KVKK'ya göre sunucu Türkiye'de olmak zorunda mı? 2026 rehberi

Bir e-ticaret sitesi, klinik randevu sistemi ya da üyelik formu olan bir blog işlettiğinizde, ziyaretçilerin adı, telefonu, e-posta adresi gibi kişisel veriler bir sunucuda duruyor demektir. Hosting ararken de sık sık aynı iddiayla karşılaşırsınız: "KVKK gereği sunucunuz Türkiye'de olmalı." Peki KVKK sunucunun Türkiye'de olmasını gerçekten zorunlu tutuyor mu? Kısa cevap: Genel bir zorunluluk yok, ama yurt dışındaki sunucu sizi Kanun'un en sıkı maddelerinden birine sokuyor. Bu rehberde 6698 sayılı Kanun'un 9. maddesini, Kişisel Verileri Koruma Kurumu'nun Ocak 2025'te yayımladığı yurt dışı aktarım rehberini ve bazı sektörlere özel kuralları sade bir dille anlatıyoruz.

Not: Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. Kendi durumunuz için bir avukata veya veri koruma uzmanına danışın. Yazıdaki Hosting Dünyam bağlantıları satış ortaklığı (affiliate) bağlantısıdır; bu bağlantılardan yapılan alışverişten dasTECHNO komisyon alabilir, ödediğiniz fiyat değişmez.

KVKK "sunucu Türkiye'de olacak" diyor mu?

Hayır. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda kişisel verilerin yalnızca Türkiye'deki sunucularda tutulabileceğini söyleyen genel bir hüküm yok. Kanun bunun yerine verinin yurt dışına aktarılmasını belirli şartlara bağlıyor (madde 9).

İşin püf noktası şu: Kurum'un yurt dışı aktarım rehberine göre, bir hizmet sağlayıcının sunduğu yurt dışındaki bir bulutta verileri depolamak da aktarım sayılabiliyor. Rehber; veriyi aktaranın Kanun'a tabi olması, veriyi karşı tarafa iletmesi ya da erişilebilir kılması ve alıcının üçüncü bir ülkede bulunması şeklinde üç ölçüt sayıyor. Bu ölçütler sağlandığında yurt dışındaki bir hosting firmasına müşteri verilerinizi emanet etmek, Kanun'un gözünde bir yurt dışı aktarımıdır.

Yani "KVKK Türkiye'de sunucuyu zorunlu kılıyor" demek yanlış; doğrusu, "yurt dışındaki sunucu ek yükümlülük doğuruyor, Türkiye'deki sunucu bu yükü barındırma açısından ortadan kaldırıyor" demektir.

Yurt dışındaki sunucuya veri koymak için ne gerekiyor?

1. madde, 7499 sayılı Kanunla baştan yazıldı ve yeni hali 1 Haziran 2024'te yürürlüğe girdi. Kurum rehberinin aktardığı kanun gerekçesine göre eski sistemde yurt dışı aktarım pratikte açık rızaya sıkışmıştı ve sunucusu yurt dışında olan bulut tabanlı yazılımları hukuka uygun biçimde kullanmak neredeyse imkânsız hale gelmişti. Yeni madde, Avrupa'daki GDPR'a benzer üç basamaklı bir yapı kuruyor:

1. Yeterlilik kararı: Kişisel Verileri Koruma Kurulu bir ülke, o ülkedeki belirli sektörler veya bir uluslararası kuruluş için "yeterli koruma var" kararı verirse, Kanun'un 5. veya 6. maddesindeki işleme şartlarından biri de varsa aktarım yapılabiliyor. Karar Resmî Gazete'de yayımlanıyor ve en geç dört yılda bir yeniden değerlendiriliyor. Sunucunuzun bulunduğu ülke için böyle bir karar olup olmadığını Kurum'un sitesinden kontrol etmeniz gerekir.
2. Uygun güvenceler: Yeterlilik kararı yoksa taraflardan biri şu güvencelerden birini sağlamalı: Kurul'un ilan ettiği standart sözleşme, şirket grubu içindeki bağlayıcı şirket kuralları (Kurul onayıyla) ya da yazılı taahhütname (Kurul izniyle). Ayrıca ilgili kişinin o ülkede haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi gerekiyor.
3. Arızi aktarım: İlk iki yol da yoksa açık rıza, sözleşmenin ifası gibi istisnalara başvurulabiliyor. Ama Kanun bunu "arızi olmak kaydıyla" sınırlıyor.

Açık rıza alıp yurt dışındaki sunucuyu kullanabilir miyim?

Burası en sık yapılan hata. Kurum rehberi "arızi" kavramını düzenli olmayan, tek veya birkaç kez gerçekleşen, süreklilik taşımayan ve olağan faaliyet akışında yer almayan aktarımlar olarak tanımlıyor. Rehbere göre istisnai aktarıma ancak son çare olarak başvurulmalı ve dar yorumlanmalı. Bir sitenin bütün müşteri veritabanını her gün yurt dışındaki bir sunucuda tutması ise tam tersine sürekli ve olağan bir faaliyet. Bu yüzden yurt dışı hosting için "çerez bandına bir onay kutusu koyup açık rıza alırım" yaklaşımı, Kurum'un bu tanımıyla örtüşmüyor.

Standart sözleşmede 5 iş günü kuralı

Yurt dışındaki bir hosting firmasıyla en pratik yol genellikle standart sözleşme. Kurul dört ayrı model yayımladı (veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene, veri işleyenden veri sorumlusuna). Kanun'a göre sözleşme imzalandıktan sonra beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kurum'a bildirilmek zorunda. Bu bildirimi yapmamak, 7499 sayılı Kanun'la eklenen 18. madde hükmüne göre ayrı bir idari para cezası sebebi. Usul ayrıntıları, 10 Temmuz 2024'te Resmî Gazete'de yayımlanan yurt dışı aktarım yönetmeliğinde yer alıyor.

Sunucum Türkiye'de olursa KVKK'dan kurtulur muyum?

Hayır, yalnızca yurt dışı aktarım kısmından kurtulursunuz. Türkiye'deki bir hosting firması da sizin adınıza veri işlediği için Kanun'daki tanımıyla veri işleyen konumunda. 12. maddeye göre veri sorumlusu, verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişimi önlemek için gereken teknik ve idari tedbirleri almak zorunda; verileri kendi adına başkası işliyorsa bu tedbirlerden onunla birlikte müştereken sorumlu. Aydınlatma metni, veri güvenliği, ihlal bildirimi gibi yükümlülükler sunucu nerede olursa olsun devam ediyor.

Türkiye lokasyonlu sunucunun size kazandırdığı şey şu: Barındırma için yeterlilik kararı aramanıza, standart sözleşme imzalayıp 5 iş günü içinde bildirmenize ya da Kurul'dan izin almanıza gerek kalmıyor. Özellikle küçük işletmeler için bu, uyum sürecini belirgin şekilde sadeleştiriyor.

Dikkat: Sunucu Türkiye'de ama veri yine de yurt dışına gidebilir

Kurum rehberine göre üçüncü bir ülkeden uzaktan erişim de, veriler yalnızca ekranda görüntülense bile (örneğin destek, sorun giderme veya yönetim amacıyla), ölçütler sağlanırsa aktarım sayılıyor. Yani şunlara bakmak gerekiyor:

• Sunucunuzu yurt dışındaki bir ajans, yazılımcı veya destek ekibi mi yönetiyor?
• Yedekler nerede tutuluyor? Sunucu İstanbul'da, otomatik yedekler yurt dışındaki bir depolama hizmetinde olabilir.
• Sitenin önündeki CDN, e-posta gönderim servisi, form aracı, canlı destek eklentisi veya analitik araçları verileri nereye gönderiyor?

Bu hizmetlerin her biri ayrıca değerlendirilmeli. Sunucuyu Türkiye'ye taşımak, uyum işinin önemli bir parçası ama tamamı değil.

Hangi sektörlerde yurt içinde tutmak zorunlu?

KVKK'nın 9. maddesinin son fıkraları, yurt dışı aktarıma ilişkin diğer kanunlardaki hükümlerin saklı olduğunu söylüyor. Yani bazı sektörlerde ek ve daha sıkı kurallar var. En net örnek bankacılık: BDDK'nın Bankaların İç Sistemleri ve İçsel Sermaye Yeterliliği Değerlendirme Süreci Hakkında Yönetmeliği'nin 11. maddesine göre bankalar birincil ve ikincil sistemlerini yurt içinde bulundurmak zorunda. Ödeme kuruluşları, kamu kurumları, sağlık gibi alanlarda da kendi mevzuatlarında ayrı kurallar bulunabilir; bu sektörlerde çalışıyorsanız ilgili düzenleyicinin mevzuatını ayrıca kontrol edin. Türkiye'de bu konunun neden önemli olduğuna dair bir örnek olarak, Alibaba Cloud'un Türkiye'de bulut bölgesi açma planını anlattığımız haberimize de bakabilirsiniz.

Türkiye lokasyonlu hosting seçerken nelere bakılmalı?

Örnek: Hosting Dünyam'ın lokasyon bilgisi

Türkiye'deki sağlayıcılardan Hosting Dünyam, sunucu barındırma sayfasında sunucularının tamamının İstanbul'daki Datacasa veri merkezinde barındırıldığını ve şu an İstanbul dışında bir lokasyon sunmadığını yazıyor; AMD sunucu sayfasında bu veri merkezinin Başakşehir'de olduğu ve Tier III sınıfında yer aldığı belirtiliyor. Şirketin sitesinde 6698 sayılı Kanun'a atıf yapan bir KVKK aydınlatma metni de bulunuyor.

28 Ekim 2026'da sitede listelenen giriş fiyatları şöyle (fiyatlara KDV dahil değil):

Web hostingde gösterilen fiyat aylık ödeme fiyatı, sayfada ayrıca 82,49 TL yenileme fiyatı yazıyor; VPS ve VDS'te en küçük paketler kontrol sırasında "stok yok" göründüğü için stokta olan ilk paket yazıldı. Şirketin iade koşullarına göre web hostingde 3 günlük iade hakkı var, VPS, VDS ve dedicated hizmetler ise iade kapsamında değil.

VPS, VDS ve Premium VDS arasındaki donanım ve fiyat farklarını VPS ile VDS farkı rehberimizde paket paket karşılaştırdık. Türkiye'de fiziksel sunucu ve VDS satan firmaların fiyat ve veri merkezi karşılaştırması için de Türkiye dedicated sunucu fiyatları rehberimize bakabilirsiniz.

İstanbul lokasyonlu VDS ve hosting paketlerini incele →

Hangi sağlayıcıyı seçerseniz seçin, lokasyon iddiasını yazılı olarak (sözleşme, sipariş sayfası veya destek talebi yanıtı) belgelemenizi öneririz. Kurum bir gün sorarsa "firma öyle demişti" yerine elinizde bir belge olur.

Sık sorulan sorular

KVKK'ya göre yurt dışı hosting yasak mı?

Hayır. Yasak değil, ama 9. maddedeki şartlara bağlı. Yeterlilik kararı yoksa standart sözleşme gibi bir uygun güvence gerekiyor; standart sözleşme de imzadan sonra 5 iş günü içinde Kurum'a bildirilmeli.

Yurt dışındaki sunucu için açık rıza yeterli mi?

Kurum rehberine göre açık rızaya dayanan aktarım "arızi", yani düzenli olmayan ve süreklilik taşımayan aktarımlar içindir. Bir sitenin verilerinin sürekli yurt dışındaki sunucuda tutulması bu tanıma uymuyor.

Türkiye'deki sunucu KVKK uyumu için yeterli mi?

Tek başına yeterli değil. Barındırma kaynaklı yurt dışı aktarım yükümlülüğünü kaldırır, ama aydınlatma, veri güvenliği, ihlal bildirimi gibi yükümlülükler devam eder. Yurt dışındaki yedek, CDN, e-posta veya uzaktan yönetim gibi unsurlar da ayrıca aktarım doğurabilir.

Hangi şirketler verilerini Türkiye'de tutmak zorunda?

KVKK genel bir zorunluluk getirmiyor, ama sektörel mevzuat getirebiliyor. Örneğin BDDK yönetmeliğine göre bankalar birincil ve ikincil sistemlerini yurt içinde tutmak zorunda. Kendi sektörünüzün düzenleyicisinin kurallarını kontrol edin.

Yeni kurallar ne zaman yürürlüğe girdi?

1. maddenin yeni hali 7499 sayılı Kanunla değişti ve 1 Haziran 2024'te yürürlüğe girdi. Uygulama ayrıntılarını içeren yönetmelik 10 Temmuz 2024'te Resmî Gazete'de yayımlandı.

Sonuç

KVKK sunucunun Türkiye'de olmasını genel bir kural olarak şart koşmuyor; ama yurt dışındaki sunucu, yeterlilik kararı, standart sözleşme ve 5 iş günlük bildirim gibi ek yükümlülükler getiriyor ve "açık rıza alırım" kestirmesi süreklilik taşıyan barındırma için uygun görünmüyor. Kişisel veri işleyen küçük ve orta ölçekli bir site için Türkiye'de barındırılan bir sunucu, bu yükü ortadan kaldırarak uyumu sadeleştiren pratik bir tercih. Yine de yedeklerin, destek erişiminin ve sitede kullandığınız yabancı servislerin nereye veri gönderdiğini ayrıca kontrol etmeyi unutmayın.