Bulut Bilişimde Veri Mahremiyeti ve SLA Hukuku

Bilişim teknolojilerinin hızla gelişmesiyle birlikte işletmeler ve bireyler, verilerini geleneksel kapalı ağlardan çıkararak bulut bilişim ortamlarına taşımaya başlamıştır. Bu durum, bilgiye mekandan bağımsız erişim sağlarken, aynı zamanda veri mahremiyeti ve taraflar arasındaki hukuki ilişkileri düzenleyen hizmet seviyesi anlaşmaları (SLA) konusunda yeni hukuki zeminler oluşturmuştur. Bir bilişim hukuku avukatı olarak değerlendirdiğimizde, bulut mimarisinde verilerin dünyanın farklı lokasyonlarındaki sunucularda eş zamanlı olarak tutulabilmesi, verinin mülkiyeti ve güvenliği konularında belirsizliklere yol açmaktadır. Özellikle çok sayıda kullanıcının aynı fiziksel kaynağı paylaştığı genel bulut modellerinde, kişisel verilerin korunması sadece teknik bir gereklilik değil, aynı zamanda anayasal bir haktır. Bu noktada, veri sahiplerinin haklarını güvence altına almak ve hizmet sağlayıcıların sorumluluklarını netleştirmek için kapsamlı ve bağlayıcı hukuki metinlere ihtiyaç duyulmaktadır. Hukuk uygulamaları bağlamında, işletmelerin sadece maliyet odaklı düşünmemesi, aynı zamanda verilerin nerede barındırıldığına ve olası ihlallerde hangi hukukun uygulanacağına dikkat etmesi elzemdir.

Veri Mahremiyeti ve Yasal Düzenlemeler

Bulut platformlarında barındırılan verilerin gizliliği, ülkemizde 24 Mart 2016 tarihinde kabul edilen 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile güvence altına alınmıştır. Önceleri Anayasa'nın 20. maddesi ve Türk Ceza Kanunu'nun ilgili maddeleri ile sağlanan koruma, yetersiz kaldığı için bu kanun yürürlüğe girmiştir. Bulut mimarisinde kişisel verilerin işlenmesi; hukuka ve dürüstlük kurallarına uygun olma gibi temel ilkelere tabidir. Bir ihlal yaşanmaması adına, sağlık ve cinsel hayat gibi özel nitelikli kişisel veriler söz konusu olduğunda, verinin sahibinden açık rıza alınması kanunla zorunlu kılınmıştır. Ayrıca, verilerin tutulduğu veri merkezleri genellikle yurt dışında bulunduğundan, kişisel verilerin yurt dışına aktarılması kuralları da devreye girmektedir. İlgili kanun kapsamında, verilerin aktarılacağı yabancı ülkede yeterli korumanın bulunması şartı aranmakta olup, aksi takdirde ciddi hukuki yaptırımlar doğabilmektedir. Hukuki güvence açısından veri sorumlusunun aydınlatma yükümlülüğünü eksiksiz yerine getirmesi gerekmektedir.

SLA (Hizmet Seviyesi Anlaşması) ve Hukuki Boyutu

Bulut bilişim hizmetlerinin sürdürülebilirliği ve tarafların sorumluluk sınırlarının belirlenmesi açısından hizmet seviyesi anlaşması (SLA) kritik bir hukuki öneme sahiptir. Bu anlaşmalar, elektrik veya su hizmeti gibi bilişim hizmetinin de kullanıcılara kesintisiz sunulmasını taahhüt altına almayı amaçlar. Ancak uygulamada, birçok küresel bulut hizmet sağlayıcısı, veri kaybı veya hizmet kesintisi durumlarında sorumluluk almaktan kaçınan, ihtilaflarda yabancı ülke mahkemelerini yetkili kılan standart sözleşmeler sunmaktadır. İşletmelerin mağduriyet yaşamaması için, yapılacak SLA metinlerinde erişilebilirlik oranları, veri yedekleme süreçleri, kesinti halinde uygulanacak cezai şartlar ve olası bir uyuşmazlıkta uygulanacak hukuk kuralları gibi hususların net bir şekilde düzenlenmesi şarttır. Sözleşmelerde genellikle hizmet sağlayıcı lehine yer alan maddeler, hukuki ihtilaflarda hizmet alan kurumu korumasız bırakabilmektedir. Bu nedenle, sözleşme aşamasında hukuki danışmanlık alınarak teknik standartların ve gizlilik bildirimlerinin sözleşme metnine doğru yansıtılması telafisi imkansız zararları önleyecektir.

Kişisel Verilerin İşlenme İlkeleri

Bulut hizmeti alırken verilerin hukuka uygun bir şekilde yönetilebilmesi için uyulması gereken belirli standartlar mevcuttur. Kanun uyarınca, bulut ortamında veri işleme faaliyetleri gerçekleştirilirken uyulması zorunlu olan temel ilkeler şunlardır:

• Hukuka ve dürüstlük kurallarına uygun hareket edilmesi.
• Verilerin doğru ve gerektiğinde güncel tutulması.
• Belirli, açık ve yasal amaçlar doğrultusunda işlenmesi.
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü şekilde kullanılması.
• İlgili yasal mevzuatta öngörülen süre kadar muhafaza edilmesi.

Bu ilkeler, sadece yerel sunucularda değil, dağıtık ve sanallaştırılmış bulut mimarisi üzerinde tutulan tüm veriler için de aynen geçerlidir. Hizmet sağlayıcıların bu ilkelere uyum sağlayacak idari tedbirleri alması, aksi halde oluşabilecek veri sızıntılarında ihlallerle karşı karşıya kalınması kaçınılmazdır. Veri denetiminin etkin yapılabilmesi için yetkili üçüncü taraf denetleyiciler tarafından süreçlerin izlenmesi de hukuki güvenliği artıracaktır.