Sosyal Ağ Sağlayıcı Kullanıcı Verilerini Türkiye’de Barındırmak Zorunda mı? 5651 Ek m.4/6
5651 Ek Madde 4/6’nın açık kuralı nedir?
Ek Madde 4/6, sosyal ağ sağlayıcılara özgü veri yerelleştirme yönündeki temel hükümdür. Düzenlemeye göre Türkiye’den günlük erişimi bir milyondan fazla olan yurt içi veya yurt dışı kaynaklı sosyal ağ sağlayıcı, Türkiye’deki kullanıcıların verilerini Türkiye’de barındırma yönünde gerekli tedbirleri alır.
Hükmün kelimeleri önemlidir. Kanun “Türkiye’deki bütün veriler yalnız Türkiye’de işlenir” veya “yurt dışına hiçbir veri aktarılamaz” demez. Kanun, Türkiye’deki kullanıcıların verilerinin Türkiye’de barındırılması yönünde gerekli tedbir alınmasını emreder. Bu nedenle mevzuata uyum değerlendirmesi, kanun metninde bulunmayan mutlak bir yasak icat edilmeden yapılmalıdır.
Yükümlülük yalnız yabancı platformlara özgü değildir. Temsilci atama yükümlülüğündeki “yurt dışı kaynaklı” sınırlamasından farklı olarak altıncı fıkra, Türkiye’den günlük erişimi bir milyondan fazla olan yurt içi veya yurt dışı kaynaklı sosyal ağ sağlayıcıları kapsar.
Veri barındırma yükümlülüğü kimlere uygulanır?
İlk şart, hizmetin 5651 anlamında sosyal ağ sağlayıcı olmasıdır. Kullanıcıların sosyal etkileşim amacıyla metin, görüntü, ses, konum veya benzeri içerikleri oluşturmasına, görüntülemesine veya paylaşmasına imkân sağlayan gerçek veya tüzel kişi bu statüye girebilir.
İkinci şart Türkiye’den günlük erişim eşiğidir. Günlük erişimi bir milyonun üzerinde olan sosyal ağ sağlayıcı Ek Madde 4/6 kapsamına girer. Şirketin merkezinin Türkiye’de, Avrupa’da, Amerika’da veya başka ülkede bulunması bu fıkradaki yükümlülüğü ortadan kaldırmaz.
Üçüncü unsur “Türkiye’deki kullanıcıların verileri”dir. Yükümlülük küresel kullanıcı tabanının bütün verilerini Türkiye’ye taşıma zorunluluğu değildir. Hedef, Türkiye’deki kullanıcılarla ilişkili veri barındırma yapısının Türkiye’de de oluşturulması yönünde gerekli tedbirlerin alınmasıdır.
Bir milyon günlük erişim eşiği nasıl değerlendirilir?
Kanun “kayıtlı kullanıcı” veya “aylık aktif kullanıcı” yerine Türkiye’den günlük erişim ölçütünü kullanır. Bu nedenle sosyal ağ sağlayıcı kendi erişim ölçüm altyapısında Türkiye kaynaklı günlük erişimi güvenilir biçimde izlemelidir. BTK veya Başkanlık tarafından yapılacak denetimde erişim büyüklüğünü ispatlayabilecek teknik kayıtların korunması önemlidir.
Erişim belirli dönemlerde eşiğin etrafında dalgalanıyorsa yükümlülüğün başlangıç ve devam koşulları ikincil düzenleme, yetkili kurum uygulaması ve somut erişim istatistikleriyle birlikte değerlendirilir. Şirketin yalnız küresel toplam kullanıcı rakamını sunması Türkiye eşiğinin ölçümünü göstermez.
Bir milyon eşiği, Ek Madde 4’te başka yükümlülükler bakımından da önemlidir. Yabancı sosyal ağ sağlayıcılar için Türkiye temsilcisi atama yükümlülüğü de bu eşikte başlar. Ancak temsilci ve veri barındırma hükümleri kapsam bakımından tamamen aynı değildir; altıncı fıkra yurt içi sosyal ağ sağlayıcıları da kapsar.
“Türkiye’deki kullanıcıların verileri” hangi veri gruplarını kapsar?
5651 Ek Madde 4/6 veri türlerini tek tek saymaz. Bu nedenle kanunda bulunmayan kesin bir veri kataloğu oluşturmak doğru değildir. Sosyal ağ hizmetinin kullanıcı hesabı, profil bilgisi, içerik, etkileşim, bağlantı, cihaz, güvenlik, oturum veya hizmet kullanım verileri farklı hukuki nitelikler taşıyabilir.
Uyum çalışmasında öncelikle veri haritası çıkarılmalıdır. Türkiye’deki kullanıcılara ait hangi verilerin hangi sistemlerde üretildiği, hangi ülkelerdeki sunucularda tutulduğu, hangi amaçlarla işlendiği, ne kadar süre saklandığı ve kimlerin erişebildiği belirlenmelidir.
Veri türlerinin tamamı aynı teknik ve hukuki kurala tabi olmayabilir. Bazı veriler trafik bilgisi, bazıları kişisel veri, bazıları içerik verisi, bazıları ise özel nitelikli kişisel veri olabilir. 5651’deki barındırma yükümlülüğü uygulanırken 6698 sayılı KVKK ve hizmete özgü diğer düzenlemeler de ayrıca dikkate alınır.
Türkiye’de barındırma yönünde gerekli tedbir almak ne anlama gelir?
Kanun belirli bir sunucu markası, veri merkezi sağlayıcısı veya teknik mimari dayatmaz. Sonuç odaklı olarak Türkiye’deki kullanıcı verilerinin Türkiye’de barındırılması yönünde gerekli tedbirlerin alınmasını ister. Bu nedenle platformun veri depolama, çoğaltma, yedekleme ve erişim tasarımı bu hedefi fiilen karşılamalıdır.
Türkiye’de veri merkezi veya yerel bulut altyapısı kullanılması, kullanıcı verilerinin yerel kopyalarının tutulması, Türkiye için bölgesel depolama mimarisi kurulması veya veri setlerinin belirli bölümlerinin yerel sistemlerde barındırılması teknik seçenekler arasındadır. Hangi modelin yeterli olduğu, platformun yapısı ve yetkili kurumun düzenleyici çerçevesiyle birlikte belirlenir.
Yalnız Türkiye’de bir ofis açmak veya temsilci bulundurmak veri barındırma yükümlülüğünü yerine getirmez. Temsilcilik hukuki muhataplıkla, veri barındırma ise teknik veri altyapısıyla ilgilidir. İki yükümlülük ayrı ayrı yerine getirilmelidir.
Kanun bütün verilerin yüzde 100 yalnız Türkiye’de tutulmasını mı zorunlu kılar?
Hayır. Ek Madde 4/6’nın lafzı bu kadar ileri bir mutlaklık içermez. Hüküm “Türkiye’deki kullanıcıların verilerini Türkiye’de barındırma yönünde gerekli tedbirleri alır” demektedir. Bu nedenle “hiçbir veri yurt dışındaki sistemde bulunamaz” veya “tek kopya yalnız Türkiye’de tutulmalıdır” şeklindeki kesin ifadeler kanun metninden doğrudan çıkarılamaz.
Bununla birlikte bu tespit, yükümlülüğün sembolik olduğu anlamına gelmez. Türkiye’de barındırma yönünde alınan tedbirin gerçek, çalışır ve denetlenebilir olması gerekir. Sadece sözleşmeye “veriler Türkiye’de barındırılabilir” yazılması, teknik sistemde hiçbir yerel barındırma bulunmuyorsa kanuni amaca uygun bir uyum göstermez.
Uyum raporunda hangi veri setlerinin Türkiye’de bulunduğu, hangi altyapıda barındırıldığı, hangi yedeklerin yerel olduğu ve yurt dışı sistemlerle veri akışının nasıl yönetildiği açık biçimde gösterilmelidir. Kanun metninin sınırları aşılmadan somut teknik ispat oluşturulmalıdır.
Yedekleme ve felaket kurtarma sistemi nasıl ele alınmalıdır?
Veri barındırma yalnız ana üretim veritabanını değil, yedek ve felaket kurtarma mimarisini de ilgilendirir. Ana veri Türkiye’de tutulurken bütün yedeklerin yalnız yurt dışı sistemde olması, yerel barındırmanın etkinliği ve devamlılığı bakımından ayrıca değerlendirilmelidir.
Şirket, Türkiye’de barındırılan veri için yedekleme sıklığını, saklama süresini, şifreleme yöntemini ve felaket hâlinde hangi sistemin devreye gireceğini dokümante etmelidir. Yedek kopyaların gereğinden uzun tutulması KVKK’daki saklama ilkeleri bakımından da sorun doğurabilir.
Felaket kurtarma senaryosunda yurt dışı sistem geçici olarak kullanılıyorsa bunun veri aktarım ve güvenlik sonuçları ayrıca incelenmelidir. 5651 yükümlülüğü, KVKK’nın yurt dışı aktarım rejimini ortadan kaldırmaz.
Yabancı bulut sağlayıcı kullanmak yasak mı?
Ek Madde 4/6 yabancı bulut sağlayıcı kullanımını isim veya ülke bazında yasaklamaz. Önemli olan sosyal ağ sağlayıcının Türkiye’deki kullanıcı verilerini Türkiye’de barındırma yönünde gerekli tedbirleri gerçekten almasıdır. Global bulut şirketinin Türkiye’de veri merkezi veya bölgesel altyapısı varsa bu teknik çözüm uyum modelinin parçası olabilir.
Bulut hizmetinde veri merkezinin fiziksel konumu, alt işleyenler, yedek kopyaların ülkesi, yönetim erişimi ve destek personelinin nereden bağlandığı tespit edilmelidir. “Türkiye bölgesi” adı verilen hizmetin teknik olarak hangi veri sınıflarını nerede tuttuğu sözleşme ve teknik belgeler üzerinden doğrulanmalıdır.
Bulut sözleşmesi ayrıca veri güvenliği, ihlal bildirimi, denetim hakkı, verinin iadesi veya silinmesi, alt yüklenici kullanımı ve hizmet sona erdiğinde veri taşıma hükümlerini içermelidir.
5651 veri barındırma yükümlülüğü yurt dışına veri aktarımını tamamen yasaklar mı?
Hayır. 5651 Ek Madde 4/6’nın lafzında genel ve mutlak bir yurt dışı aktarım yasağı yoktur. Ancak Türkiye’de barındırma yükümlülüğü yerine getirilirken yurt dışına aktarım yapılacaksa 6698 sayılı KVKK’nın güncel yurt dışı aktarım hükümleri ayrıca uygulanır.
KVKK bakımından kişisel verinin yurt dışına aktarımı m.9’daki hukuki rejime tabidir. Yeterlilik kararı, uygun güvenceler, standart sözleşmeler veya kanunda belirtilen istisnai hâller gibi mekanizmalar somut aktarım modeline göre değerlendirilir. 5651’de yerel barındırma yapılması KVKK aktarım şartlarını otomatik olarak sağlamaz.
Tersine, KVKK bakımından hukuka uygun bir yurt dışı aktarım mekanizmasının bulunması da 5651’deki Türkiye’de barındırma yönünde tedbir yükümlülüğünü ortadan kaldırmaz. İki mevzuat birlikte uygulanır.
5651 Ek m.4/6 ile KVKK arasındaki ilişki nedir?
5651 sosyal ağ sağlayıcının Türkiye’deki kullanıcı verilerini barındırma yönündeki sektörel yükümlülüğünü düzenler. KVKK ise kişisel verilerin hukuka uygun işlenmesi, amaçla bağlantılı ve ölçülü tutulması, güvenliği, saklama süresi, ilgili kişi hakları ve yurt dışı aktarım şartlarını düzenler.
Bir veri Türkiye’deki sunucuda tutuluyor diye KVKK’ya otomatik olarak uygun hâle gelmez. Verinin işleme şartı yoksa, gereğinden fazla tutuluyorsa, güvenliği sağlanmıyorsa veya aydınlatma yükümlülüğü yerine getirilmiyorsa ihlal devam eder.
Aynı şekilde KVKK’ya uygun veri işleme yapıldığı gerekçesiyle 5651’in yerel barındırma tedbiri göz ardı edilemez. Büyük sosyal ağ sağlayıcıları iki ayrı uyum haritasını tek veri yönetişim sisteminde birleştirmelidir.
Türkiye’de barındırılan kullanıcı verileri nasıl korunmalıdır?
Yerel barındırma veri güvenliğinin yerine geçmez. Türkiye’deki veri merkezinde tutulan kayıtların yetkisiz erişime, veri sızıntısına, silinmeye veya bozulmaya karşı korunması gerekir. Erişim yetkileri rol bazlı sınırlandırılmalı, kritik işlemler loglanmalı ve güçlü kimlik doğrulama kullanılmalıdır.
Aktarım sırasında ve depolamada şifreleme, anahtar yönetimi, yedeklerin korunması, güvenlik yamaları, saldırı tespiti ve olay müdahale planları hizmetin risk seviyesine göre uygulanmalıdır. Büyük sosyal ağlar milyonlarca kullanıcının iletişim ve davranış verisini işlediği için güvenlik riskleri de yüksektir.
Bir veri ihlali meydana geldiğinde KVKK ve uygulanabilen diğer mevzuattaki bildirim yükümlülükleri ayrıca değerlendirilir. Yerel veri merkezi kullanmak veri ihlali bildirimini ortadan kaldırmaz.
Sosyal ağ sağlayıcı veri barındırma yükümlülüğünü nasıl ispatlamalıdır?
Denetimde sözlü beyan yerine teknik ve sözleşmesel kanıt gerekir. Veri merkezi adresleri, bulut bölgesi belgeleri, mimari şema, veri akış haritası, yedekleme politikası, erişim matrisi, saklama süreleri ve varsa bağımsız denetim raporları uyumun ispatına yardımcı olur.
Türkiye’deki kullanıcıları ayırmak için kullanılan teknik yöntem de belgelenmelidir. Kullanıcının ülke bilgisi yalnız IP adresinden çıkarılıyorsa bunun hata payı ve VPN gibi durumlar düşünülmelidir. Hesap ülkesi, telefon ülke kodu, faturalama bilgisi veya başka sinyallerin nasıl kullanıldığı veri minimizasyonu ilkesiyle birlikte değerlendirilir.
Şirketin veri mimarisi değiştiğinde uyum dosyası da güncellenmelidir. Yeni ürün, birleşme, veri merkezi taşıması veya bulut sağlayıcı değişikliği Türkiye’de barındırılan veri setlerini etkileyebilir.
Ek Madde 4/6 yükümlülüğüne aykırılık yaptırımsız mı?
Hayır. Ek Madde 4’ün yaptırım sistemi yalnız temsilci yükümlülüğüyle sınırlı değildir. Sosyal ağ sağlayıcıların Ek Madde 4 kapsamındaki çeşitli yükümlülüklerine aykırılık için idari para cezaları ve belirli hâllerde farklı tedbirler öngörülmüştür. Veri barındırma yükümlülüğü de kanuni denetim alanının içindedir.
Somut yaptırım hesaplanırken ihlalin gerçekleştiği tarihte yürürlükte olan fıkra, platformun Türkiye cirosu veya erişim büyüklüğü ve ilgili Başkanlık kararının dayanağı birlikte incelenmelidir. Kanun son yıllarda sık değiştiği için eski tarihli sabit yaptırım tabloları güncel kabul edilmemelidir.
Yaptırım riskinden bağımsız olarak veri yerelleştirme yükümlülüğünün yerine getirilmemesi, adli veya idari taleplerde veriye erişilebilirlik, kişisel veri güvenliği ve şirket itibarı bakımından ek sorunlar doğurabilir.
Sosyal ağ sağlayıcı için 2026 veri barındırma uyum planı
Birinci adım Türkiye’den günlük erişimin bir milyon eşiğini aşıp aşmadığının teknik olarak belirlenmesidir. İkinci adım Türkiye’deki kullanıcılarla ilişkili tüm veri sistemlerinin envanterinin çıkarılmasıdır. Hangi veri ana sistemde, hangi veri yedekte, hangi veri analitik sisteminde ve hangi veri üçüncü taraf hizmet sağlayıcıda tutuluyor soruları cevaplanmalıdır.
Üçüncü adım Türkiye’de kullanılacak veri merkezi veya bulut bölgesinin belirlenmesidir. Dördüncü adım hangi veri setlerinin yerel olarak barındırılacağının ve küresel sistemle nasıl senkronize edileceğinin teknik tasarımıdır. Beşinci adım yurt dışı aktarım varsa KVKK m.9 rejiminin ayrıca kurulmasıdır.
Altıncı adım saklama ve silme takvimidir. Yerel barındırma “süresiz saklama” anlamına gelmez. Yedinci adım bilgi güvenliği ve erişim denetimidir. Sekizinci adım uyumun dokümantasyonudur; mimari değişikliklerde kayıtlar yenilenmelidir.
Dokuzuncu adım Türkiye temsilcisi ve merkez hukuk-ekipleri arasında görev dağılımıdır. Temsilci yükümlülüğü hakkında sosyal ağ sağlayıcı Türkiye temsilcisi rehberi incelenebilir. Temsilci teknik veri mimarisini bizzat işletmeyebilir; ancak yetkili makam talepleri geldiğinde doğru teknik birime hızlı erişim sağlamalıdır.
Türkiye geneli ve Mersin uygulaması
Ek Madde 4/6 sosyal ağ sağlayıcının Türkiye genelindeki kullanıcıları bakımından uygulanır. Kullanıcının Mersin’de, Ankara’da veya başka şehirde olması yükümlülüğün niteliğini değiştirmez. Teknik veri merkezi Türkiye’nin farklı bir şehrinde bulunabilir; önemli olan kanunun aradığı Türkiye’de barındırma yönündeki tedbirin gerçek biçimde kurulmasıdır.
Mersin’de faaliyet gösteren teknoloji şirketleri de bir milyon günlük erişim eşiğini aşan sosyal ağ hizmeti sunuyorsa aynı hükme tabidir. Yükümlülük yalnız küresel dev platformlar için yazılmış değildir; kanun erişim eşiği üzerinden çalışır.
Bakırcı & Keskin Hukuk Bürosu Mersin’deki İstanbul ve Mersin’deki fiziksel ofislerden Türkiye genelindeki 5651, KVKK, sosyal ağ ve dijital platform uyum süreçlerini ilgili kanunların birlikte uygulanmasıyla değerlendirir.
Sosyal ağ sağlayıcı veri barındırma hakkında sık sorulan sorular
Veri barındırma yükümlülüğü yalnız yabancı platformlara mı uygulanır?
Hayır. Ek Madde 4/6 yurt içi veya yurt dışı kaynaklı sosyal ağ sağlayıcıları kapsar.
Günlük erişim eşiği kaçtır?
Türkiye’den günlük erişimin bir milyondan fazla olması gerekir.
Kanun bütün verilerin yalnız Türkiye’de tutulmasını mı söylüyor?
Hayır. Kanun Türkiye’deki kullanıcıların verilerini Türkiye’de barındırma yönünde gerekli tedbirlerin alınmasını emreder.
Yabancı bulut sağlayıcı kullanmak yasak mı?
Kanun sağlayıcı markasını yasaklamaz; Türkiye’de barındırma yükümlülüğünün fiilen karşılanması gerekir.
Yurt dışına veri aktarımı tamamen yasak mı?
Hayır. Ancak KVKK’nın yurt dışı aktarım şartları ayrıca uygulanır.
Türkiye’de veri tutmak KVKK’ya otomatik uyum sağlar mı?
Hayır. İşleme şartı, güvenlik, saklama ve ilgili kişi hakları ayrıca yerine getirilmelidir.
Yedekler de uyum planına dahil edilmeli mi?
Evet. Yedekleme ve felaket kurtarma mimarisi yerel barındırmanın etkinliğini doğrudan etkiler.
Temsilci atamak veri barındırma yükümlülüğünü yerine getirir mi?
Hayır. Temsilcilik hukuki muhataplık, veri barındırma teknik altyapı yükümlülüğüdür.
Veri merkezi Türkiye’de olup uzaktan yabancı personel erişirse ne olur?
Erişim ve yurt dışı veri aktarımı sonuçları KVKK ve güvenlik kuralları bakımından ayrıca değerlendirilir.
Uyum nasıl ispatlanır?
Veri akış haritası, mimari belgeler, veri merkezi ve bulut kayıtları, yedekleme politikası ve güvenlik dokümantasyonu temel kanıtlardır.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
Bakırcı & Keskin Hukuk Bürosu sitesinden daha fazla şey keşfedin
Son gönderilerin e-postanıza gönderilmesi için abone olun.
