Veriler Türkiye'de tutulmak zorunda mı?

Kısa cevap: KVKK, kişisel verinin Türkiye'de tutulmasını genel bir kural olarak şart koşmaz; yurt dışına aktarımı belirli şartlara bağlar. Bazı sektörlerde ise yurt içi zorunluluk açıkça yazılıdır: bankalar, Sermaye Piyasası Kurulu'nun bilgi sistemleri tebliğine tabi kuruluşlar, kamu kurumları ve elektronik belgelerini saklayan her mükellef. Bu yazı kuralları kaynaklarıyla, 6 Kasım 2026 itibarıyla özetler. Hukuki görüş değildir; kendi durumunuz için hukuk danışmanınıza başvurun.

KVKK: zorunluluk değil, şartlı aktarım

6698 sayılı Kanun'un 9. maddesi, 7499 sayılı Kanun'la değişti ve yeni hâli 1 Haziran 2024'te yürürlüğe girdi. Buna göre kişisel veri yurt dışına üç yoldan biriyle aktarılır.

• Yeterlilik kararı. Kurul bir ülke için yeterli koruma bulunduğuna karar verirse aktarım bu karara dayanır. Kurum'un sitesine göre bugüne kadar hiçbir ülke için böyle bir belirleme yapılmadı.
• Uygun güvenceler. Kurul onayı ya da izni gerektirmeyen tek güvence, Kurul'un ilan ettiği standart sözleşmedir. Sözleşme metni değiştirilmeden kullanılır ve imzalardan sonraki beş iş günü içinde Kurum'a bildirilir. Bildirmemenin idari para cezası Kanun'da 50.000 TL ile 1.000.000 TL arasında yazılıdır ve her yıl yeniden değerleme oranında artırılır. Bağlayıcı şirket kuralları ve Kurul iznine bağlı yazılı taahhütname diğer güvencelerdir.
• Arızi aktarım. Açık rıza ya da sözleşmenin ifası gibi istisnalar, adından da anlaşılacağı gibi düzenli olmayan aktarımlar içindir.

Sunucunuz, yedeğiniz ya da bulut depolamanız yurt dışındaysa her gün aktarım yapıyorsunuz demektir; bunun dayanağı da çoğu zaman standart sözleşme ve bildirimdir. Aktarımın teknik tarafını KVKK ve veri yerelliği yazımızda anlattık.

Bankalar: birincil ve ikincil sistemler yurt içinde

BDDK'nın Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği açık konuşur: "Bankaların birincil ve ikincil sistemlerini yurt içinde bulundurmaları zorunludur." Birincil sistemlerin her türlü yedeği ikincil sistem sayılır; banka dış hizmet ya da bulut kullanıyorsa sağlayıcının sistemleri ve yedekleri de yurt içinde bulundurulur.

Bu bulut yasağı değildir. Yönetmelik birincil ve ikincil sistemler için tek bankaya tahsis edilmiş özel bulut modeline izin verir; topluluk bulutu Kurul iznine bağlıdır.

Sermaye piyasası ve kripto varlık hizmet sağlayıcıları

SPK'nın eski bilgi sistemleri tebliği (VII-128.9) yürürlükten kalktı; yerine 13 Mart 2025'te yayımlanan ve 30 Haziran 2025'te yürürlüğe giren Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10) geldi. Hüküm aynı kaldı: tebliğe tabi kurum, kuruluş ve ortaklıklar "birincil ve ikincil sistemlerini yurt içinde bulundurmak" zorundadır. Kapsama kripto varlık hizmet sağlayıcıları da girer.

İki istisna var: bilgi sistemleri bağımsız denetimi zorunlu olmayan halka açık ortaklıklar bu yükümlülükten muaftır; tebliğde tanımlı platformlar ise sağlayıcının yurt içinde temsilciliği varsa yurt dışı bulut kullanabilir, kayıtları gün sonunda yurda aktarmak şartıyla.

Kamu kurumları: 2019/12 sayılı Genelge

Bilgi ve İletişim Güvenliği Tedbirleri konulu Cumhurbaşkanlığı Genelgesi iki cümleyle bağlar: "Nüfus, sağlık ve iletişim kayıt bilgileri ile genetik ve biyometrik veriler gibi kritik bilgi ve veriler yurtiçinde güvenli bir şekilde depolanacaktır." Ve: "Kamu kurum ve kuruluşlarına ait veriler, kurumların kendi özel sistemleri veya kurum kontrolündeki yerli hizmet sağlayıcılar hariç bulut depolama hizmetlerinde saklanmayacaktır."

Genelge kamuya hitap eder. Genelgeye dayanan Bilgi ve İletişim Güvenliği Rehberi ise tüm kamu kurumlarında ve kritik altyapı hizmeti veren işletmelerde yeni kurulacak bilgi sistemleri için zorunludur. Kamuya yazılım ya da hizmet veren özel bir şirketseniz, kurumun verisini nerede tuttuğunuz ihalede ve sözleşmede karşınıza çıkabilir.

e-Fatura, e-Arşiv ve e-Defter

Bu başlık yalnız düzenlenmiş sektörleri değil, elektronik belge kullanan her işletmeyi ilgilendirir. 509 Sıra No'lu VUK Genel Tebliği'ne göre "e-Belgelerin muhafazasının Türkiye Cumhuriyeti sınırları içerisinde ve Türkiye Cumhuriyeti kanunlarının geçerli olduğu yerlerde yapılması zorunludur." Yurt dışında ikincil bir arşiv tutmak bu kurala engel değildir; asıl kopya ise Türkiye'de durmalıdır. Faturalarını kendi sisteminde saklayan bir şirket için bu, arşivin asıl kopyasının Türkiye'deki bir sunucuda durması demektir.

Elektronik defterde de 2019'daki değişiklikle eklenen hüküm, yurt dışında yapılan muhafazanın hüküm ifade etmediğini söyler. Vergi Usul Kanunu'nda izin alarak yurt dışında saklama diye bir yol da yoktur. Güncel metni Gelir İdaresi'nin sitesinden kontrol edin.

Sağlık verisi: ayrı bir yurt içi kuralı yok

Sık duyulan iddianın aksine, Kişisel Sağlık Verileri Hakkında Yönetmelik verinin yurt içinde saklanmasını şart koşmaz; yurt dışına aktarım için KVKK'nın 9. maddesine uyulmasını ister. Kamu sağlık kayıtları için yurt içi kuralı 2019/12 sayılı Genelge'dedir.

Özel bir klinik ya da sağlık yazılımı şirketi için asıl fark başka yerdedir: sağlık verisi özel nitelikli kişisel veridir ve VERBİS kayıt eşiği bu şirketler için çok daha düşüktür. Ana faaliyeti özel nitelikli veri işlemek olan veri sorumlusu, ancak çalışan sayısı 10'dan ve yıllık mali bilançosu 10 milyon TL'den azsa kayıttan muaftır; bu iki eşikten birine ulaştığında sicile kayıt olmak zorundadır.

Zorunlu değilse neden Türkiye?

Yukarıdaki sektörlerin dışındaysanız yurt dışı sunucu hukuken mümkündür; bedeli evraktır. Dayanağınız standart sözleşmeyse her yurt dışı sağlayıcı için ayrı bir sözleşme, beş iş günlük bildirim, aydınlatma metninde aktarımın anlatılması ve sağlayıcı değiştikçe bunların yenilenmesi gerekir. Sunucu Türkiye'deyse barındırmadan kaynaklanan bir aktarım doğmaz ve bu başlık uyum dosyanızdan düşer.

Bir uyarı: sektör düzenlemeleri yalnız sunucunun yerini değil; erişim, kayıt, denetim ve sözleşme şartlarını da düzenler. Sunucunun Türkiye'de olması tek başına uyum demek değildir; sağladığı şey, uyumun en temel şartlarından birini baştan karşılamaktır.

Turklokasyon'da veri nerede durur?

Tüm sunucularımız İstanbul'daki veri merkezimizdedir. VDS paketlerinde kaynak size ayrılmıştır; hizmet bittiğinde sanal disk ve anlık görüntüler kaldırılır. Fiziksel sunucuda makinenin tek kullanıcısı sizsiniz; hizmet bittiğinde diskleri kalıcı olarak imha eder, imzalı imha sertifikasını e-postanıza göndeririz. İki seçeneği KVKK uyumlu sunucu sayfamızda karşılaştırdık.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu, md. 9 ve md. 18 — mevzuat.gov.tr
• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, Resmî Gazete 10.07.2024, sayı 32598
• Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, Resmî Gazete 15.03.2020, sayı 31069, md. 25 ve 29
• SPK Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10), Resmî Gazete 13.03.2025, sayı 32840, md. 27 ve 30
• 2019/12 sayılı Bilgi ve İletişim Güvenliği Tedbirleri Genelgesi, Resmî Gazete 06.07.2019, sayı 30823
• 509 Sıra No'lu Vergi Usul Kanunu Genel Tebliği, Bölüm VI; Elektronik Defter Genel Tebliği (Sıra No: 1), 4.4.1
• Kişisel Sağlık Verileri Hakkında Yönetmelik, md. 15
• Kişisel Verileri Koruma Kurulu'nun 2025/1572 sayılı kararı, Resmî Gazete 01.10.2025, sayı 33034