KVKK ve 5651 Sayılı Kanun Uyarınca Şirket E-postalarını Türkiye'de Barındırma Zorunluluğu

Kurumsal e-posta sistemleri, şirketlerin en kritik iletişim kanallarından biri olmasının yanı sıra, çalışanlara ve müşterilere ait kişisel verileri barındıran hassas platformlardır. Bu durum, Türkiye'deki 6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve 5651 Sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun kapsamında ciddi yükümlülükler doğurur.

KVKK, kişisel verilerin işlenmesi, saklanması ve aktarılması süreçlerini düzenler. E-posta içerikleri, gönderici ve alıcı bilgileri, zaman damgaları gibi veriler kişisel veri niteliğindedir. Bu verilerin yurt dışındaki sunucularda barındırılması, KVKK'nın 9. maddesinde belirtilen kişisel verilerin yurt dışına aktarımı şartlarına tabidir. Açık rıza, sözleşmesel ilişki, yasal yükümlülük veya Kişisel Verileri Koruma Kurulu'nun (KVKK) belirlediği güvenli ülkelere aktarım gibi istisnai durumlar dışında, kişisel verilerin yurt dışına aktarılması ciddi hukuki sonuçlar doğurabilir.

5651 Sayılı Kanun ise, özellikle internet hizmet sağlayıcılarına ve içerik sağlayıcılara yönelik yükümlülükler getirir. Bu kanunun 2. maddesi (ç) bendinde tanımlanan 'Yer Sağlayıcı', hizmet ve içerikleri barındıran gerçek veya tüzel kişidir. Kurumsal e-posta sunucusu işleten şirketler de bu kapsamda değerlendirilebilir. Kanunun 6. maddesi uyarınca, yer sağlayıcıların trafik bilgilerini (kimin, ne zaman, hangi IP adresinden eriştiği gibi) iki yıl süreyle saklama, bu kayıtların bütünlüğünü sağlamak için zaman damgasıyla imzalamak ve gizliliğini temin etmek yükümlülüğü bulunmaktadır. Bu kayıtların Türkiye sınırları içinde tutulması, denetlenebilirliği ve adli süreçlerde erişilebilirliği açısından kritik öneme sahiptir.

Dolayısıyla, doğrudan bir 'e-postaları Türkiye'de barındırma zorunluluğu' olmamakla birlikte, KVKK'nın veri aktarımı ve 5651 sayılı Kanun'un trafik kayıtları saklama yükümlülükleri, şirketleri e-posta altyapılarını yerel sunucularda konumlandırmaya güçlü bir şekilde teşvik etmektedir. Yurt dışı sunucularda barındırılan e-postalar için KVKK uyumu, oldukça karmaşık ve riskli bir süreç haline gelmektedir.

KVKK ve 5651 sayılı Kanun'a uyumlu bir kurumsal e-posta altyapısı kurmak, sadece sunucu konumundan ibaret değildir; aynı zamanda belirli teknik standartları ve güvenlik protokollerini de gerektirir. Bu standartlar, verilerin bütünlüğünü, gizliliğini ve erişilebilirliğini sağlamakla yükümlüdür.

• Veri Merkezi Standartları: E-posta sunucularının barındırıldığı veri merkezlerinin Tier-3 veya üzeri sertifikasyona sahip olması, kesintisiz hizmet, fiziksel güvenlik ve çevresel kontrol açısından kritik öneme sahiptir. Bu, veri kaybı riskini minimize eder ve yasal denetimlerde güvenilir bir altyapı sunar.
• Güvenli İletişim Protokolleri: E-posta trafiğinin şifrelenmesi zorunludur. IMAP (Gelen Posta) için 993 portu SSL/TLS ile, SMTP (Giden Posta) için ise 465 portu SSL/TLS ile kullanılmalıdır. Bu şifreleme, e-posta içeriklerinin ve meta verilerinin yetkisiz erişime karşı korunmasını sağlar.
• DNS Kayıtları ve E-posta Güvenliği: E-postaların bütünlüğünü ve kimliğini doğrulamak için SPF, DKIM ve DMARC gibi DNS TXT kayıtlarının doğru yapılandırılması şarttır. SPF (Sender Policy Framework), gönderen sunucunun yetkisini doğrular. DKIM (DomainKeys Identified Mail), e-posta içeriğinin kurcalanmadığını garanti eder. DMARC (Domain-based Message Authentication, Reporting & Conformance) ise bu iki protokolün sonuçlarına göre e-postaların nasıl işleneceğini belirler ve raporlama sağlar. Bu kayıtlar, e-posta sahtekarlığını (phishing) ve spam'ı önleyerek veri güvenliğine katkıda bulunur.
• Log Kayıt Yönetimi: 5651 sayılı Kanun uyarınca, yer sağlayıcıların erişim kayıtlarını (IP adresi, zaman damgası, kullanıcı bilgisi vb.) iki yıl boyunca saklaması zorunludur. Bu kayıtların bütünlüğü, RFC 3161 standartlarına uygun zaman damgası ile sağlanmalı ve herhangi bir değişikliğe karşı korunmalıdır. Bu, olası bir adli soruşturmada delil niteliği taşıyan verilerin güvenilirliğini garanti eder.
• Yedekleme ve Felaket Kurtarma: Düzenli ve güvenli yedekleme mekanizmaları ile felaket kurtarma planlarının (Disaster Recovery) bulunması, veri kaybı durumunda iş sürekliliğini ve yasal yükümlülüklerin yerine getirilmesini sağlar.
• Erişim Kontrolleri ve Yetkilendirme: E-posta sistemine erişim, sıkı yetkilendirme politikalarıyla yönetilmelidir. Sadece yetkili kişilerin belirli verilere erişimi olmalı ve bu erişimler loglanmalıdır.

Bu teknik standartlara uyum, şirketlerin KVKK ve 5651 sayılı Kanun kapsamında hukuki risklerini minimize etmeleri için vazgeçilmezdir. Özellikle yurt dışından yerel çözümlere geçiş yapan şirketler için bu detaylar hayati önem taşır.

E-posta sunucularını yurt dışında barındıran şirketler, KVKK ve 5651 sayılı Kanun kapsamında ciddi hukuki risklerle karşı karşıya kalabilirler. Bu riskler, idari para cezalarından itibar kaybına kadar geniş bir yelpazeyi kapsar.

• Kişisel Verilerin Yurt Dışına Aktarımı Sorunu: KVKK'nın 9. maddesi, kişisel verilerin yurt dışına aktarımı için veri sahibinin açık rızasını veya kanunda sayılan istisnai şartlardan birinin (örneğin, yeterli korumaya sahip ülkeye aktarım, taahhütname) varlığını zorunlu kılar. Yurt dışı e-posta sağlayıcıları kullanıldığında, e-posta içerikleri ve meta verileri kişisel veri niteliği taşıdığından, bu veriler otomatik olarak yurt dışına aktarılmış olur. Çoğu zaman bu durum için yeterli hukuki zemin oluşturulmamış, veri sahiplerinden açık rıza alınmamış veya KVKK tarafından onaylanmış bir taahhütname imzalanmamıştır. Bu durum, ciddi bir KVKK ihlali anlamına gelir.
• Denetim ve Erişim Zorlukları: Yurt dışında barındırılan verilere, Türk yargı makamlarının veya KVKK'nın erişimi sınırlı veya imkansız olabilir. Bir veri ihlali durumunda veya adli bir soruşturmada, ilgili verilere erişim talebi, yabancı yargı sistemleri ve uluslararası anlaşmalar nedeniyle uzun ve karmaşık süreçlere takılabilir. Bu durum, 5651 sayılı Kanun'un trafik kayıtları saklama ve sunma yükümlülüğünün yerine getirilmesini de zorlaştırır.
• Hukuki Yaptırımlar ve İdari Para Cezaları: KVKK'ya aykırı kişisel veri aktarımı, Kanun'un 18. maddesi uyarınca 25.000 TL'den 1.000.000 TL'ye kadar idari para cezası ile sonuçlanabilir. Ayrıca, 5651 sayılı Kanun'a aykırı olarak trafik kayıtlarını tutmama, saklamama veya yetkili mercilere sunmama durumunda da idari para cezaları uygulanabilir.
• İtibar Kaybı ve Güven Erozyonu: Bir veri ihlali veya KVKK uyumsuzluğu tespiti, şirketin kamuoyu nezdindeki itibarını ciddi şekilde zedeleyebilir. Müşterilerin ve iş ortaklarının güvenini kaybetmek, uzun vadede ciddi ticari kayıplara yol açabilir.
• Veri Güvenliği Protokolleri Farklılıkları: Yurt dışı sağlayıcıların veri güvenliği politikaları, Türkiye'deki yasal mevzuata tam olarak uymayabilir. Örneğin, bir sağlayıcının kendi ülke yasaları gereği veri paylaşımına izin vermesi, Türkiye'deki KVKK prensipleriyle çelişebilir.

Bu riskleri bertaraf etmek için şirketlerin, e-posta altyapılarını Türkiye sınırları içinde, KVKK ve 5651 sayılı Kanun'a tam uyumlu bir şekilde konumlandırması stratejik bir zorunluluktur. kurumsaleposta.app olarak, Türkiye'deki Tier-3 veri merkezlerimiz ve uzman ekibimizle bu süreçte yanınızdayız.