“把我们的数据存放在境外的云上是否存在风险？”几年前，这个问题主要是银行和公共机构关心的话题。如今，它已摆到了更广泛企业的案头。Gartner 将一种被称为“地缘回迁”（geopatriation）的趋势列为 2026 年战略技术趋势之一，并预测到 2030 年，欧洲和中东超过 75% 的组织将把其虚拟工作负载迁移到旨在降低地缘政治风险的解决方案上。根据同一预测，这一比例在 2025 年低于 5%。
支出数据也指向同一方向。Gartner 预测，2026 年全球主权云基础设施即服务（IaaS）支出将达到 800 亿美元，比 2025 年增长 35.6%。
本文将厘清相关概念，依据官方文本概述土耳其法律框架的主要内容，并提出一份使数据位置决策可管理的检查清单。关于迁移上云时应从哪些工作负载入手的问题，我们已在关于云迁移的文章中单独讨论。
概念：主权云、数据本地化与“地缘回迁”
按照 Gartner 的定义，地缘回迁是指由于感知到的地缘政治风险，将企业数据和应用从全球公有云迁移到主权云、区域云服务商或组织自有数据中心的做法。Gartner 指出，云主权过去仅限于银行和政府；如今它影响着范围广得多的组织。
在实践中，需要将三个问题区分开来：
- 数据存放在哪里？ 托管、备份和灾难恢复的地点。
- 谁可以访问数据，从哪里访问？ 支持团队、分包商、管理控制台。
- 适用哪部法律和哪种监管？ 合同各方、适用的法规、通知义务。
“数据本地化”通常只回答第一个问题。主权讨论则同时涵盖这三个问题。Gartner 的声明还强调，更换服务商可以对数据驻留、合规和治理带来更多控制。
数据说明了什么：支出流向哪里？
根据 Gartner 2026 年 2 月的预测，2026 年主权云 IaaS 支出增长最快的地区是中东和非洲（89%）、成熟亚太地区（87%）以及欧洲（83%）。预计欧洲将于 2027 年在这项支出上超过北美。
有两个细节对决策者尤为重要。第一，Gartner 估计这一趋势将使 20% 的现有工作负载从全球服务商转移到本地服务商。第二，预计 80% 的主权云支出将来自新的数字化解决方案，或来自仍在等待迁移上云的遗留工作负载。换言之，问题与其说是匆忙把正在运行的系统迁回，不如说是在新的决策中从一开始就把数据位置作为一项标准。
Gartner 指出，主要买方将是公共部门机构，其次是受监管行业以及能源和电信等关键基础设施组织。
土耳其框架：KVKK 的跨境传输条款
在土耳其，涉及个人数据时，核心文本是第 6698 号法律（KVKK，土耳其数据保护法）第 9 条。该条款经 2024 年 3 月 2 日第 7499 号法律修订，使数据传输适用分层结构：
- 充分性决定： 如果满足该法第 5 条和第 6 条中的某项处理条件，且个人数据保护委员会（Kurul，“委员会”）已就目的地国家、行业或国际组织作出充分性决定，则可以进行传输。
- 适当保障措施： 如果没有充分性决定，则在数据主体有途径主张其权利的前提下，需要具备四种保障措施之一；其中包括经委员会批准的有约束力的公司规则以及委员会公布的标准合同。
- 偶发性例外： 如果两者都不具备，则只有在所列情形之一下且仅属偶发性质时才可以传输。
标准合同签署后，必须在五个工作日内通知个人数据保护局（Kurum，“该局”）；该法第 18 条规定，对未履行此项通知义务者处以行政罚款。委员会于 2024 年公布的四份标准合同之一，是为从数据控制者向数据处理者的传输而准备的，这正是云服务中常见的安排。该局在 2025 年 2 月的公告中提醒，对于同时以外语订立的合同，双方还必须签署土耳其语文本。
2024 年 7 月 10 日发布的实施条例以明确的措辞指出了对云决策至关重要的一点：传输由数据处理者实施这一事实，并不免除数据控制者遵守程序和保障措施的责任。该法还要求对传输到境外的数据的再传输提供同样的保障措施。关于生成式 AI 工具的具体情况，我们已在KVKK 指南文章中做过讨论。
然而在某些行业，本地化是一项直接规定。BDDK（土耳其银行监管局）关于银行信息系统的条例规定，银行必须将其主系统和备用系统置于土耳其境内，并将为这些系统获取的云计算服务纳入同一范围。如果您在受监管行业经营，还需要另行核查本行业监管机构的规定。
实用路径：数据位置检查清单
以下步骤是根据来源中的框架归纳出的通用方法；每个组织都需要根据自身的数据结构和行业加以调整。
- 绘制数据位置图。 针对每个系统，写明主托管、备份、灾难恢复和支持访问的地点。仅回答“服务器在哪里？”是不够的。
- 对数据进行分类。 个人数据、特殊类别个人数据、受行业专门监管的数据以及商业秘密应作为不同类别加以标记。
- 记录每一项跨境数据流的法律依据。 是充分性决定、标准合同、有约束力的公司规则，还是偶发性例外？依据不明确的数据流就是有待决定的数据流。
- 建立标准合同日程。 签署日期、五个工作日内的通知以及由哪一方负责通知，应指定给单一责任人。
- 将次级处理者和再传输写入合同。 应明确服务商有义务就其使用的分包商和区域变更通知您。
- 为关键工作负载准备替代方案。 根据业务关键性和数据类别，决定哪些系统必须由本地或区域服务商运行。目标不应是将一切本地化，而是让合适的工作负载处于合适的位置。
- 保持退出计划的更新。 当需要更换服务商时如何取回数据，应事先书面确定。对于服务欧盟市场的企业，我们已在另一篇文章中概述了欧盟《数据法》的过渡规则。
结论
数据存放在何处已不再只是基础设施细节；它是一项需要与法律依据、供应商风险和业务连续性一并考虑的管理决策。Gartner 的预测表明，未来几年将有更多组织面临这一决策。在土耳其，2024 年更新的 KVKK 跨境传输制度使答案的大部分取决于合同和记录管理的规范性。
从 Orient Global 的角度来看，稳妥的出发点是在寻找新服务商之前先梳理现有的数据流。
为什么物流经验在这里很重要。 物流运营是一个由多个站点组成的网络，其数据同样分布在一个网络中：仓储和运输系统、承运商和合作伙伴门户、海关和交货单据，以及每个系统背后的备份和支持地点。因此，检查清单的第一步——数据位置图——对任何设计过配送网络的人来说都是熟悉的工作：列出每个节点、它保存了什么、谁可以访问它，以及在必须替换时会发生什么。第 5 至 7 步同样有着密切的对应：分包承运商、将合适的库存放在合适的仓库，以及应急路线安排。我们的一位顾问在运营、物流和供应链领域拥有30 多年经验：他曾在一家大型科技分销企业全面负责物流、仓储、技术服务和行政运营，组建并领导 100 多人的团队，并通过以 KPI 为导向的项目实现了持续改进。他还曾在领先的零售、物流和分销组织中管理全国性的仓储和运输业务、大规模配送网络以及网络与产能规划。作为一名工业工程师，他如今通过 AI 和自动化将这种供应链管理规范带给中小企业。了解我们的顾问。
本文仅供一般参考，不能替代法律意见。
#interimmanagement #forwarddeployedengineering