"Verimizi yurt dışındaki bir bulutta tutmak risk mi?" sorusu, birkaç yıl öncesine kadar çoğunlukla bankaların ve kamu kurumlarının gündemindeydi. Bugün daha geniş bir şirket grubunun masasında. Gartner, 2026 stratejik teknoloji trendleri arasında "geopatriation" adını verdiği eğilimi sayıyor ve 2030'a kadar Avrupa ve Orta Doğu'daki kurumların %75'ten fazlasının sanal iş yüklerini jeopolitik riski azaltmak için tasarlanmış çözümlere taşıyacağını öngörüyor. Aynı öngörüye göre bu oran 2025'te %5'in altındaydı.
Harcama tarafı da aynı yönü gösteriyor. Gartner, dünya genelinde egemen bulut altyapı hizmeti (IaaS) harcamasının 2026'da 80 milyar dolara ulaşacağını ve bunun 2025'e göre %35,6'lık bir artış olduğunu tahmin ediyor.
Bu yazıda kavramları netleştiriyor, Türkiye'deki hukuki çerçevenin ana hatlarını resmî metinler üzerinden özetliyor ve veri konumu kararını yönetilebilir kılacak bir kontrol listesi öneriyoruz. Buluta hangi iş yükleriyle başlanacağı sorusunu ise bulut geçişi yazımızda ayrıca ele almıştık.
Kavramlar: egemen bulut, veri yerelleştirme, "geopatriation"
Gartner'ın tanımıyla geopatriation, algılanan jeopolitik risk nedeniyle şirket verilerinin ve uygulamalarının küresel genel bulutlardan egemen bulutlara, bölgesel bulut sağlayıcılarına ya da kurumun kendi veri merkezlerine taşınması. Gartner'a göre bulut egemenliği bir zamanlar bankalar ve devletlerle sınırlıydı; bugün ise çok daha geniş bir kurum yelpazesini etkiliyor.
Pratikte üç soru birbirinden ayrılmalı:
- Veri nerede duruyor? Barındırma, yedekleme ve felaket kurtarma lokasyonları.
- Veriye kim, nereden erişebiliyor? Destek ekipleri, alt yükleniciler, yönetim konsolları.
- Hangi hukuk ve hangi denetim geçerli? Sözleşmenin tarafları, uygulanacak mevzuat, bildirim yükümlülükleri.
"Veri yerelleştirme" çoğu zaman yalnız ilk soruya yanıt verir. Egemenlik tartışması ise üçünü birlikte kapsar. Gartner'ın açıklamasında da sağlayıcı değiştirmenin; veri yerleşimi, uyum ve yönetişim üzerinde daha fazla kontrol sağlayabileceği vurgulanıyor.
Veri ne diyor: harcama nereye gidiyor?
Gartner'ın Şubat 2026 tahminine göre egemen bulut IaaS harcamasında 2026'nın en hızlı büyüyen bölgeleri %89 ile Orta Doğu ve Afrika, %87 ile Olgun Asya/Pasifik ve %83 ile Avrupa. Avrupa'nın 2027'de bu harcamada Kuzey Amerika'yı geçmesi bekleniyor.
İki ayrıntı karar vericiler için özellikle önemli. Birincisi, Gartner bu eğilimin mevcut iş yüklerinin %20'sini küresel sağlayıcılardan yerel sağlayıcılara kaydıracağını tahmin ediyor. İkincisi, egemen bulut harcamasının %80'inin yeni dijital çözümlerden ya da henüz buluta taşınmayı bekleyen eski iş yüklerinden gelmesi bekleniyor. Yani konu, çalışan sistemleri aceleyle geri taşımaktan çok, yeni kararlarda veri konumunu baştan bir kriter hâline getirmekle ilgili.
Gartner, ana alıcıların kamu kurumları olacağını, onları düzenlemeye tabi sektörlerin ve enerji ile telekomünikasyon gibi kritik altyapı kuruluşlarının izleyeceğini belirtiyor.
Türkiye çerçevesi: KVKK'nın yurt dışı aktarım hükümleri
Türkiye'de kişisel veriler söz konusu olduğunda temel metin, 6698 sayılı Kanun'un 9. maddesi. Madde, 2 Mart 2024 tarihli 7499 sayılı Kanun'la değiştirildi ve aktarımı kademeli bir yapıya bağladı:
- Yeterlilik kararı: Kanun'un 5. ve 6. maddelerindeki işleme şartlarından biri varsa ve aktarılacak ülke, sektör ya da uluslararası kuruluş hakkında Kurul'un yeterlilik kararı bulunuyorsa aktarım yapılabilir.
- Uygun güvenceler: Yeterlilik kararı yoksa, ilgili kişinin hak arama imkânı bulunması kaydıyla dört güvenceden biri gerekir; bunlar arasında Kurul'un onayladığı bağlayıcı şirket kuralları ve Kurul'un ilan ettiği standart sözleşme yer alır.
- Arızi istisnalar: İkisi de yoksa aktarım yalnız sayılı hâllerden birinde ve arızi olmak kaydıyla mümkün.
Standart sözleşme imzalandıktan sonra beş iş günü içinde Kurum'a bildirilmeli; Kanun'un 18. maddesi bu bildirimi yapmayanlar için idari para cezası öngörüyor. Kurul'un 2024'te ilan ettiği dört standart sözleşmeden biri, bulut hizmetlerinde sık karşılaşılan veri sorumlusundan veri işleyene aktarım için hazırlanmış. KVKK, Şubat 2025 duyurusunda yabancı dilde de yapılan sözleşmelerde iki tarafın Türkçe metni de imzalaması gerektiğini hatırlattı.
10 Temmuz 2024'te yayımlanan uygulama yönetmeliği, bulut kararları için kritik bir noktayı açıkça yazıyor: Aktarımı veri işleyenin yapması, usul ve güvencelere uyulması konusunda veri sorumlusunun sorumluluğunu ortadan kaldırmıyor. Kanun ayrıca yurt dışına aktarılan verinin sonraki aktarımları için de aynı güvencelerin sağlanmasını istiyor. Üretken yapay zekâ araçları özelinde bu konuyu KVKK rehberi yazımızda ele almıştık.
Bazı sektörlerde ise yerelleştirme doğrudan kural. Bankaların bilgi sistemlerine ilişkin BDDK yönetmeliği, bankaların birincil ve ikincil sistemlerini yurt içinde bulundurmasını zorunlu tutuyor ve bu sistemler için alınan bulut bilişim hizmetlerini de aynı kapsamda sayıyor. Düzenlemeye tabi bir sektördeyseniz kendi sektör düzenleyicinizin kurallarını ayrıca kontrol etmeniz gerekir.
Pratik yol: veri konumu için kontrol listesi
Aşağıdaki adımlar kaynaklardaki çerçeveden türetilmiş genel bir yöntemdir; her kurumun kendi veri yapısına ve sektörüne göre uyarlanması gerekir.
- Veri konumu haritası çıkarın. Her sistem için birincil barındırma, yedek, felaket kurtarma ve destek erişim lokasyonlarını yazın. Yalnız "sunucu nerede?" sorusu yetmez.
- Veriyi sınıflandırın. Kişisel veri, özel nitelikli kişisel veri, sektörel düzenlemeye tabi veri ve ticari sır ayrı kategoriler olarak işaretlenmeli.
- Her yurt dışı akış için hukuki dayanağı kaydedin. Yeterlilik kararı mı, standart sözleşme mi, bağlayıcı şirket kuralları mı, arızi istisna mı? Dayanağı belirsiz akış, karar bekleyen akıştır.
- Standart sözleşme takvimini kurun. İmza tarihi, beş iş günlük bildirim ve bildirimi hangi tarafın yapacağı tek bir sorumluya bağlanmalı.
- Alt işleyenleri ve sonraki aktarımları sözleşmeye yazın. Sağlayıcının kullandığı alt yüklenicileri ve bölge değişikliklerini size bildirme yükümlülüğü netleşmeli.
- Kritik iş yüklerinde alternatif senaryo hazırlayın. Hangi sistemlerin yerel ya da bölgesel bir sağlayıcıda çalışması gerektiğini, iş kritikliği ve veri sınıfına göre belirleyin. Her şeyi yerelleştirmek değil, doğru iş yükünü doğru yerde tutmak hedeflenmeli.
- Çıkış planını güncel tutun. Sağlayıcı değiştirme ihtiyacı doğduğunda verinin nasıl geri alınacağı önceden yazılı olmalı. AB pazarına hizmet verenler için Veri Yasası'nın geçiş kurallarını ayrı bir yazıda özetlemiştik.
Sonuç
Verinin nerede tutulduğu artık yalnız bir altyapı ayrıntısı değil; hukuki dayanak, tedarikçi riski ve iş sürekliliğiyle birlikte ele alınması gereken bir yönetim kararı. Gartner'ın öngörüleri, bu kararın önümüzdeki yıllarda daha fazla kurumun gündemine gireceğini gösteriyor. Türkiye'de ise KVKK'nın 2024'te yenilenen yurt dışı aktarım düzeni, yanıtın büyük kısmını sözleşme ve kayıt disiplinine bağlıyor.
Orient Global'in bakışıyla sağlıklı başlangıç noktası, yeni bir sağlayıcı aramadan önce mevcut veri akışlarının haritasını çıkarmak.
Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez.
#interimmanagement #forwarddeployedengineering