"AB'de barındırılan" ifadesi tek bir sunucuyu anlatır. Verileriniz bundan daha fazla yerde durur.

---

KISA CEVAP

"AB'de barındırılan" ifadesi çoğunlukla tek bir soruyu yanıtlar: web sunucusu nerede duruyor. Yedekler, kayıtlar, e-posta gönderimi ya da kimin nereden giriş yaptığı hakkında hiçbir şey söylemez. GDPR kapsamında, üçüncü bir ülkedeki destek personelinin Avrupa'da saklanan verileri okuması bir aktarımdır. Gerçek cevaba üç soru götürür; sorular aşağıda.

---

Müstakbel bir müşteri ajansa makul bir soru sorar: web sitemiz AB'de mi barındırılıyor? Cevap tek satırda gelir. Evet, sunucularımız Frankfurt'ta.

Cevap doğrudur. Ama yalnızca tek bir makineyi anlatır. Bu arada gece yedekleri başka bir sağlayıcıya gider, hata kayıtlarını bir izleme aracı toplar, iletişim formu e-postayı bir gönderim hizmetiyle yollar ve siteye destek veren bir geliştirici Avrupa dışından giriş yapar. Bunların her biri, bir yere giden kişisel veridir. Hiçbiri o cevabın kapsamında değildi.

"AB'de barındırılan" bir sistemle değil, bir sunucuyla ilgili bir olgudur

Bir web sitesi tek bir yer değildir. Ziyaretçilerinizin size verdiği verinin kat ettiği bir hizmetler zinciridir.

Çoğu ajansa sitenin nerede barındırıldığını sorarsanız bir veri merkezinin adını alırsınız. Zincirin cevaplaması en kolay halkası budur ve çoğu zaman da kimsenin kontrol ettiği tek halkadır. Zincirin geri kalanı, kurulum sırasında hangisi kolaysa onunla, genellikle bir harita çıkarılmadan bir araya gelmiştir.

Bunların hiçbiri kimsenin ihmalkâr olduğu anlamına gelmez. "AB'de mi barındırılıyor" sorusunun, işe yarar bir cevap üretemeyecek kadar küçük olduğu anlamına gelir.

Birinci soru: veri gerçekte nerede duruyor, kopyalar dahil?

Web sunucusu başlangıçtır. Gerçek liste daha uzundur:

• Yedekler. Çoğu zaman farklı bir ülkede, farklı bir sağlayıcıda durur ve sitenin tuttuğu her şeyin tam bir kopyasını içerir.
• Kayıtlar ve izleme. Hata izleyiciler ve performans araçları sık sık sayfa adreslerini, tarayıcı verilerini ve bazen form içeriklerini alır.
• E-posta gönderimi. Bir iletişim formunun mesajları genellikle sunucunun kendisinden değil, bir e-posta hizmetinden çıkar.
• İçerik dağıtım ağı. Dosyalar ve bazen ziyaretçi adresleri, dünyanın dört bir yanındaki uç sunucularda işlenir.
• Analitik ve pazarlama araçları. Nerede olursa olsun, kendi depolama alanları vardır.
• Ajansın çalışırken içeriğinizi tuttuğu yer: bir sürücü, bir tasarım aracı, bir talep sistemi.

Kopya, aslından daha değersiz bir şey değildir. Üyelerinizin verisinin üçüncü bir ülkedeki yedeği, üyelerinizin verisinin üçüncü bir ülkede durmasıdır.

Bu listenin uzunluğu bir tasarım kararıdır, doğa kanunu değil. Elevates, sunucuda bir talepler veritabanı tutmak yerine form mesajlarını bir gelen kutusuna ileten siteler kurar; bu da kimse denetlemeye başlamadan listeden birkaç satırı çıkarır.

İkinci soru: veriye başka kim dokunuyor?

Bu hizmetlerin her biri bir şirkettir. GDPR kapsamında bunlar alt veri işleyenlerdir (sub-processors): ajansınızın sizin adınıza veri işlemek için devreye aldığı diğer firmalar.

Tüzüğün 28(2). maddesi, bir veri işleyenin "veri sorumlusunun önceden verilmiş özel ya da genel yazılı izni olmaksızın başka bir veri işleyeni devreye almayacağını" söyler (bizim çevirimiz; İngilizce özgün metni: "shall not engage another processor without prior specific or general written authorisation of the controller") ve genel izin varsa veri işleyenin, itiraz edebilmeniz için öngörülen değişiklikleri size bildirmesi gerektiğini ekler. Pratikte bu, ısrar edebileceğiniz iki şey demektir: bir liste ve liste değiştiğinde bir bildirim.

Asıl işe yarayan belge listedir. Hizmet başına bir satır: ne yaptığı, hangi şirketin işlettiği ve verinin hangi ülkede durduğu. Bunu hazırlayamayan bir ajans, kendi zincirinin haritasını çıkarmamıştır.

Üçüncü soru: kim giriş yapıyor ve nereden?

Bu, neredeyse kimsenin sormadığı sorudur ve hukukta en net cevabı olan sorudur.

GDPR "aktarımı" tanımlamaz. Boşluğu Avrupa Veri Koruma Kurulu (EDPB), 14 Şubat 2023'te kabul edilen 2.0 sürümlü 05/2021 sayılı Kılavuzu ile doldurdu. Üçünün birlikte karşılanması gereken (kümülatif) üç ölçüt koyar: veri aktaran GDPR'a tabidir; veriyi başka bir veri sorumlusunun ya da veri işleyenin erişimine sunar; ve bu veri alıcı "üçüncü bir ülkededir".

Ardından burada önem taşıyan durumu verir. AB dışındaki bir veri işleyenin "AB'de saklanan verilere, örneğin destek amacıyla, uzaktan erişmesi" bir aktarım doğurur (bizim çevirimiz; İngilizce özgün metni: "remotely accessing, e.g. for support purposes, the data which is stored in the EU"), çünkü veriyi okuyan kişi üçüncü bir ülkededir. Diskin nerede durduğu tek başına belirleyici değildir. İnsanların nerede bulunduğu da önemlidir.

Dolayısıyla üçüncü soru basitçe şudur: sunucuya, veritabanına ve içerik sistemine kimlerin giriş yetkisi var ve hangi ülkelerden çalışıyorlar?

Aktarım yasak değildir. Koşulludur

Bunların hiçbiri verinin Avrupa'dan asla çıkamayacağı anlamına gelmez. 44. madde, V. Bölümdeki koşullar karşılandığında aktarımlara izin verir ve olağan iki yol vardır.

Birincisi yeterlilik kararıdır: Komisyon, varış yerinin veriyi yeterli düzeyde koruduğuna karar vermiştir ve ek bir evrak gerekmez. Komisyonun listesi Andorra, Arjantin, Brezilya, Kanada, Faroe Adaları, Guernsey, İsrail, Man Adası, Japonya, Jersey, Yeni Zelanda, Kore Cumhuriyeti, İsviçre, Birleşik Krallık, Amerika Birleşik Devletleri ve Uruguay'ı, ayrıca Avrupa Patent Örgütü'nü kapsar.

Bunlardan ikisi bir koşulla birlikte gelir. Kanada'nın kararı yalnızca ticari kuruluşları kapsar. Amerika Birleşik Devletleri ise yalnızca, 10 Temmuz 2023'te kabul edilen karar uyarınca AB-ABD Veri Gizliliği Çerçevesi'ne (EU to US Data Privacy Framework) katılmış şirketler için kapsam içindedir. Dolayısıyla "yedekleme sağlayıcımız Amerikalı" tek başına bir cevap değildir: asıl soru, o belirli şirketin Çerçeve listesinde olup olmadığıdır.

Yeterlilik kararının olmadığı durumdaki ikinci yol, 46. madde kapsamındaki standart sözleşme maddeleridir. Bunlar bir engel değil, olağan evraktır ve uluslararası çalışan bir ajansın bunlara zaten sahip olması gerekir.

Sahibi yurt dışında olan bir AB şirketi ayrı bir sorudur

Arada kalan ve çok tartışılan bir durum var; EDPB bunu cevaplamıştır.

Veri işleyeniniz AB'de kuruluysa, verinizi yalnızca AB'de işliyorsa ve AB dışında kimsenin erişimi yoksa, ana şirketi üçüncü bir ülkede olsa ve yabancı hukuk ona ulaşabilse bile, veriyi ona vermek bir aktarım değildir. EDPB'nin kendi örneği, bu ifşanın bir aktarım teşkil etmediğini ve V. Bölümün uygulanmadığını belirtir (İngilizce özgün metni: "does not amount to a transfer and Chapter V" does not apply).

Konu burada kapanmaz, çünkü yabancı bir erişim talebi riski hâlâ vardır ve Tüzüğün güvenlik yükümlülükleri kapsamında hâlâ değerlendirilmelidir. Ama bu bir aktarım sorusu değildir ve onu öyle ele almak konuşmayı karıştırır.

Güven verici görünen ama öyle olmayan dört cevap

Bazı cevaplar güvenle gelir ve hiçbir şeyi çözmez.

"Avrupalı bir sağlayıcı kullanıyoruz." Sağlayıcının merkezinin nerede olduğu, verinizin nerede durduğuyla aynı olgu değildir, ona kimlerin erişebildiğiyle de aynı değildir. Avrupalı bir şirket veriyi Avrupa dışında saklayabilir, Avrupa dışındaki bir şirket de Avrupa içinde saklayabilir. Antetli kâğıdı değil, veriyi sorun.

"Hepsi şifreli." Şifreleme bir güvenlik önlemidir, 32. madde uyarınca kendi başına gereklidir ve sahip olmaya değer. Ama konum sorusunu cevaplamaz. Depolanırken şifrelenmiş veri de bir yerde, anahtarı elinde tutan biri tarafından işlenir.

"Hiçbir kişisel veri saklamıyoruz." Bu çoğu zaman içtenlikle söylenir ve çoğu zaman yanlıştır. İletişim formu bir gelen kutusunda bir kopya bırakır. Hata kaydı ziyaretçinin adresini yakalamıştır. Yedek, son temizlikten önceki veritabanını tutar. Bir sitenin saklamak üzere tasarlandığı şey ile gerçekte tuttuğu şey iki ayrı listedir.

"Barındırma firmamız GDPR uyumlu." Hiçbir kurum bir şirketi genel anlamda GDPR uyumlu diye onaylamaz. Bir sağlayıcı standart sözleşme koşulları, güvenlik sertifikaları ve AB bölgeleri sunabilir; bunlar yararlıdır, ama uyum, veriyle ne yaptığınıza bağlıdır, bir tedarikçinin web sitesindeki rozete değil.

Bu cevapların hiçbiri yalan değildir. Sorduğunuz sorudan daha kolay soruların cevaplarıdır.

Yazılı olarak neler istemeli

Altı satır ve her ajansta işe yarar:

• Alt veri işleyenlerin listesi: ad, her birinin ne yaptığı ve verinin durduğu ülke.
• Yedeklerin nerede olduğu, kimde olduğu ve ne kadar süreyle saklandığı.
• Hata kayıtlarının ve analitiğin neyi topladığı ve bunların nereye gittiği.
• Destek personelinin hangi ülkelerden giriş yaptığı, serbest çalışanlar dahil.
• Bir alt veri işleyen değiştiğinde nasıl bilgilendirileceğiniz ve nasıl itiraz edebileceğiniz.
• Veri işleme sözleşmesinin kendisi, çünkü 28(3). madde yazılı bir sözleşme şart koşar.

Altısını da bir günde cevaplayan ajans, elinde bir harita olduğunu söylüyordur. Yalnızca ilkini cevaplayan ajans ise size sunucusu hakkında doğruyu söylüyor ve başka bir şey söylemiyor.

Kontrol listesinin bittiği yer

Bir liste bir beyandır, garanti değildir. Ajansın yazıldığı gün kendi zinciri hakkında bildiklerini yansıtır.

İki şey onu kâğıttan öte bir şey yapar. Birincisi, korunacak şeyi en aza indirmektir: taleplerini kendi sunucusunda hiç saklamayan bir sitenin listesi, her mesajı yıllarca bir veritabanında tutan bir sitenin listesinden çok daha kısadır. İkincisi, listeyi güncel tutmaktır, çünkü yeni bir eklenti ya da yeni bir izleme aracı, kimse duyurmadan zincire bir halka ekler.

Muğlak bir cevabın size maliyeti ve Elevates'in yaptığı

Soran işletme için "evet, Frankfurt" cevabının maliyeti, sorunun açık kalmasıdır. Bir müşteri veri işleyen listesi istediğinde, bir finansörün uyum sorumlusu sorduğunda ya da bir olaydan sonra, yani haritayı çizmeye başlamak için en kötü anda yeniden ortaya çıkar.

Dürüst cevap çoğu zaman şudur: iletişim formlu küçük bir tanıtım sitesinin zinciri kısadır, haritası basittir ve altı soruyla geçirilen bir öğleden sonra konuyu yıllarca halleder. Elevates'in kurduğu yerlerde tasarım daha az saklamaktan başlar: formlar, sunucuda bir talepler veritabanı oluşturmak yerine bir gelen kutusuna iletir ve sözleşmenin öngördüğü şey süresiz saklama değil, teslimde silmedir. Kısa bir zinciri dürüst tutmak, denetlenmesi gereken uzun bir zincirden daha kolaydır.

Bu hafta sorulacak soru

Web sitenizi işleten kişiye sorun: giriş yapabilen kişiler hangi ülkelerden çalışıyor?

Cevap yanında hizmetlerin ve ülkelerin bir listesiyle gelirse, sizin durumunuzda AB'de barındırma bir anlam taşıyor demektir. Cevap bir sunucunun durduğu şehrin adıysa, tek bir makine hakkında tek bir şey öğrenmişsinizdir.

Bu yazı, Tüzüğün ve EDPB kılavuzlarının bir anlatımıdır. Hukuki tavsiye değildir; kendi düzenlemelerinizin uyumlu olup olmadığı, ülkenizdeki bir avukata danışılması gereken bir sorudur.