Bulut ve Yazılım Sözleşmeleri #01 – İhlal Tedarikçinizde, Ceza Sizde: Bulut ve SaaS Sözleşmelerinde Sorumluluk

Bulut ve Yazılım Sözleşmeleri #01 – İhlal Tedarikçinizde, Ceza Sizde: Bulut ve SaaS Sözleşmelerinde Sorumluluk – kapak görseli

Bu sayıyla bulut ve yazılım sözleşmeleri üzerine yeni bir yazı dizisine başlıyorum. İlk konuyu seçmek zor olmadı, çünkü geçen hafta yayımlanan üç duyuru, şirketlerle yaptığım görüşmelerde en sık karşılaştığım yanlış kanaati yeniden gündeme getirdi: “Verilerimiz sağlayıcının sunucusunda, güvenlik de onun işi.”

Kişisel Verileri Koruma Kurumu 21 Ekim 2026’da Dermojet Sağlık Ürünleri, Güllüoğlu Gıda ve Kurukahveci Mehmet Efendi Mahdumları hakkında veri ihlali duyuruları yayımladı. Üç duyuruda da ihlal benzer biçimde anlatılıyor. Veri işleyenin sistemlerindeki bir sunucuda kullanılan üçüncü taraf yazılım kütüphanesindeki güvenlik açığı istismar edilmiş ve üç şirket de ihlali, veri işleyenin kendilerine yaptığı bildirimle öğrenmiş. Duyurulara göre ihlalden Dermojet’te 50.636, Güllüoğlu’nda 67.193 kişi etkilenmiş. Mehmet Efendi’de ise 15.303’e kadar müşteri ile 18 yönetim paneli hesabı etkilenmiş olabilir. Duyurular incelemenin sürdüğünü belirtiyor. Bu nedenle bu şirketlerin bir kusuru olup olmadığı konusunda bugün bir şey söylemek mümkün değil, söylemek de doğru olmaz. Benim için önemli olan, duyuruların açıkça gösterdiği tablo: Veri sizin, sunucu tedarikçinin, ihlali öğrenme anınız ise tedarikçinin size ne zaman haber verdiğine bağlı.

Kanun kimi sorumlu tutuyor?

KVKK md.12/1, verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri alma yükümlülüğünü veri sorumlusuna yükler. md.12/2’ye göre veriler veri sorumlusu adına başka bir kişi tarafından işleniyorsa, veri sorumlusu bu tedbirlerin alınması konusunda o kişiyle birlikte müştereken sorumludur. md.12/3 ise veri sorumlusuna, kendi kurum veya kuruluşunda Kanuna uygunluğu sağlamak amacıyla denetim yapma ya da yaptırma yükümlülüğü getirir.

Bulutta, yani bir SaaS ürününde, barındırma hizmetinde ya da CDN gibi altyapı hizmetlerinde sağlayıcı çoğu zaman veri işleyen konumundadır. Müşterisi olan şirket ise veri sorumlusudur. Müşterek sorumluluk ifadesi ilk bakışta yükün paylaşıldığı izlenimini verir. Oysa idari yaptırım tarafında durum farklıdır.

md.18/2’ye göre md.18/1’in (a), (b), (c) ve (ç) bentlerindeki cezalar, yani aydınlatma, veri güvenliği, Kurul kararlarına uymama ve VERBİS yükümlülüklerine ilişkin cezalar yalnızca veri sorumlusuna uygulanır. Veri işleyen bakımından öngörülen idari para cezası, yurt dışına aktarımda kullanılan standart sözleşmenin Kuruma bildirilmemesine ilişkin (d) bendindeki cezadan ibarettir. Kısacası ihlal tedarikçinin sunucusunda gerçekleşse bile veri güvenliğine ilişkin idari para cezası müşteri şirkete kesilir. Başlıktaki cümle de bu nedenle bir abartı değil, kanunun sonucudur.

2026’da ceza aralıkları

İdari para cezaları Kabahatler Kanunu md.17/7 gereğince her yıl yeniden değerleme oranında artırılır. 2026 için bu oran yüzde 25,49 olarak ilan edildi. Kurumun yayımladığı tutarlara göre 2026 yılında uygulanacak aralıklar şöyle:

Kanun md.18/1 Konu 2026 aralığı (TL)
(a) Aydınlatma yükümlülüğü (md.10) 85.437 – 1.709.200
(b) Veri güvenliği (md.12) 256.357 – 17.092.242
(c) Kurul kararlarına uymama (md.15) 427.263 – 17.092.242
(ç) VERBİS (md.16) 341.809 – 17.092.242
(d) Standart sözleşmenin bildirilmemesi (md.9/5) 90.308 – 1.806.177

Karşılaştırma için belirteyim, veri güvenliği cezasının üst sınırı Kanunun ilk metninde 1.000.000 TL, 2025’te ise 13.620.402 TL idi.

Bildirim süresi kimin elinde?

Kurul 24.01.2019 tarihli ve 2019/10 sayılı kararında md.12/5’teki “en kısa sürede” ifadesini 72 saat olarak yorumladı. Veri sorumlusu ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirimde bulunmalıdır. Aynı kararda veri işleyenin, kendi nezdindeki verilere ilişkin ihlali gecikmeye yer vermeksizin veri sorumlusuna bildirmesi gerektiği de belirtildi.

Uygulamada 72 saatlik süre, veri işleyenin ne zaman ve ne kadar bilgiyle haber verdiğine bağlı kalıyor. Kurulun 2024/1898 sayılı kararına konu olayda sipariş yönetim uygulamasının çalıştığı sunucu 13 Ocak 2024 sabahı fidye yazılımıyla şifrelenmiş, veri işleyen bunu veri sorumlusuna ancak 18 Ocak’ta bildirmiş. Bildirim gecikmesi ayrıca cezalandırılıyor. 2022/1375 sayılı kararda Kurul, tespitten 23 gün sonra yapılan bildirim nedeniyle güvenlik cezasının yanında 200.000 TL ayrı ceza verdi. Tedarikçinin geç kalması, veri sorumlusunun bildirim yükümlülüğünü ortadan kaldırmıyor.

Kurul kararlarında tedarikçi kaynaklı ihlaller

Kurulun yayımladığı karar özetlerinde, ihlalin veri işleyenden kaynaklandığı olaylarda veri sorumlusunun savunması genellikle aynı noktada sonuçsuz kalıyor. Aşağıdaki kararların tamamını Kurumun internet sitesindeki karar metinlerinden kontrol ettim.

  • 2020/466 (sigorta şirketi, 172.000 TL): İhlal, veri işleyen konumundaki acentenin kendi bilgisayarına bir saldırganın erişmesiyle gerçekleşmiş. Şirketin kendi politikası denetime imkân verdiği halde acente hiç denetlenmemiş, çalışanlara eğitim de ancak ihlalden sonra verilmiş.
  • 2021/1021 (perakende, 450.000 TL): Aynı veri işleyenden hizmet alan başka şirketlerin müşteri verileri de satışa çıkarılmış. Kurul, ihlalden önce veri işleyende sızma testi yapılmadığını ve ticari ilişki sona erdikten sonra verilerin silinmesinin takip edilmediğini, imha talebinin ancak ihlalden sonra ihtarname ile yapıldığını vurguladı. Bildirim 72 saat içinde yapılmış olmasına rağmen ceza verildi.
  • 2022/711 (otomotiv elektroniği, 500.000 TL): Fidye yazılımı saldırısı, insan kaynakları yazılımının hizmet sağlayıcısı için 2003 yılında açılmış bir kullanıcı hesabı üzerinden başlamış. Sağlık verileri dahil 660 kişinin verisi etkilenmiş.
  • 2023/412 (barındırma hizmeti, 350.000 TL): Üçüncü taraf bir müşteri paneli yazılımındaki açık nedeniyle 31.179 kişinin verisi sızmış ve ihlal ancak yaklaşık altı ay sonra, veriler yabancı bir forumda görüldüğünde fark edilmiş.
  • 2023/1796 (giyim perakendesi, 200.000 TL): Şirketin içerik dağıtım ağı (CDN) hizmeti aldığı sağlayıcının önbellek sistemiyle bağlantılı bir yapılandırma çalışması sırasında bir müşterinin adı, telefonu ve üyelik bilgileri internet sitesinde herkesin erişimine açık hale gelmiş. Sözleşmede teknik ve idari tedbirler sağlayıcıya yüklenmişti. Kurul, veri sorumlusunun bu yükümlülüğü sözleşmeyle tamamen devredemeyeceğini ve md.12/3 kapsamında denetim yapması gerektiğini belirtti.
  • 2024/1898 (ilaç ve sağlık ürünleri, 350.000 TL): Veri işleyen, ana sözleşmede gerekli her türlü teknik ve idari tedbiri alacağını taahhüt etmişti. Buna rağmen Kurul, sunucuda saldırganın birkaç aşamalı işlemler yapabilmesini veri sorumlusunun güvenliği takipte özensiz davrandığının göstergesi saydı.

Bu kararların ortak noktası şu: Kurul, veri sorumlusunun tedarikçiyi seçerken ve ilişki boyunca ne yaptığına bakıyor. Sözleşmedeki taahhüt tek başına yeterli sayılmıyor. Kurul kararlarında sıkça atıf yapılan Kişisel Veri Güvenliği Rehberinin “Veri İşleyenler ile İlişkilerin Yönetimi” başlıklı bölümüne göre veri sorumlusu, veri işleyenin en az kendi sağladığı güvenlik seviyesini sağladığından emin olmalı, gerekli denetimleri yapmalı veya yaptırmalıdır.

Tutarlara gelince, yayımlanan kararlarda ihlal cezaları çoğunlukla birkaç yüz bin TL ile 2 milyon TL arasında kalıyor. Yemek Sepeti hakkındaki 2021/1324 sayılı kararda 1.900.000 TL, bir dijital oyun platformu hakkındaki 2023/1017 sayılı kararda 1.500.000 TL ceza verildi. Bu kararların büyük bölümü bugünkünden çok daha düşük üst sınırların geçerli olduğu yıllarda verildi. Ayrıca Kurul kararlarının tamamını yayımlamıyor ve yayımlama zaman zaman yıllar sonra yapılabiliyor. Ağustos 2026’da yayımlanan karar özetlerinin bir kısmı 2022 tarihlidir. Bu nedenle yayımlanmış kararlardan genel bir ortalama çıkarmak yanıltıcı olabilir. Unutulmaması gereken bir başka husus da cezanın tek maliyet olmadığıdır. md.14/3 uyarınca kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır.

Veri sorumlusu tedarikçiye nasıl başvurur?

İdari para cezası veri sorumlusuna kesilse de veri sorumlusu ile tedarikçi arasındaki ilişki bir sözleşme ilişkisidir. Borç hiç veya gereği gibi ifa edilmezse borçlu, kusursuzluğunu ispat etmedikçe alacaklının zararını gidermekle yükümlüdür (TBK md.112). Borçlu her türlü kusurdan sorumludur (TBK md.114). İşin bir kısmını alt yükleniciye veya başka bir bulut altyapısına bırakan sağlayıcı, yardımcı kişilerin fiillerinden de sorumludur (TBK md.116).

Sorun genellikle sözleşmenin kendisinde çıkıyor. Standart SaaS sözleşmelerinde sorumluluk çoğu zaman son on iki ayda ödenen hizmet bedeliyle sınırlandırılıyor, dolaylı zararlar ve veri kaybı ise kapsam dışında bırakılıyor. Bu noktada iki husus önem taşır. Birincisi, TBK md.115/1 uyarınca borçlunun ağır kusurundan sorumlu olmayacağına ilişkin önceden yapılan anlaşma kesin olarak hükümsüzdür. İkincisi, tek taraflı hazırlanmış ve müzakere edilmeden sunulmuş sözleşmeler genel işlem koşullarına ilişkin TBK md.20 ila md.25 hükümlerine tabidir. Karşı tarafın aleyhine ve dürüstlük kurallarına aykırı hükümler yazılmamış sayılabilir. Ödenen idari para cezasının tedarikçiden tazminat olarak istenip istenemeyeceği ise tartışmaya açık bir konudur. Kanaatimce bu belirsizliği taraflar baştan, sözleşmede açıkça düzenlemelidir.

Doktora tezimde hizmet olarak yazılım sözleşmelerini incelerken en çok dikkatimi çeken nokta da buydu. Bu sözleşmeler çoğu zaman müzakere edilmeden, bir tıklamayla kabul ediliyor ve risk dağılımı hizmeti sunan tarafın lehine kuruluyor. Pazarlık gücü sınırlı olsa bile, en azından hangi riskin kimde kaldığını bilerek imza atmak gerekir.

Yurt dışındaki sağlayıcılar

Bulut hizmetlerinin önemli bir kısmı yurt dışındaki veri merkezleri üzerinden sunuluyor. Bu durumda md.9 devreye girer. Yeterlilik kararı yoksa uygun güvencelerden biri, çoğu zaman Kurulun ilan ettiği standart sözleşme gerekir. Standart sözleşme metni üzerinde değişiklik yapılamaz ve imzadan itibaren beş iş günü içinde Kuruma bildirilmelidir. Bu bildirim veri sorumlusu veya veri işleyen tarafından yapılabilir ve bildirmemenin cezası, (d) bendi uyarınca veri işleyene de uygulanabilir. Hangi tarafın bildirimi yapacağını sözleşmede netleştirmek, iki tarafın da birbirine güvenip bildirimi yapmamasını önler.

Şirketler ne yapmalı?

Bir SaaS veya bulut sözleşmesini incelerken, veri işleme ekiyle birlikte en azından şu başlıklara bakılmasını öneririm:

  1. Güvenlik yükümlülükleri: “Gerekli tedbirler alınacaktır” gibi genel ifadeler yerine asgari tedbirler, şifreleme, erişim yetkilendirmesi, log tutma ve yama yönetimi somut olarak yazılmalı.
  2. Alt işleyenler: Sağlayıcının hangi alt yüklenicileri kullandığı, yeni alt işleyen için onay veya itiraz hakkı ve alt işleyenlerin aynı yükümlülüklere tabi olacağı düzenlenmeli.
  3. İhlal bildirimi: Sağlayıcının ihlali öğrenmesinden itibaren kısa ve belirli bir süre içinde, örneğin 24 saat içinde, asgari bilgileri içeren bir bildirim yapması öngörülmeli. Aksi halde 72 saatlik süre fiilen tedarikçinin elinde kalır.
  4. Denetim hakkı: Sızma testi raporları, bağımsız denetim raporları ve sertifikalar düzenli olarak paylaşılmalı. Gerektiğinde yerinde denetim imkânı bulunmalı. Kurul kararları, denetim hakkının sadece kâğıt üzerinde kalmasını yeterli görmüyor.
  5. Tazminat ve rücu: Veri ihlalinden doğan zararlar, ilgili kişilerin tazminat talepleri ve mümkün olduğu ölçüde idari para cezası açıkça düzenlenmeli.
  6. Sorumluluk sınırı: Veri ihlali ve gizlilik yükümlülüğünün ihlali genel sorumluluk sınırının dışında tutulmalı ya da bunlar için ayrı ve daha yüksek bir sınır belirlenmeli.
  7. Sigorta: Sağlayıcının siber risk sigortası bulunup bulunmadığı ve teminat tutarı sorulmalı.
  8. Çıkış ve silme: Sözleşme sona erdiğinde verilerin hangi formatta ve ne kadar sürede iade edileceği, ardından silineceği ve silmenin yazılı olarak teyit edileceği düzenlenmeli. 2021/1021 sayılı karar, ilişki bittikten sonra verilerin takip edilmemesinin de veri sorumlusunun aleyhine değerlendirildiğini gösteriyor.
  9. Yurt dışı aktarım: Standart sözleşmenin kim tarafından imzalanıp bildirileceği ve veri merkezlerinin yeri yazılı olmalı.

Sonuç

21 Ekim duyurularına konu ihlallerin nasıl sonuçlanacağını Kurulun incelemesi gösterecek. Ancak yayımlanmış kararlar şimdiden bir şeyi açıkça ortaya koyuyor: Verilerinizi işleyen tedarikçinin güvenliği, Kurulun gözünde sizin güvenliğinizin bir parçasıdır. İhlal tedarikçide gerçekleşse de idari para cezası veri sorumlusuna kesiliyor. Veri sorumlusunun bu yükü tedarikçiye yansıtabilmesi ise büyük ölçüde imzaladığı sözleşmeye bağlı. Dizinin sonraki sayılarında hizmet seviyesi taahhütlerini, genel işlem koşullarını ve sağlayıcı değiştirmeyi ayrıntılı olarak ele alacağım.

Not: Metin genel bilgilendirme niteliğindedir. Somut olayda hizmetin teknik yapısı, işlenen veriler ve sözleşmenin tamamı ayrıca incelenmelidir.

Kaynaklar

Bu yazı ilk olarak 28 Ekim 2026 tarihinde LinkedIn’de yayımlanmıştır: İhlal Tedarikçinizde, Ceza Sizde: Bulut ve SaaS Sözleşmelerinde Sorumluluk

/tarafından