Siber Güvenlik Siber Güvenlik Sözlüğü Siber Mevzuat

Veri egemenliği nedir? Yerelleştirme, yargı yetkisi ve teknik koruma çerçevesi

Kısa cevap: Veri egemenliği, bir
devletin kendi ülkesinde üretilen ya da kendi vatandaşlarına ilişkin
verilerin, hangi hukuka tabi olacağı, kimin erişebileceği ve nasıl
korunacağı konularında karar verme kapasitesidir. Uygulamada üç ayak
üzerinde somutlaşır: verinin fiziksel olarak nerede tutulduğu (yerelleştirme),
verinin hangi ülkenin yargı yetkisine tabi olduğu (yargısal erişim) ve verinin
teknik olarak nasıl korunduğu (şifreleme, anahtar yönetimi, erişim kontrolü).
Türkiye’de kişisel veriler bakımından KVKK, kurumsal siber güvenlik
bakımından 7545 sayılı Kanun ve Bilgi ve İletişim Güvenliği Rehberi bu
çerçevenin ana referanslarıdır.

Veri egemenliği nedir?

Veri egemenliği (data sovereignty), bir devletin ülkesinde üretilen veya
vatandaşlarına ilişkin verilerin nerede tutulacağı, hangi kurallara tabi
olacağı ve kimin erişebileceği konularında karar verme yetkisidir. Kavram,
verinin ekonomik değeriyle ve siber güvenlik risk çerçevesiyle iç içedir.
Veri, aynı zamanda hem stratejik bir kaynak hem de bir egemenlik konusudur.

Türkiye’de veri egemenliğine ilişkin çerçeve tek bir metinden değil,
birbirini tamamlayan mevzuattan oluşur: Kişisel Verilerin Korunması Kanunu,
7545 sayılı Siber Güvenlik Kanunu, kritik altyapı sektörlerine ilişkin
ikincil düzenlemeler ve
Bilgi
ve İletişim Güvenliği Rehberi.

Üç ayak: yerelleştirme, yargı, koruma

Ayak	Ne demek?	Somut araç
Yerelleştirme	Verinin fiziksel olarak belirli bir ülke sınırları içinde tutulması.	Ülke içi veri merkezi, ulusal bulut, yetkilendirilmiş bölgesel bulut düzenleri.
Yargısal erişim	Veriye kimin, hangi hukuk çerçevesinde erişebileceği.	Yurt dışına aktarım rejimi, standart sözleşme, uygun bulma kararı, mahkeme talep süreci.
Teknik koruma	Veri fiziksel olarak nerede olursa olsun, teknik olarak nasıl korunduğu.	Kullanımda ve iletim sırasında şifreleme, müşteri yönetimli anahtar, güvenli yerleştirme (enclave), gizlilik hesaplaması.

Sağlam bir veri egemenliği uygulaması üç ayağı birlikte kullanır. Yalnızca
yerelleştirme, veriye yurt dışından yargısal erişim talebi geldiğinde koruma
sağlamayabilir. Yalnızca şifreleme, anahtar yönetimi yurt dışı bir kuruluşta
tutuluyorsa çözüm olmayabilir.

Dijital egemenlik ile ilişkisi

Dijital egemenlik daha geniş bir kavramdır. Ülkenin bulut, ağ, cihaz,
işletim sistemi, yarı iletken, yapay zekâ modeli ve bilgi işlem altyapısı
üzerindeki kontrol kapasitesini kapsar. Veri egemenliği bu kapasitenin veri
katmanına ilişkin bileşenidir. Bir ülke sağlam bir dijital egemenliğe sahip
olmadan veri egemenliğini kalıcı şekilde tesis edemez; çünkü verinin geçtiği
ağ ve yerleştiği bulut, veri politikasının fiili sınırını çizer.

KVKK ve yurt dışına aktarım

Kişisel Verilerin Korunması Kanunu, veri egemenliği terimini doğrudan
kullanmaz. Ancak kişisel verilerin yurt dışına aktarımını sıkı biçimde
düzenler. 2024 yılında getirilen değişiklikle üç temel araç netleştirildi:

Uygun bulma kararı: Kurul tarafından, bir ülkenin veya sektörün
veri koruma standartlarının uygun bulunması hâlinde aktarım yapılabilir.
Uygun güvence yolları: Bağlayıcı kurumsal kurallar, taahhütnameler
veya standart sözleşme gibi güvence araçları ile aktarım.
İstisnalar: Açık rıza gibi sınırlı özel hâller.

Kişisel veri boyutunda egemenlik uygulaması, bu araçların hangi durumda
hangi güvenceyle kullanıldığının belgelenmesine dayanır. Aynı sağlayıcının
farklı hizmet bölgesi seçenekleri arasında da hukuki fark bulunabilir.

7545 sayılı Kanun ve BİGR bağlamı

7545 sayılı Siber Güvenlik Kanunu, kurumsal siber güvenlik ve kritik
altyapı yükümlülükleri üzerinden veri egemenliğinin kurumsal boyutunu
kuvvetlendirir. Zafiyet ve olay bildirimi ile
siber
tehdit istihbaratının ulusal düzeyde paylaşımı, verinin ulusal siber
güvenlik akışına dahil edilmesi anlamına gelir.

Kamu kurumları ve kritik altyapı işletmecileri için
Bilgi
ve İletişim Güvenliği Rehberi, veri sınıflandırma, veri saklama, bulut
kullanımı ve şifreleme başlıkları altında pratik yükümlülükler getirir.
Rehberdeki üst düzey gizlilik sınıfına giren veriler için yurt dışı bulut
kullanımı, doğrudan sınırlar taşır.

Bulut hizmetleri ve egemenlik riski

Bulut, veri egemenliği bakımından tek başına risk değildir; belirleyici
olan sağlayıcının hukuk yerleşimi ve müşterinin yapılandırma tercihleridir.
Değerlendirmede bakılması gereken temel sorular şunlardır:

Veri hangi bölgede tutuluyor ve hangi bölgeye yedekleniyor?
Yönetim ve destek operasyonları hangi ülkeden yürütülüyor?
Anahtar yönetimi kimde? Müşteri kontrolündeki anahtar (BYOK/HYOK) desteği
var mı?
Sağlayıcı, üçüncü ülke mevzuatı çerçevesinde bir talebe cevap verme
yükümlülüğü altında mı?
Yerel bir ortağın işlettiği “egemen bulut” düzenlemesi var mı?

Türkiye pazarında büyük küresel sağlayıcıların yanı sıra yerli hizmet
sağlayıcıları ve yetkilendirilmiş kamu bulut girişimleri, egemen kullanım
senaryolarına yönelik seçenekler sunmaktadır.

Ülke modelleri: AB, ABD, Türkiye

Model	Yaklaşım
AB	GDPR ile uyum çerçevesi, veri aktarımlarında yeterlilik kararı, Gaia-X gibi egemen bulut girişimleri.
ABD	Sektörel mevzuat ağırlıklı yaklaşım; ulusal güvenlik odaklı erişim hükümleri.
Türkiye	KVKK ile kişisel veri koruması, 7545 sayılı Kanun ile kurumsal siber güvenlik, BİGR ile kamu ve kritik altyapı için somut yükümlülükler.

Ulusal siber güvenlik kurumlarının rol karşılaştırması için:
CISA nedir? ve ilgili
kurumların Türkiye’deki muadili olan
Siber
Güvenlik Başkanlığı içeriği.

Kritik altyapı için pratik ilkeler

Veri envanteri: Hangi verinin nerede tutulduğu, hangi ülkelere
aktarıldığı ve hangi sağlayıcıların işlediği çıkarılmalıdır.
Sınıflandırma: Veri, kritiklik ve gizlilik düzeyine göre
sınıflandırılmalı; sınıfa göre bulut ve konum politikası uygulanmalıdır.
Anahtar yönetimi: Yüksek hassasiyetteki veriler için müşteri
yönetimli anahtarın tercih edilmesi, egemenliğin teknik ayağını güçlendirir.
Sözleşme: Sağlayıcıyla sözleşme; aktarım rejimi, ihlal bildirimi
ve yargısal talep süreçlerini açıkça düzenlemelidir.
Denetim: Bağımsız denetim raporları, egemenlik yükümlülüklerinin
gerçekten karşılandığının belgelenmesi bakımından gereklidir.
Süreklilik: Egemenlik bir kez alınan bir karar değil; sürekli
güncellenen bir yönetim çerçevesidir.

Sık karşılaşılan yanlış anlamalar

“Sunucu Türkiye’de olduğu için egemenim”: Yanıltıcıdır. Sağlayıcının
hukuki yerleşimi ve destek operasyonlarının bulunduğu ülke de belirleyicidir.
“Şifrelediğim için sorun yok”: Anahtar sağlayıcıda ise koruma
sağlayıcının erişim kapasitesiyle sınırlıdır.
“KVKK uyum, veri egemenliğini kapsar”: KVKK yalnızca kişisel veri
boyutunu düzenler. Kurumsal ve kritik altyapı verisi için 7545 sayılı Kanun
ve BİGR çerçevesi geçerlidir.
“Egemen bulut daha güvenli”: Egemenlik, güvenliğin yerine
geçmez. İki kavram tamamlayıcıdır ve birlikte uygulanır.

Sıkça sorulan sorular

Veri egemenliği nedir?

Bir devletin kendi ülkesinde üretilen veya kendi vatandaşlarına ilişkin verilerin, kendi hukukunun ve yargı yetkisinin gerekleri çerçevesinde işlenmesini ve yönetilmesini talep etme kapasitesidir. Uygulamada veri yerelleştirme, yurt dışına aktarım rejimi ve millî bulut yaklaşımları olarak somutlaşır.

Veri egemenliği ile veri yerelleştirme aynı şey mi?

Aynı değildir. Veri yerelleştirme, verinin fiziksel olarak belirli bir ülkede tutulmasını zorunlu kılan somut politikadır. Veri egemenliği daha geniş bir çerçevedir; yerelleştirme aracıyla ya da yargısal erişim, denetim, şifreleme, anahtar yönetimi gibi başka araçlarla da gerçekleşebilir.

Dijital egemenlik ile aynı şey mi?

Değildir. Veri egemenliği veri odaklıdır. Dijital egemenlik yazılımdan buluta, çipten telekom altyapısına kadar tüm dijital katmanları kapsar. Veri egemenliği, dijital egemenliğin bir bileşenidir.

KVKK’da veri egemenliği geçiyor mu?

Kişisel Verilerin Korunması Kanunu ‘veri egemenliği’ terimini doğrudan kullanmaz; ancak kişisel verilerin yurt dışına aktarımını sıkı koşullara bağlayarak veri egemenliğinin kişisel veri boyutunu somutlaştırır. 2024’te getirilen standart sözleşme, uygun bulma kararı ve bağlayıcı kurumsal kural rejimi bu koşulların çerçevesini çizer.

Bulut hizmeti almak veri egemenliğini bozar mı?

Doğrudan bozmaz, ancak riski yönetmek gerekir. Belirleyici olan; verinin hangi hukuk yetki alanında bulunduğu, hangi kanunlara tabi olduğu, kimin erişebileceği ve şifreleme anahtarlarının kimde olduğudur. Ulusal veya yetkilendirilmiş yerel bulut hizmetleri, egemenliğe uygun kurulum sağlar.

Yabancı devletlerin veriye erişimi bir risk mi?

Bazı ülkelerin mevzuatı, ülke dışındaki sağlayıcıların o ülke sınırları içindeki verilere erişim talebine cevap vermesini zorunlu kılabilir. Bu, yurt dışı bulut hizmetleri kullanımında hukuki bir çelişki alanı yaratır ve veri egemenliği tartışmasının çekirdek konularından biridir.

Kaynaklar ve doğrulama notu

Resmî Gazete, 7 Nisan 2016, Sayı 29677 — Kişisel Verilerin Korunması Kanunu (6698 sayılı).
Resmî Gazete, 12 Mart 2024, Sayı 32487 — 6698 sayılı Kanunda değişiklik yapan 7499 sayılı Kanun (yurt dışına aktarım hükümleri).
Resmî Gazete, 19 Mart 2025, Sayı 32846 — 7545 sayılı Siber Güvenlik Kanunu.
Cumhurbaşkanlığı Dijital Dönüşüm Ofisi — Bilgi ve İletişim Güvenliği Rehberi.
Kişisel Verileri Koruma Kurulu — yurt dışına aktarıma ilişkin ikincil düzenlemeler ve rehberler.
European Commission — Data governance and data flows policy communications (arka plan referansı).

Mevzuata ilişkin bilgiler Resmî Gazete metinlerinden ve ilgili kurumların resmî yayınlarından alınmıştır. Karşılaştırmalı ülke modelleri özet seviyesinde verilmiştir; ayrıntı için ilgili ülke kurumlarının kendi resmî kaynaklarına bakılmalıdır. Envanter Medya bu içerikte hiçbir sağlayıcının ticari tavsiyesini yapmamaktadır.

Son güncelleme: 28 Ağustos 2026. Siber güvenlik mevzuatı ve kurumsal yapı hızla değişmektedir; bu sayfa yeni düzenleme yayımlandıkça güncellenir.