Veri yerleşimi nedir?

Kısa yanıt: Veri yerleşimi, kuruluşun verilerinin saklandığı ve işlendiği fiziksel veya coğrafi konumdur. Önemlidir; çünkü verilerin bulunduğu ülke, onlara hangi yasaların, düzenleyicilerin ve devlet erişim yetkilerinin uygulanacağını belirler. Bu da yerleşimi GDPR uyumu, sağlayıcı seçimi ve BT güvenlik incelemelerinde merkezi bir soru yapar.

Veri yerleşimi, belirli ülke, bölge veya veri merkezi olsun, verilerin fiziksel olarak saklandığı coğrafi konumu ifade eder. Bir işletme belgelerini bir bulut hizmetine yüklediğinde veriler dünyanın bir yerindeki sunucularda yaşar; o “yer” hukuki ağırlık taşır. Frankfurt’taki sunucuda saklanan sözleşme AB hukukuna tabidir. Virginia’daki sunucuda saklanan aynı sözleşme ise ABD hukukuna; Amerikan sağlayıcılarının tuttuğu verilere ABD makamlarına erişim hakkı tanıyan CLOUD Act gibi mevzuata tabidir.

Düzenlemeye tabi sektörlerdeki işletmeler için veri yerleşimi nadiren isteğe bağlıdır. Düzenleyiciler, denetçiler, müşteriler ve kamu müşterileri giderek daha doğrudan bir soru sorar: verilerimiz tam olarak nerede?

Veri yerleşimi, veri egemenliği ve verilerin yerelleştirilmesi

İnsanlar bu üç terimi sıklıkla birbirinin yerine kullanır; ancak farklı şeyleri anlatırlar.

Veri yerleşimi olgusal sorudur: veriler fiziksel olarak nerede saklanıyor? Şirket, politika veya sözleşme nedeniyle verilerinin belirli bir coğrafyada, örneğin AB içinde saklanmasına karar verdiğinde yerleşim gereksinimi benimser.

Veri egemenliği hukuki sorudur: verileri kimin yasaları yönetiyor? Veriler bulundukları ülkenin ve çoğu zaman hizmet sağlayıcının merkezinin bulunduğu ülkenin yasalarına da tabidir. Bu nedenle, verilerini ABD merkezli bir sağlayıcının işlettiği AB veri merkezinde tutan Avrupa işletmesi yine de egemenlik sorularıyla karşılaşır. Yerleşim tek başına yargı yetkisi sorununu çözmez.

Verilerin yerelleştirilmesi en katı biçimdir: belirli verilerin ülke sınırlarında kalmasını ve dışarı çıkmamasını gerektiren yasal zorunluluk. Rusya, Çin ve başka birçok yargı alanı belirli veri kategorileri için yerelleştirme yasaları uygular. Bazı AB üyesi devletler sağlık kayıtlarına veya kamu verilerine yerelleştirme kuralları uygular.

Uygulamada çoğu KOBİ önce yerleşimle (verilerin AB’de kaldığını kanıtlayabilir miyiz?), sonra egemenlikle (hangi hükûmet erişimi zorlayabilir?) ve yalnızca zorunlu kılan bir yargı alanında faaliyet gösteriyorsa yerelleştirmeyle ilgilenir.

Veri yerleşimi uyuma odaklanan işletmeler için neden önemlidir?

Üç neden öne çıkar: düzenlemeler, denetimler ve müşteri güveni.

Düzenlemeler. GDPR, belirli korumalar uygulanmadıkça kişisel verilerin Avrupa Ekonomik Alanı dışına aktarılmasını kısıtlar. Schrems II kararının 2020’de AB-ABD Gizlilik Kalkanı’nı geçersiz kılmasının ardından ABD sağlayıcılarına aktarımlar hukuken kırılganlaştı. Birçok Avrupa kuruluşu, aktarım riskini kaldırmanın en basit yolu olarak AB veri yerleşimini zorunlu tutarak karşılık verdi. GDPR yaptırımları teorik değildir: toplam cezalar 2024 itibarıyla 4,5 milyar avroyu aştı (CMS GDPR Enforcement Tracker, 2024). Benzer yerleşim beklentileri HIPAA risk değerlendirmelerinde, ISO 27001 kapsamındaki tedarikçi ilişkileri kontrollerinde ve Avrupa, Avustralya ile Kanada’daki kamu alımı gereksinimlerinde görülür. Bunları uygulamada karşılamak daha kapsamlı GDPR’ye uygun belge yönetiminin parçasıdır.

Denetimler. ISO 27001 ve ISO 9001 denetimleri kontrollü belgelerin, kayıtların ve kişisel verilerin nerede saklandığını, kimlerin erişebildiğini düzenli olarak inceler. “Verilerimiz nerede bulunuyor?” sorusuna belirli bölge ve destekleyici sözleşme maddesiyle yanıt veremeyen kuruluşta, denetçinin işaretleyeceği bir boşluk vardır. Yerleşim belgeleri, şifreleme ve erişim kontrolleriyle birlikte, denetimi telaş yerine başarıya dönüştüren kanıt paketinin bir parçasıdır.

Müşteri ve sözleşme baskısı. B2B alıcıları sözleşmelere giderek daha çok yerleşim maddesi koyar. Bir Alman kuruluşuna tedarik sağlayan üretici veya kamu müşterisine hizmet veren profesyonel hizmet şirketi, güvenlik anketinde AB yerleşimini sıklıkla pazarlığa kapalı gereksinim olarak bulur. Bunu karşılayamamak, fiyat görüşmesi başlamadan anlaşmayı kaybetmek demektir.

Belge yönetim sisteminde veri yerleşimi nasıl değerlendirilir?

Bir DMS’yi veya bulut sağlayıcısını değerlendirirken dört soru pazarlama dilini aşar:

Birincil sunucular nerede bulunuyor? “Küresel altyapı” değil, belirli bölgeyi sorun. Güvenilir sağlayıcı, sözleşmesinde veya veri işleme sözleşmesinde veri merkezi bölgesini belirtir.
Yedekler ve kopyalar nerede saklanıyor? Veri yerleşimi iddiaları, yedekler başka yargı alanındaysa çöker. Yedekliliğin taahhüt edilen bölgede kaldığını teyit edin.
Hizmetin arkasındaki tüzel kişi kim? Merkezi sizin yargı alanınız dışında olan sağlayıcı, sunucunun konumundan bağımsız olarak yabancı erişim yasalarına tabi olabilir. Avrupa kuruluşları tam bu nedenle sıklıkla Avrupa merkezli sağlayıcıları tercih eder. Yayımlanmış bir alt veri işleyenler listesi de isteyin; başka bölgedeki alt yüklenici aynı soruyu yeniden açar.
Gereksinimler sıkılaşırsa hangi kurulum seçenekleri var? Özellikle sağlık, finans ve kamu tedarik zincirlerindeki bazı kuruluşlar zamanla tek kiracılı veya şirket içi kuruluma ihtiyaç duyar. Bu yolu sunan sağlayıcı daha sonra zorunlu veri taşımanın önüne geçer.

Folderit bu soruları doğrudan yanıtlar: merkezi Estonya ve Almanya’dadır, müşteri verilerini AB veri yerleşimiyle AWS üzerinde barındırır, birbirinden 100 kilometreden fazla uzak veri merkezlerinde üçlü yedekler tutar ve daha sıkı egemenlik gereksinimleri olan kuruluşlar için tek kiracılı bulut ve şirket içi kurulum sunar. Güvenliğe genel bakış sayfamız tüm kontrol kümesini açıklar. Bu birleşim, BT yöneticisinin veya uyum sorumlusunun denetim ya da güvenlik incelemesinde verinin konumunu, yargı alanını ve yedek coğrafyasını tek cümlede belirtmesini sağlar.

Sonradan düşünülen bir konu değil, seçim ölçütü olarak veri yerleşimi

Yerleşim, satın aldıktan sonra düzeltemeyeceğiniz az sayıdaki sağlayıcı özelliğinden biridir. Ekipler erişim izinlerini yeniden yapılandırıp iş akışlarını yeniden kurabilir; ancak terabaytlarca kontrollü belgeyi yargı alanları arasında taşımak, hukuki inceleme içeren bir veri taşıma projesidir.

Her DMS değerlendirmesinde özellikleri veya fiyatı karşılaştırmadan önce yerleşimi ilk tur filtresi yapmak, müşteri denetiminde veya düzenleyici incelemede yargı yetkisi sorunu keşfetmenin çok daha büyük maliyetinden kurtarır. Özellikle Avrupa KOBİ’leri için ilk günden AB yerleşimini seçmek, tüm bir GDPR aktarım riski kategorisini oluşmadan kaldırır. Gereksinimi kurum içinde belirlerken şu konuyla birlikte okumaya değerdir: veri uyumunun işletmeniz için anlamı.