurumsal hosting veya kendinize ait sanal sunucu, tedbirleri kendi kontrolünüzde uygulamanızı kolaylaştırır.
