Bulut Sağlayıcınız Yurt Dışındaysa Zaten Aktarım Yapıyorsunuz

Bir kuruma "yurt dışına veri aktarıyor musunuz" diye sorulduğunda alınan cevap genellikle hayır oluyor. Ardından hangi hizmetleri kullandıkları soruluyor ve liste çıkıyor. Bulut barındırma, e-posta, müşteri destek yazılımı, analiz aracı, ödeme sağlayıcısı, yedekleme hizmeti.

Bu listedeki hizmetlerin çoğunun sunucusu Türkiye'de değil. Yani cevap aslında evet ve kurum bunu bilmiyor.

Bu yanlış anlamanın kaynağı şu. Aktarım kelimesi, bir dosyayı alıp göndermek gibi bilinçli bir eylemi çağrıştırıyor. Oysa verinin yurt dışındaki bir sistemde tutulması veya orada işlenmesi de aktarım. Ayrıca bir gönderme işlemi aramaya gerek yok.

Aktarımın nerede başladığını görmek

Kanun'un 9. maddesi yurt dışına aktarımı düzenliyor. Uygulamada zorluk hükmün kendisinde değil, aktarımın ne zaman gerçekleştiğini tespit etmekte.

Şu üç durumun hepsi aktarım doğuruyor. Verinin yurt dışındaki bir sunucuda barındırılması. Yurt dışındaki bir ekibin destek amacıyla sisteme erişebilmesi. Verinin yurt dışında işlenip sonucun geri dönmesi.

Üçüncüsü en çok gözden kaçanı. Bir metin analiz servisi kullanıyorsanız ve o servis yurt dışındaysa, gönderdiğiniz metin orada işleniyor. Sonucun size dönmesi, aktarımın gerçekleşmediği anlamına gelmiyor.

Kendi sitemizde bu durum var. Ana sayfadaki serbest metin alanı, girilen metni analiz için yurt dışındaki bir sağlayıcıya gönderiyor. Bu yüzden aydınlatma metnimizde bunun ayrı bir bölümü bulunuyor ve ziyaretçi o alanı hiç kullanmadan sitenin tamamını gezebiliyor. İşlevin kendisi kadar, kullanılmadığında hiçbir aktarım doğmaması da bir tasarım kararı.

Envanterde eksik olan sütun

Çoğu veri envanterinde kategori, amaç ve saklama süresi yazıyor. Eksik olan sütun şu. Bu veri fiziksel olarak hangi ülkede duruyor?

Bu sütun eklendiğinde tablo değişiyor. Kurumun kendi veri merkezinde tuttuğunu sandığı verilerin bir kısmının aslında yurt dışında olduğu ortaya çıkıyor. Yedekler özellikle sık kaçırılıyor, çünkü yedekleme hizmeti genellikle ayrı bir sağlayıcıdan alınıyor ve kimse onun nerede olduğuna bakmıyor.

Envanteri çıkarırken sağlayıcıya doğrudan sormak gerekiyor. Sözleşmede veri ikametgâmına ilişkin bir taahhüt varsa yazılı olarak alınmalı. Yoksa, sağlayıcı bunu tek taraflı değiştirebilir ve siz haberdar olmazsınız.

Alt işleyen zinciri

İkinci katman daha da görünmez. Kullandığınız sağlayıcı, kendi altyapısı için başka sağlayıcılardan hizmet alıyor olabilir.

Bir müşteri destek yazılımı kullanıyorsunuz, o yazılım bir bulut sağlayıcısında çalışıyor, arama işlevi için başka bir servis kullanıyor ve bildirim göndermek için bir üçüncüsüne bağlanıyor. Verileriniz bu zincirin tamamında dolaşıyor.

Bu zinciri tamamen kontrol etmek mümkün değil ama görünür kılmak mümkün. Sözleşmede alt işleyen kullanımına ilişkin bildirim yükümlülüğü ve değişiklik hâlinde itiraz hakkı düzenlenmeli. Çoğu kurumsal sağlayıcı bunu zaten sunuyor, sadece sorulması gerekiyor.

Ne yapmalı

Yapılacak ilk iş bir hizmet envanteri çıkarmak. Kullanılan her dış hizmetin adı, ne için kullanıldığı, hangi kişisel veriye eriştiği ve sunucularının nerede olduğu.

Bu tablo çıktıktan sonra üç seçenek oluyor. Hizmeti Türkiye'de barındıran bir alternatifle değiştirmek, sağlayıcının Türkiye bölgesi varsa oraya taşımak, ya da aktarımı Kanun'un öngördüğü mekanizmalardan biriyle hukuki zemine oturtmak.

Üçünün de maliyeti var ve seçim işin niteliğine göre değişiyor. Ama hiçbirini seçmemek, yani durumu fark etmemiş olmak, en pahalı seçenek. Çünkü o hâlde aydınlatma metniniz de yanlış bilgi veriyor ve tek bir eksiklik iki ayrı yükümlülüğü birden ihlal etmiş oluyor.

Bu alandaki düzenlemeler değişiyor ve Kurul kararları çerçeveyi zaman zaman yeniden çiziyor. Bir aktarım mekanizması seçmeden önce güncel duruma bakılması gerekiyor.