GDPR ve hosting seçimi
AB Genel Veri Koruma Tüzüğü (GDPR) verilerin Avrupa Birliği'nde tutulmasını şart koşmaz, ama sağlayıcıyla bir veri işleme sözleşmesi yapılmasını ve verilerin AB dışına yasal mekanizmalardan biriyle çıkarılmasını ister. accsly.io kataloğuna göre (Kasım 2026) VPS sağlayıcılarının %61'inin AB'de sunucusu var, ama bunların neredeyse yarısı Avrupa Ekonomik Alanı dışında kayıtlı. Bunun neden önemli olduğuna ve koşullarda nelerin kontrol edilmesi gerektiğine bakalım.
GDPR, Avrupa Birliği'nin ve Avrupa Ekonomik Alanı'nın tüm ülkelerinde geçerli olan (AB) 2016/679 sayılı tüzüktür. Sunucu seçimi açısından üç konu önemlidir: kimin neden sorumlu olduğu, sağlayıcıyla hangi sözleşmenin gerektiği ve verilerin nereye aktarılabileceği. Aşağıda bu kuralların VPS ve dedicated sunucu kiralamaya nasıl uygulandığını bulacaksınız. Metin genel kuralları açıklar, bir avukatın görüşünün yerini tutmaz.
GDPR projenizi ne zaman ilgilendirir?
3. maddeye göre tüzük, AB'de bir birimi olan şirkete ve AB'deki kişilere mal veya hizmet sunan ya da onların davranışlarını, örneğin analiz araçları ve reklam etiketleriyle izleyen herhangi bir ülkeden şirkete uygulanır. Bu yüzden Almanya'ya teslimat yapan bir Türk mağazası ya da İspanyolca arayüzlü ve euro fiyatlı bir hizmet de tüzüğün kapsamına girebilir. AB'de birimi olmayan şirket bu durumda 27. maddeye göre genellikle Avrupa Birliği'nde bir temsilci atar.
GDPR'da kişisel veri geniş anlaşılır: ad, e-posta, adres, sipariş numarası, IP adresi, cihaz tanımlayıcısı. Sunucuda AB'de yaşayanlara ait bunlardan herhangi biri varsa aşağıdaki kurallar sizi de ilgilendirir.
Veri sorumlusu ve veri işleyen
Tüzük katılımcıları iki role ayırır (4. madde).
- Veri sorumlusu (controller), verilerin neden ve nasıl işleneceğine karar verir. Bir site veya hizmet için bu, onun sahibidir.
- Veri işleyen (processor), verileri veri sorumlusu adına işler. Sunucularında müşterilerinizin verileri duran sağlayıcı tipik bir veri işleyendir: bulut ve hosting hizmetlerini Avrupa Veri Koruma Kurulu'nun 07/2020 sayılı rehberi de böyle tanımlar.
Aynı şirket farklı rollerde olabilir: sunucunuzdaki veriler için sağlayıcı veri işleyendir, sizin kendi verileriniz, yani adınız, ödeme bilgileriniz, destek yazışmalarınız için ise veri sorumlusudur. Rol, yükümlülükleri belirler. İşlemenin hukuka uygunluğundan ve sunucunun içindeki güvenlikten siz sorumlusunuz, sağlayıcı ise sözleşmede yazanlardan ve kendi altyapısının güvenliğinden.
Veri işleme sözleşmesi (DPA)
28. madde, veri sorumlusu ile veri işleyen arasındaki ilişkinin bir sözleşmeyle veya başka bir hukuki belgeyle düzenlenmesini ister. Sağlayıcılarda bu belge Data Processing Agreement veya Data Processing Addendum (DPA) olarak adlandırılır ve genellikle koşulların bir parçasıdır ya da talep üzerine imzalanır. Tüzüğe göre belgede veri işleyenin şunları yaptığı yazmalıdır:
- verileri, AB dışına aktarım dahil, yalnızca müşterinin belgelenmiş talimatlarıyla işler;
- çalışanlarını gizliliğe uymakla yükümlü kılar ve 32. maddeye göre güvenlik önlemleri alır;
- alt işleyenleri yalnızca müşterinin izniyle kullanır ve müşterinin itiraz edebilmesi için değişikliği bildirir;
- kişilerin taleplerini yanıtlamada ve veri ihlallerini bildirmede müşteriye yardım eder;
- hizmet sona erdiğinde verileri siler veya iade eder;
- denetim için bilgi sağlar ve denetime izin verir.
Sağlayıcı DPA sunmuyor ve imzalamaya da hazır değilse, sunucu Frankfurt'ta olsa bile bu, AB'de yaşayanların verileriyle çalışan bir proje için ciddi bir eksikliktir.
AB içinde ve dışında veriler
Tüzük verilerin AEA dışına aktarılmasına izin verir, ama yalnızca V. bölümdeki koşullarla. Başlıca iki mekanizma vardır.
- Yeterlilik kararı (45. madde). Avrupa Komisyonu bir dizi ülkedeki korumayı yeterli kabul etmiştir ve oraya aktarım ek belge gerektirmez. Komisyon'un listesine göre Kasım 2026 itibarıyla bunlar arasında Birleşik Krallık, İsviçre, Japonya, Kore Cumhuriyeti, ticari kuruluşlar için Kanada ve Ocak 2026'dan beri Brezilya var. ABD için karar yalnızca EU-US Data Privacy Framework programına katılan şirketler için geçerlidir. Türkiye ve Rusya listede yok.
- Standart sözleşme hükümleri (46. madde). Ülke yeterli kabul edilmemişse taraflar Komisyon'un 2021/914 sayılı kararıyla onaylanmış tip hükümleri imzalar ve alıcının ülkesinin hukukunun bunlara uymaya izin verip vermediğini değerlendirir. Gerekirse teknik önlemler, özellikle anahtarları AB'de kalan şifreleme eklenir.
Aktarım yalnızca veritabanının taşınması değildir. EDPB'nin 01/2020 sayılı tavsiyelerine göre üçüncü bir ülkeden verilere uzaktan erişim de aktarım sayılır; örneğin sağlayıcının destek ekibi AB dışından çalışıyorsa. Başka bir ülkedeki sunucuda tutulan yedek kopyaları, yabancı e-posta ve analiz hizmetlerini de hesaba katmak gerekir.
Müşterileriniz arasında Türkiye'deki kişiler de varsa onların verileri için ayrıca 6698 sayılı KVKK geçerlidir: verileri AB'deki bir sunucuda tutmak, kanunun 9. maddesindeki şartlara bağlı bir yurt dışına aktarımdır. Rusya vatandaşları içinse Rusya'nın verileri Rusya'da tutma zorunluluğu eklenir; iki kural setinin nasıl birleştirildiği 152-FZ ve hosting yazısında anlatılıyor.
AB'deki veri merkezi ve AB'li şirket
Sunucunun Avrupa Birliği'nde olması, verilerin yalnızca Avrupa hukukuna tabi olduğu anlamına gelmez. Sağlayıcı veya ana şirketi başka bir ülkede kayıtlıysa o ülkenin yasalarına da tabidir. En çok tartışılan örnek, ABD'li bir şirketin sunucu nerede olursa olsun verileri ABD makamlarına vermesini öngören Amerikan CLOUD Act'tir. Bunun GDPR ile ilişkisini EDPB ve Avrupa Veri Koruma Denetçisi incelemiştir.
accsly.io kataloğuna göre (Kasım 2026) lokasyonu bilinen 1.934 VPS sağlayıcısından 1.184'ünün, yani %61'inin AB'de sunucusu var. Bunlar en sık Almanya (597 sağlayıcı), Hollanda (536), Fransa (273), Polonya (184) ve Finlandiya'dır (164). Kayıt ülkesi bilinenler arasında 874 sağlayıcıdan 470'i, yani %54'ü AEA'da kayıtlı, geri kalan 404'ü bu alanın dışında, en sık ABD'de (79), Birleşik Krallık'ta (69) ve Rusya'da (53). Tersi de geçerli: AB'de kayıtlı 551 sağlayıcıdan 131'i AEA dışında da sunucu kiralıyor, bu yüzden Avrupalı bir şirkette de belirli paketin ülkesini kontrol etmekte fayda var. Şirketin ülkesi ile sunucunun ülkesi arasındaki fark Hosting sağlayıcısının yargı yetkisi yazısında ayrıntılı anlatılıyor.
Avrupa Birliği'nde sunucusu olan paketler Avrupa'da VPS seçkisinde ve ülke sayfalarında toplanmış: Almanya, Hollanda, Finlandiya.
Sağlayıcının koşullarında neler kontrol edilmeli?
- DPA olup olmadığı ve 28. maddeye uyup uymadığı: müşterinin talimatları, gizlilik, güvenlik önlemleri, alt işleyenler, verilerin silinmesi, denetim;
- alt işleyenlerin listesi ve yenilerinin nasıl bildirildiği;
- paket için veri merkezinin ülkesi ve şehri, sağlayıcının yedeklerinin nerede tutulduğu;
- destek ekibinin nereden çalıştığı ve sunucuların içeriğine erişimi olup olmadığı;
- veriler veya erişim AEA dışına çıkıyorsa aktarım mekanizması: yeterlilik kararı veya standart hükümler;
- sağlayıcının bir veri ihlalini müşteriye ne kadar sürede bildirdiği;
- müşterileriniz bunu istiyorsa veri merkezinin güvenlik sertifikaları, örneğin ISO/IEC 27001.
VPS'teki yükümlülükleriniz
Yönetimsiz bir sunucuda sistemin içindeki güvenlik önlemleri, yani güncellemeler, anahtarla erişim, güvenlik duvarı, disklerin ve yedeklerin şifrelenmesi sizin sorumluluğunuzdadır: nereden başlanacağı VPS satın aldıktan sonra ilk 10 adım yazısında, yedekler ise VPS yedekleri yazısında anlatılıyor. Ciddi bir veri ihlalini veri sorumlusu 33. maddeye göre 72 saat içinde denetim makamına bildirir, veri işleyen ise bunu gereksiz gecikme olmadan veri sorumlusuna bildirmelidir. Tüzüğün ihlali için para cezası 20 milyon avroya veya şirketin dünya çapındaki yıllık cirosunun %4'üne, hangisi yüksekse, ulaşabilir.