GDPR Uyumlu Harita API'leri: AB Geliştiriciler İçin Kapsamlı Rehber

Harita API'niz için AB'de bir veri merkezi seçtiniz. Sunucular Frankfurt'ta. Sözleşmede "AB'de veri yerleşimi" yazıyor. GDPR uyum kontrol listesini kapatıyor ve her şeyin yolunda olduğundan emin oluyorsunuz.

Değil.

Bu, AB'deki geliştiricileri ve CTO'ları her yıl hazırlıksız yakalayan bir uyum açığıdır. Schrems II kararının Temmuz 2020'de Privacy Shield'ı geçersiz kılması ve Atlantik ötesi veri akışlarını çok daha sıkı incelemeye alması, bu açığın sonuçlarını daha da ağırlaştırdı. Harita API'nizi bir ABD şirketi sağlıyorsa, sunucuları nerede olursa olsun, kullanıcılarınızın konum verilerine CLOUD Act kapsamında ABD hükümeti erişebilir. GDPR açısından bu olası bir ihlaldir. Bir veri koruma denetiminde ise bir bulgu olarak raporlanır.

Bu rehber, harita API'si kullanımında GDPR'ın gerçekte ne istediğini, veri yerleşiminin tek başına neden yeterli olmadığını, CLOUD Act riskinin pratikte ne anlama geldiğini ve herhangi bir harita API'si sağlayıcısını sıkı bir uyum kontrol listesiyle nasıl değerlendireceğinizi açıklıyor. ABD merkezli harita şirketleri bu rehberi inandırıcı biçimde yazamaz, çünkü kendi kontrol listelerini geçemezler.

Konum verisi neden GDPR açısından ciddi özen gerektirir

GDPR kapsamında konum verisi, bağlama göre kişisel veri ile hassas verinin kesiştiği noktada durur. Madde 4(1), kişisel veriyi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilgili her türlü bilgi olarak tanımlar. Her harita karo (tile) isteğinin API sağlayıcısına gönderdiği IP adresi kişisel veridir. Ev adresi içeren bir geocoding sorgusu kişisel veridir. GPS koordinatları toplanıyorsa ev adresini, iş yerini, ibadet yerine gidişleri, doktor randevularını ve siyasi faaliyetleri çıkarmak için kullanılabilir. Bu da verinin Madde 9 kapsamında hassas veri sayılmasına yol açabilir.

Web veya mobil uygulamanız bir harita yüklediğinde, geocoding araması yaptığında ya da rota hesapladığında bu veri noktalarını harita API sağlayıcınıza gönderir. Kullanıcılarınız konumlarını San Francisco'daki bir şirketle paylaşmayı kabul etmedi. Sizin ürününüzü kullanmayı kabul etti. Veri sorumlusu olarak bu verileri işleyen her alt işleyicinin GDPR gerekliliklerini karşılamasını sağlamak sizin sorumluluğunuzdadır.

Harita API sağlayıcınız uyum testini geçemezse siz de geçemezsiniz.

CLOUD Act sorunu: ABD sağlayıcıları neden tam GDPR uyumu iddia edemez

ABD Kongresi'nin Mart 2018'de çıkardığı Clarifying Lawful Overseas Use of Data (CLOUD) Act, ABD teknoloji şirketlerinin veriyi fiziksel olarak nerede sakladıklarından bağımsız olarak, ABD hükümetinin yasal veri talebi emirlerine uymasını zorunlu kılar. Frankfurt'ta sunucusu olan bir ABD şirketi yine bir ABD şirketidir. Bir ABD mahkemesi veya federal kurum geçerli bir CLOUD Act talebi gönderirse şirket buna uymak zorundadır.

Bu durum GDPR ile doğrudan çelişir. GDPR Madde 48, kişisel verilerin AB hukukunda uygun bir yasal dayanak olmadan yabancı makamlara veya mahkemelere aktarılmasını yasaklar. Avrupa Veri Koruma Kurulu bu konuda açık konuştu: uluslararası bir anlaşma veya GDPR kapsamında başka bir yasal dayanak olmadan, AB hukukuna tabi hizmet sağlayıcılar ABD makamlarına yapacakları bir veri açıklamasını yasal olarak bir CLOUD Act talebine dayandıramaz.

AB'deki geliştiriciler için pratik sonuç çok net:

• Google Maps Platform, AEA'daki müşterilerin çoğu için İrlanda'daki Google Cloud EMEA Limited üzerinden sözleşmeye bağlanır, ancak merkezi ABD'de bulunan bir grubun parçası olduğu için istekleri Avrupa'daki veri merkezleri üzerinden karşılasa bile CLOUD Act'in erişim alanında kalır.
• ABD'de kurulmuş olan Mapbox da aynı yapısal riskle karşı karşıyadır.
• Hiçbir sözleşme maddesi veya AB Standart Sözleşme Hükümleri, hizmeti sağlayan şirketin bağlı olduğu hukuki yetki alanını değiştiremez.

Bu, söz konusu şirketlerin verilerinizi özensizce paylaştığı anlamına gelmez. Pratikte CLOUD Act talepleri sıradan ticari verileri değil, kolluk soruşturmalarını hedefler. Ancak hukuki risk mevcuttur ve ciddi bir veri koruma denetimi bunu tespit eder. Sağlık, finans ve hukuk hizmetleri gibi düzenlemeye tabi sektörler bu riski hiçbir şekilde kabul edemez.

Veri yerleşimi ile veri egemenliği arasındaki fark

Bu iki terim satış görüşmelerinde çoğu zaman birbirinin yerine kullanılır, ama farklı anlamlara gelir:

Veri yerleşimi (data residency), verilerinizin belirli bir coğrafi konumda saklanması demektir. "AB'de veri yerleşimi" sunan bir ABD sağlayıcısı verileri İrlanda veya Almanya'daki sunucularda saklar. Fiziksel konum AB'dir. Hukuki yetki alanı ise AB değildir.

Veri egemenliği (data sovereignty), verilerinizin belirli bir yetki alanının yasalarına tabi olması demektir. AB verilerinin gerçekten egemen olması için, yalnızca bir ABD ana şirketi tarafından AB topraklarında saklanması yetmez. AB hukukuna tabi bir kuruluşun kontrolünde olması gerekir.

Harita API'lerinde gerçek GDPR uyumu, yalnızca veri yerleşimini değil veri egemenliğini gerektirir. Bu ayrım özellikle şu durumlarda önem kazanır:

• Uygulamanız sağlık hizmeti alan hastaların, finansal hizmet kullanıcılarının veya diğer düzenlemeye tabi grupların verilerini işliyorsa
• Resmî veri koruma denetimlerine tabi bir sektörde faaliyet gösteriyorsanız (bankacılık, sigorta, kamu sektörü)
• CISO'nuz veya hukuk ekibiniz alt işleyici sözleşmelerini gerçekten titizlikle inceliyorsa
• Bir ilgili kişi erişim talebiyle ya da ihlal bildirimi yükümlülüğüyle karşılaşırsanız

Tüketiciye yönelik uygulamaların çoğunda bir CLOUD Act talebinin pratik riski düşüktür. Ancak uyum bir olasılık hesabı değildir. Ya uyumlusunuzdur ya da değilsinizdir.

Harita API sağlayıcılarını değerlendirmek için pratik GDPR kontrol listesi

Herhangi bir harita API sağlayıcısını GDPR uyumu açısından değerlendirirken bu kontrol listesini kullanın:

Tüzel kişilik ve yetki alanı

• API sağlayıcısı AB veya AEA'da kurulmuş bir tüzel kişilik mi?
• Varsa ana şirket de AB yetki alanında mı, ABD'de kurulmuş bir ana şirket yok mu?
• Sağlayıcı DPA'sında CLOUD Act riski olmadığını açıkça teyit ediyor mu?

Veri İşleme Sözleşmesi

• Sağlayıcı, belirli GDPR maddelerine atıf yapan kapsamlı bir DPA sunuyor mu?
• DPA, işlenen kişisel veri kategorilerini (IP adresleri, sorgu metinleri, koordinatlar) tanımlıyor mu?
• DPA, veri saklama sürelerini ve silme yükümlülüklerini belirtiyor mu?
• Alt işleyiciler listelenmiş mi ve onlar da AB yetki alanındaki kuruluşlar mı?
• DPA, ihlal bildirim sürelerini ele alıyor mu (Madde 33'e göre veri sorumlusu denetim makamını 72 saat içinde bilgilendirmek zorundadır)?

Veri saklama ve işleme

• Tüm veriler AB içinde saklanıyor ve işleniyor mu, üçüncü ülkelere aktarım olmadığı belgelenmiş mi?
• Hizmetler arasındaki veri aktarımı (CDN, analiz, destek araçları) belgelenmiş ve GDPR uyumlu mu?
• Sağlayıcı hesap düzeyinde veri yerleşimi seçimi sunuyor mu?

Güvenlik sertifikaları

• Sağlayıcı ISO 27001 sertifikalı mı (bilgi güvenliği yönetimi için uluslararası standart)?
• Sağlayıcı düzenli olarak bağımsız güvenlik denetimlerinden geçiyor mu?
• Belgelenmiş bir güvenlik açığı bildirimi ve yama yönetimi süreci var mı?

Kullanıcı hakları ve kontrol

• API'yi veri toplamayı en aza indirecek şekilde yapılandırabiliyor musunuz (örneğin anonimleştirilmiş IP, analiz takibi yok)?
• Sağlayıcı ilgili kişi erişim ve silme taleplerini destekliyor mu?
• AB veri koruma otoritelerinden gelen düzenleyici sorulara yanıt vermek için belgelenmiş süreçler var mı?

MapAtlas: ilk günden AB veri egemenliği için tasarlandı

MapAtlas, AB'de kurulmuş bir şirket olan MapMetrics tarafından işletilen Avrupalı bir harita API platformudur. Altyapımız AB yetki alanında çalışır, ABD'de bir ana şirketimiz ve CLOUD Act riskimiz yoktur. Veri merkezlerimiz ISO 27001 sertifikasına sahiptir. DPA'mız ise belirli veri kategorilerini, saklama politikalarını ve alt işleyici taahhütlerini belgeler.

Bu, AB veri merkezi seçeneği eklemiş bir ABD şirketi değil. AB uyumunun sonradan eklenen bir özellik değil, varsayılan mimari olduğu bir AB şirketi. Veri yerleşimini, öngörülebilir fiyatlandırmayı ve verilerinizi dışa aktarıp cezai şart olmadan ayrılma özgürlüğünü kapsayan daha geniş gerekçeyi geliştiriciler neden MapAtlas'ı seçiyor sayfamızda bulabilirsiniz.

Harita görselleştirme ve stil API'miz karo isteklerini AB altyapısı üzerinden işler. Geocoding sorguları, rota hesaplamaları ve diğer tüm API çağrıları uygulamanızdan çıktıkları andan itibaren AB yetki alanında kalır. DPA da bunu yansıtır, bir ABD hukuk şablonundan uyarlanmış hazır bir metin değildir.

Düzenlemeye tabi sektörlerde uygulama geliştirenler ya da göstermelik değil gerçek uyum isteyen her AB işletmesi için bu ayrım belirleyicidir.

Harita API sağlayıcılarının GDPR uyumu karşılaştırması

Fiyatlandırma ve özelliklerin tam karşılaştırması için MapAtlas ve Google Maps ile Mapbox ve MapAtlas incelemelerimize bakın. Maliyet de sizin için önemliyse 2026'da Google Maps API fiyatlandırması yazımızı okuyun: uyum açığı, ciddi fiyat farklarının üstüne ekleniyor.

AB'deki geliştiriciler için şimdi atılabilecek pratik adımlar

Şu anda bir ABD harita API sağlayıcısı kullanıyor ve hemen geçiş yapamıyorsanız, riskinizi azaltmak için geçici olarak şu adımları atın:

1. IP adreslerini kendi sunucunuzdan çıkmadan anonimleştirin. Bazı harita API'leri, istekleri kendi sunucunuz üzerinden geçirmenize izin verir. Böylece IP adreslerini üçüncü taraf API'ye ulaşmadan önce silebilir ya da hash'leyebilirsiniz. Bu, CLOUD Act sorununu tamamen çözmez, ancak paylaşılan kişisel veri miktarını azaltır.

2. Harita API'nizin gerçekte ne topladığını denetleyin. Sağlayıcının gizlilik politikasını ve DPA'sını dikkatle okuyun. Kullanıcılarınızdan aldıkları her kişisel veri kategorisini belirleyin. Bunu kendi veri envanterinize kaydedin.

3. Gizlilik bildiriminizi güncelleyin. Gizlilik bildiriminiz kişisel veri alan alt işleyicileri açıklamalıdır. Google Maps kullanıyorsanız bu kişisel verileri Google (AEA'daki müşterilerin çoğu için Google Cloud EMEA Limited) alır. Kullanıcılarınızın bunu bilme hakkı vardır.

4. Kullanım senaryonuzun risk düzeyini değerlendirin. Sabit bir ofis konumu haritası gösteren bir kurumsal web sitesiyle, hastaları kliniklere yönlendiren bir sağlık uygulamasının risk profili çok farklıdır. Aciliyetinizi buna göre ayarlayın.

5. Geçiş maliyetlerini gerçekçi biçimde değerlendirin. Harita API'si değiştirmek teknik bir iştir, şirketi baştan dönüştüren bir proje değildir. Geçişlerin çoğu bir ya da iki sprintte tamamlanır. Fiyatlandırma sayfamız maliyet karşılaştırmasını gösterir, dokümantasyonumuz da Google Maps ve Mapbox'tan teknik geçiş yolunu anlatır.

AB'nin veri koruma çerçevesi dünyanın en kapsamlı çerçevesidir ve aktif olarak uygulanıyor: Avrupalı düzenleyiciler Ocak 2024'e kadar olan on iki ayda 1,78 milyar euro GDPR para cezası kesti. Konum verisi kişisel veridir. Harita API'leri konum verisi işler. Uyum zinciri kullanıcılarınızdan doğrudan API sağlayıcınıza uzanır. Bu zincirin her halkasını doğrulayın. Yukarıdaki kontrol listesini geçemeyen bir halka varsa, onu geçebilen bir halkayla değiştirin.