Şirketinizin çalışanları her gün müşterilerinizin kimlik numaralarını, sözleşmelerini, sağlık beyanlarını, banka hesap bilgilerini veya CV’lerini e-posta ile paylaşıyor. Peki bu e-postaların fiziksel olarak hangi ülkedeki sunucularda depolandığını ve hukuki sorumluluklarınızı hiç düşündünüz mü?
Pek çok işletme; Microsoft 365, Google Workspace veya Yandex Mail gibi global bulut servislerini kullanırken farkında olmadan Kişisel Verilerin Korunması Kanunu (KVKK) Madde 9 kapsamında ciddi bir yasal risk altına girmektedir.
Kişisel Verileri Koruma Kurulu (KVKK), yayımladığı ilke kararlarında ve uyguladığı yüksek idari para cezalarında açıkça belirtmektedir:
> “Veri tabanı veya sunucuları yurt dışında bulunan e-posta hizmet sağlayıcıları üzerinden kişisel veri işlenmesi ve saklanması, yurt dışına kişisel veri aktarımı niteliğindedir.”
Bu rehberde; şirket e-postalarının yurt dışında barındırılmasının yasal ve finansal risklerini, 5651 sayılı kanun gereksinimlerini, veri egemenliğini ve Türkiye lokasyonlu kurumsal e-posta altyapısına geçerek denetimlerden nasıl tam not alacağınızı inceliyoruz.
⚡ Hızlı Bakış: Yurt Dışı Bulut Sağlayıcılar vs ProMail Türkiye
| Hukuki & Teknik Kriter | Global Servisler (Google / MS / Yandex) | ProMail Yerli E-Posta Altyapısı |
|---|---|---|
| Fiziksel Sunucu Lokasyonu | İrlanda, Hollanda, ABD, Rusya vb. | %100 Türkiye (İstanbul Veri Merkezi) |
| KVKK Madde 9 Yurt Dışına Aktarım | Evet (Açık rıza veya Kurul taahhütnamesi gerektirir). | Hayır (Tüm veriler Türkiye sınırları içinde kalır). |
| İdari Para Cezası Riski | Yüksek (Eksik açık rızalarda milyonlarca liralık Kurul cezaları). | Sıfır İhlal Riski (Tam yerli mevzuat uyumu). |
| 5651 Sayılı Kanun Loglama | Global log mekanizmaları Türk yargı formatıyla tam uyuşmaz. | Yasal Zaman Damgalı ve Mahkeme Geçerli Loglama. |
| Veri Egemenliği (Data Sovereignty) | Yabancı devletlerin yasal mercileri (Cloud Act) erişebilir. | Yalnızca T.C. Mahkemeleri ve Kanunları Yetkilidir. |
1. KVKK Madde 9: Yurt Dışına Veri Aktarımı Neden Bu Kadar Kritik?
6698 sayılı KVKK’nın 9. maddesine göre kişisel verilerin yurt dışına aktarılabilmesi son derece sıkı kurallara bağlanmıştır:
- Açık Rıza Zorunluluğu: Müşterinizin veya çalışanınızın verisini yurt dışındaki bir sunucuya (örneğin Google veya Microsoft’un Frankfurt ya da Dublin veri merkezine) göndermek için her bir kişiden açık ve özgür iradeli onay almanız gerekir.
- Hizmet Şartına Bağlama Yasağı: Kurul kararlarına göre, müşteriye bir hizmet verirken e-posta sunucunuz yurt dışında diye “Açık rıza vermezsen sana hizmet vermem” diyemezsiniz. Bu durum rızayı sakatlar ve geçersiz kılar.
- Yüksek İdari Para Cezaları: Kurul denetimlerinde yetkisiz yurt dışı veri aktarımı tespit edildiğinde veri sorumlusu şirketlere milyonlarca liraya varan idari para cezaları uygulanmaktadır.
2. Şirket E-postalarında Hangi Veriler KVKK Riskine Girer?
Bir şirketin e-posta kutusu basit bir yazışma aracı değildir; şirketin en mahrem veri ambarıdır:
- Müşteri Verileri: İsim, soyisim, TC kimlik no, telefon, adres, fatura detayları, kredi kartı slipleri.
- İnsan Kaynakları Verileri: İşe alım CV’leri, sabıka kayıtları, sağlık raporları, maaş bordroları (Özel Nitelikli Kişisel Veri).
- Tedarikçi ve Sözleşme Bilgileri: Gizlilik sözleşmeleri, şirket bilançoları, teklif evrakları.
Bu verilerin yurt dışındaki yabancı bir e-posta sağlayıcısının sunucularına iletilmesi, her gün yüzlerce kez kanuna aykırı yurt dışı veri transferi yapıldığı anlamına gelir.
3. 5651 Sayılı Kanun ve E-posta Trafiği Loglama Yükümlülüğü
Türkiye’de faaliyet gösteren tüm kurum ve şirketler, 5651 sayılı kanun uyarınca iç ağlarındaki internet ve e-posta trafiğine ait erişim loglarını belirli bir süre saklamakla yükümlüdür:
- Zaman Damgası (TÜBİTAK Uyumlu): Log kayıtlarının sonradan değiştirilmediğini ispatlayan kriptografik zaman damgası zorunludur.
- Gizlilik ve Bütünlük: Logların hukuki bir uyuşmazlıkta Türk mahkemelerinde delil niteliği taşıyabilmesi için yerli mevzuata uygun formatta üretilmesi gerekir.
Global e-posta sağlayıcılarının sunduğu standart paneller, Türk hukukunun aradığı 5651 log standartlarını ve zaman damgası formatını doğrudan sağlamakta yetersiz kalmaktadır.
4. Veri Egemenliği (Data Sovereignty) ve Uluslararası Yasal Riskler
Verinizin fiziksel olarak hangi coğrafyada bulunduğu, o ülkenin istihbarat ve yargı yetkisine tabi olduğu anlamına gelir:
- ABD Cloud Act: Amerika Birleşik Devletleri merkezli teknoloji devleri (Microsoft, Google vb.), sunucuları Avrupa’da olsa dahi Amerikan mahkemelerinin veya istihbarat kurumlarının talebi halinde kurumsal müşteri verilerini paylaşmak zorundadır.
- Ticari Sırların Güvenliği: Şirketinizin Ar-Ge projeleri, patent başvuruları ve müşteri portföyü gibi stratejik ticari sırların yabancı bir ülkenin yargı denetimine açık olması kabul edilemez bir ticari risktir.
5. Çözüm: ProMail ile %100 Yasal Uyum ve Veri Güvenliği
ProMail Kurumsal E-Posta platformu, şirketinizin hukuk ve uyum (compliance) departmanlarının tüm gereksinimlerini eksiksiz karşılamak üzere kurgulanmıştır:
- %100 Türkiye Lokasyonlu Sunucular: Tüm e-posta veritabanları, ek dosyalar ve yedekler İstanbul’daki yüksek güvenlikli veri merkezinde saklanır. Veriniz asla sınır dışına çıkmaz.
- KVKK Uyum Raporu ve Taahhüt: Kurul denetimlerinde ibraz edebileceğiniz tam teknik ve idari tedbir belgelendirmesi sağlanır.
- Uçtan Uca Şifreleme: Gelen ve giden tüm e-posta trafiği en modern şifreleme protokolleriyle korunur.
- Çift Katmanlı Mail Gateway: Şirket içi verilere yönelik oltalama ve kötü amaçlı yazılım sızıntıları anında engellenir.
- Kesintisiz Geçiş Desteği: Mevcut yabancı sağlayıcınızdaki tüm e-posta arşiviniz, sıfır veri kaybı garantisiyle ProMail Türkiye sunucularına taşınır.
🚀 Şirketinizin KVKK Uyumunu Riske Atmayın
Hukuki yaptırımlarla ve itibar kaybıyla karşılaşmamak için şirketinizin kurumsal e-posta altyapısını Türkiye’nin lider yerli kurumsal e-posta platformu ProMail’e taşıyın.
- ProMail Kurumsal Çözümlerini İnceleyin
- KVKK ve Veri Egemenliği Uyum Danışmanlığı Alın
- Ücretsiz E-posta Göç (Migration) Desteği İsteyin
Şirketinize Özel Kurumsal E-Posta Çözümleri: İşletmeniz için %100 Türkiye lokasyonlu, KVKK uyumlu ve gelişmiş anti-spam korumalı kurumsal e-posta (kurumsal eposta), kurumsal mail hizmeti, kurumsal e-posta fiyatları ve kurumsal e-posta güvenliği çözümlerimizi inceleyebilir; çok kullanıcılı şirketler için esnek havuz kotalı kurumsal e-posta paketlerimizden ve kesintisiz geçiş için ücretsiz kurumsal mail taşıma desteğimizden yararlanabilirsiniz.