Mobil uygulama verilerini yurt dışı sunucuda barındırma KVKK uyumu nasıl yapılır?

Question

Yeni bir mobil uygulama geliştirdim ve maliyet avantajı nedeniyle sunucularımı yurt dışında (AB'de bir ülkede) tutuyorum. Uygulama kullanıcılarından kişisel veri toplarken KVKK'ya nasıl tam uyum sağlayabilirim? Özellikle veri transferi konusunda, kullanıcıdan açık rıza almak yeterli mi, yoksa ek bir izin veya bildirim süreci gerekiyor mu?

Answer 1

Yurt dışı veri aktarımında KVKK’ya uyum sağlamak, sadece "açık rıza" ibaresini eklemekle bitmeyen, teknik ve hukuki altyapı gerektiren çok katmanlı bir süreçtir. Kullanıcıdan açık rıza alman zorunlu bir şarttır, ancak bu tek başına yeterli değildir; rızanın aydınlatma yükümlülüğünün tam olarak yerine getirilmesiyle birlikte geçerli olması gerekir.

Öncelikle veri işleme amacını, yurt dışına aktarılacak veri kategorilerini, veri alıcısının bulunduğu ülkeyi ve verinin korunma sürelerini açıkça belirleyen bir Aydınlatma Metni hazırlaman gerekir. Bu metin, uygulamanın ilk açılışında veya ayarlar bölümünde, kullanıcının dikkatini çekecek şekilde sunulmalıdır. Rıza onayı, opt-out (varsayılan olarak onaylı) değil, opt-in (kullanıcının aktif olarak onay vermesi) şeklinde olmalıdır.

Teknik ve Hukuki Altyapı

AB ülkeleri (Almanya, Fransa vb.) KVKK mevzuatı kapsamında "yeterli koruma düzeyine sahip" ülkeler olarak sayılmaktadır. Bu durum, veri aktarımının otomatik olarak serbest olması anlamına gelmez; ancak süreçleri kolaylaştırır. Yine de şu adımları atmalısın:

1. Standart Sözleşme Maddeleri (SCC): Veri işleyicisi (sunucu sağlayıcın) ile aranda veya veri sorumlusu olarak seninle aranda Standart Sözleşme Maddeleri imzalamalısın. AB ile Türkiye arasında veri transferi için temel hukuki dayanak bu sözleşmelerdir.
2. Veri İşleme Sözleşmesi (DPA): Sunucu sağlayıcınla yapacağın hizmet sözleşmesine, kişisel verilerin işlenmesi, güvenliği ve imha edilmesine dair madde ekletmelisin.
3. Teknik Önlemler: Verilerin şifrelenmesi (TLS 1.3/HTTPS ve veritabanı şifreleme), erişim yetkilendirmesi ve loglama gibi teknik güvenlik önlemleri alman, olası bir ihlal durumunda sorumluluğunu azaltır.

Pratik Bir Öneri

Uygulama içi rıza mekanizmasında, kullanıcı "Kabul Et" butonuna bastığında sadece genel rıza vermemeli, ayrıca yurt dışı aktarımına özel bir onay kutucuğu (checkbox) daha sunmalısın. Örneğin: "Kişisel verilerimin AB ülkelerindeki sunuculara aktarılmasına açık rıza veriyorum." Bu ayrı onay, denetimlerde "bilgilendirildiğini ve irade açıkladığını" kanıtlaman için kritik bir delil niteliğindedir.

Unutma, KVKK denetimleri giderek sıklaşmakta ve ceza miktarları artmaktadır. Maliyet avantajı için yapılan bu tercih, hukuki riski de beraberinde getirir. Sözleşmelerini bir veri koruma hukuku avukatıyla gözden geçirerek imzalaman, uzun vadede seni pahalı mahkeme masraflarından koruyacaktır.