Bankacılıkta ve sağlıkta veri yerelliği: iki mevzuat, iki ayrı soru

Düzenlemeye tabi bir kurumda yapay zeka kurulumu konuşulmaya başlandığında ilk soru neredeyse her zaman aynı oluyor: veri nerede duracak. Soru bu biçimiyle bir tercih gibi görünüyor, oysa bankacılık ve sağlık tarafında karşılığı mevzuat metnine yazılı bir koşul.

Bu yazı iki metni yan yana koyup mimari karşılığını çıkarıyor: model çıkarımı bir işleme adımı olarak nereye düşüyor, vektör indeksi ve gömme kayıtları hangi sınıfa giriyor, telemetri ile uzaktan destek kanalı neyi tetikliyor, yedek kopyalar hangi koşula tabi. Baştan iki şeyi söylemek gerekiyor. Birincisi, bu bir hukuki görüş değil; maddeler anıldığı hâliyle aktarılıyor, yorumlanmıyor. İkincisi, aşağıdaki metinlerin hiçbirinde model çıkarımı, gömme vektörü, vektör veritabanı ya da telemetri terimi geçmiyor — bileşenlerin nereye düştüğü, hükümlerin fiillerinin mimariye eşlenmesiyle çıkarılıyor ve yazıda böyle sunuluyor.

Veri yerelliği koşulunun mevzuattaki dayanakları

Sağlık tarafında dayanak Kişisel Sağlık Verileri Hakkında Yönetmelik: Resmî Gazete 21/6/2019, sayı 30808, Sağlık Bakanlığından; dayanağı 3359 sayılı Sağlık Hizmetleri Temel Kanunu ile 6698 sayılı Kişisel Verilerin Korunması Kanunu. Metin canlı — 23 üncü maddesiyle 2016 tarihli önceki yönetmeliği yürürlükten kaldırmış, 4 Temmuz 2026 tarihli ve 33300 sayılı Resmî Gazete’de yayımlanan beş maddelik bir değişiklikle de güncellenmiş durumda.

Bu son değişikliğin kapsamını doğru kurmak gerekiyor: yalnızca dördüncü bölümün başlığını, 13 üncü maddenin ikinci fıkrasını ve yeni eklenen 13/A maddesini kapsıyor ve konusu tanıların yeniden değerlendirilmesi usulü. Aktarım, veri güvenliği ve yeterli önlemler maddeleri değişiklik metninde geçmiyor — yerellik rejimi 2019 metnindeki bağlantılarıyla sürüyor. KVKK tarafında ise 6698 sayılı Kanunun 9 uncu maddesi 2/3/2024 tarihli 7499 sayılı Kanunla bütünüyle yeniden düzenlenip 1/6/2024’te yürürlüğe girdi; usul ve esaslar 10 Temmuz 2024 tarihli ve 32598 sayılı Yurt Dışına Aktarım Yönetmeliğiyle belirlendi.

Bankacılıkta zincir üç halkalı. Kanun düzeyinde 5411 sayılı Bankacılık Kanununun 73 üncü maddesinin üçüncü fıkrasına 20/2/2020 tarihli 7222 sayılı Kanunla eklenen cümleler, Kurulu “bilgi sistemleri ve bunların yedeklerinin yurt içinde bulundurulması hususunda karar almaya yetkilidir” kılıyor; yedeklerin daha kanun metninde anılması, aşağıdaki yedekleme bölümünün zeminini kuruyor. Yönetmelik düzeyinde BDDK’nın Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği var: Resmî Gazete 15/3/2020, sayı 31069; 25 inci madde dahil hükümlerin çoğu 1/1/2021’de yürürlüğe girdi. Üçüncü halka tanım düzeyinde ve kolayca gözden kaçıyor: birincil ve ikincil sistem tanımları bu Yönetmelikte yapılmıyor, metin İSEDES Yönetmeliğinin (Resmî Gazete 11/7/2014, sayı 29057) 3 üncü maddesine yolluyor. Orada birincil sistemler altyapı, donanım, yazılım ve veriden oluşan sistemin tamamını ifade ediyor.

İki metnin doğrudan söyledikleri

Sağlık tarafındaki hüküm dikkat çekici bir biçimde coğrafyayı hiç anmıyor. Yönetmeliğin 15 inci maddesinin birinci fıkrası, kişisel sağlık verilerinin yurt içinde aktarımında 6698 sayılı Kanunun 8 inci maddesine, yurt dışına aktarımında 9 uncu maddesine riayet edileceğini söylüyor. Yerellik burada dolaylı kuruluyor: hüküm bir ülke adı vermiyor, aktarım rejimine yolluyor. Mimari sonucu doğrudan: soru “veri hangi ülkede duruyor” değil, “bir aktarım oluşuyor mu”.

Bu çerçevenin etrafındaki iki hüküm de mimariye dokunuyor. Aynı maddenin ikinci fıkrası, kamu kurum ve kuruluşlarına aktarım için protokol düzenlenmesini, protokolde genel ilkelerin, veri güvenliği hükümlerinin ve hangi verilerin aktarılacağının yer almasını arıyor; aktarım, teknik altyapının uygun olması hâlinde KamuNET üzerinden gerçekleştiriliyor. Yönetmeliğin 5 inci maddesinin ikinci fıkrası ise Bakanlık ile bağlı ve ilgili kuruluşlarınca gerekli kayıt ve bildirim sisteminin kurulacağını, ülke çapında bilişim sistemleri kurulabileceğini yazıyor. Kurumun kendi kurulumu tek başına durmuyor; bir ekosisteme bağlanıyor.

Bankacılık tarafındaki hüküm ise tam tersi biçimde yazılmış. Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliğin 25 inci maddesinin birinci fıkrası tek cümle: “Bankaların birincil ve ikincil sistemlerini yurt içinde bulundurmaları zorunludur.” Bu doğrudan bir coğrafya kuralı. Aktarım rejimine yollama yapmıyor, açık rıza ya da izin gibi bir esneklik bileşeni içermiyor; maddenin beş fıkrasında Kurul izni, Kurum onayı veya muafiyet yolu geçmiyor.

Asıl bulgu bundan sonra geliyor: bankacılığın da coğrafi olmayan bir ön sorusu var. Bir bileşenin yurt içinde durup durmayacağı sorulmadan önce, o bileşenin birincil sistem kapsamına girip girmediği soruluyor. Aynı maddenin üçüncü fıkrası kapsam dışında kalmayı üç koşulun birlikte sağlanmasına bağlıyor: sistem üzerinden herhangi bir iş süreci yürütülmemesi ve hassas veri ya da sır kapsamına girebilecek verilerin “işlenmemesi, iletilmemesi ve saklanmaması”.

İki ayak farklı yollardan aynı yere çıkıyor. Sağlıkta soru aktarım, bankacılıkta kapsam. Hiçbirinde soru “veri hangi ülkede duruyor” biçiminde başlamıyor — ülke, önceki sorunun cevabından sonra devreye giren ikinci sorunun konusu.

Model çıkarımı bir işleme adımı olarak nereye düşer

Model çıkarımı mevzuatta tanımlı bir kavram değil. Buradaki eşleme mimari bir okuma; hüküm değil. Çıkarım pratikte bir işleme adımıdır ve bağlam penceresine giren her kayıt bir erişim olayıdır. Erişimin ölçütü ise sağlık yönetmeliğinde yazılı: 6 ncı maddenin birinci fıkrası, sağlık hizmeti sunumunda görevli kişilerin verilere yalnızca “verilecek sağlık hizmetinin gereğiyle sınırlı” olarak erişeceğini söylüyor.

Aynı maddenin üçüncü fıkrası bu sınırı süreyle de tanımlıyor: e-Nabız hesabı bulunmayan kişilerde erişim aile hekimi için süre sınırı olmaksızın, randevu alınan hekim için randevu günüyle sınırlı, sağlık hizmeti sunucusundaki hekimler için yirmi dört saat, yatan hastada taburcu olana kadar tanımlı. Mimari karşılığı şu: bağlam penceresine hangi kaydın hangi süre boyunca girebileceği sistemde tanımlı olmalı. Bu bir erişim politikası meselesi ve retrieval katmanında uygulanıyor — kimin neyi görebildiğinin indekse nasıl taşınacağı “RAG mimarisinde erişim kontrolü: kim neyi görebilir?” yazısında ele alındı.

Açık rıza olmadan işlemeye imkân veren bent de dar. 6698 sayılı Kanunun 6 ncı maddesinin üçüncü fıkrası, sağlık amaçlı işlemeyi sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca ve sayılı amaçlarla mümkün kılıyor. Bunun mimari sonucu, çıkarımı çalıştıran bileşenin hangi tarafta durduğunun tanımlı olması. Bankacılık tarafında ise ikinci bölümdeki üçlü ölçüt burada doğrudan uygulanıyor: çıkarım bir iş sürecinin parçasıysa ve girdi sır kapsamındaysa, bileşen kapsam sorusunu geçemez.

KVKK’nın Nisan 2025 tarihli yapay zeka tavsiyeleri iki mimari çıktı veriyor: aynı sonuca kişisel veri işlenmeksizin ulaşılabiliyorsa anonim hâle getirme yöntemlerinin tercih edilmesi, ve paydaşların veri sorumlusu ya da veri işleyen statülerinin proje başında belirlenmesi. Aynı doküman özel nitelikli veri işleyen çalışmalarda tedbirlerin daha sıkı uygulanmasını istiyor. Kurumun kendi salonundaki bir kurulumda bu soruların çoğu tek bir mimari kararla kapanıyor: veri kurum sunucusundan hiç çıkmaz.

Vektör indeksi, gömme ve önbellek kayıtlarının sınıflandırılması

Vektör veritabanı, gömme ve önbellek de mevzuatta geçmeyen kavramlar. Ama sağlık yönetmeliğinin kendi ayrımı bu bölümün omurgasını kuruyor: “kimliksizleştirme” ile “anonim hâle getirme” aynı şey değil ve metinde ayrı maddelerde duruyorlar.

7 nci maddenin birinci fıkrası kimliksizleştirmeyi tarif ediyor: sağlık hizmeti sunucuları tarafından merkezi sağlık veri sistemine kimliksizleştirilerek gönderilen veriler, ilişkisel veri tabanı aracılığıyla ait oldukları kişilerle eşleştirilir. Yani kayıt yeniden eşleşebilir durumda ve fıkra bu yetkiyi sayıyla sınırlıyor — her birim amiri kendi biriminden en fazla üç kişinin yetkilendirilmesini talep edebiliyor. 16 ncı madde ise anonim hâle getirilmiş verilerle bilimsel çalışma yapılmasını ayrı bir rejime bağlıyor.

Eşleme buradan çıkıyor. Bir gömme vektörü ilgili kayıtla yeniden eşleşebiliyorsa, kimliksizleştirilmiş kaydın tarafındadır: türev kayıt kaynak kaydın rejimini takip eder. Yeniden eşleştirme yetkisinin mevzuatta sayıyla sınırlanmış olmasının sistem tarafındaki karşılığı da açık — indeks ile kaynak kayıt arasındaki eşleme tablosuna erişim yetkisi dar ve sayılı tutulur. Aynı okuma önbellek ve ara çıktılar için de geçerlidir; kaynak kayıtla aynı sınıfta ele alınırlar.

2026 değişikliği bu tartışmaya doğrudan bir soru ekliyor. 13 üncü maddenin yeni ikinci fıkrası, ilgili başvuruyla sınırlı olmak üzere Genel Müdürlükçe tesis edilen işlemin sağlık hizmeti sunucusunun kendi veri tabanında da gerçekleştirileceğini yazıyor. Bir kayıt üzerinde tesis edilen işlemin türev kayıtlara — indekse, gömme vektörüne, önbelleğe — nasıl yayılacağı, mimaride baştan cevaplanması gereken bir soru hâline geliyor.

Telemetri, uzaktan destek ve sağlayıcıyla paylaşılan veriler

Bu bölümün ölçütü KVKK’nın Ocak 2025 tarihli Yurt Dışına Aktarım Rehberinde. Rehber aktarımı üç ölçütle tanımlıyor: aktaranın Kanuna tâbi olması, verilerin iletilmesi veya başka bir suretle erişilebilir hâle getirilmesi, alıcının üçüncü bir ülkede olması. Kritik olan ikinci ölçüt ve Rehberin ona verdiği örnekler — hesap oluşturulması, mevcut hesaba erişim hakkı verilmesi, uzaktan erişim talebinin onaylanması, dosyaya şifre gönderilmesi.

Rehber aynı kapsamda iki şeyi birlikte değerlendiriyor: sağlayıcının destek ve yönetim amaçlı uzaktan bağlanması ile yurt dışındaki bir bulutta depolama. Üçüncü bir ülkeden uzaktan erişim, veri yalnızca ekranda görüntülense dahi aktarım sayılıyor. Ölçüt verinin kopyalanması değil, kanalın kendisi.

Bunun mimari karşılığı doğrudan: aynı ölçüt telemetri kanalına, lisans doğrulama trafiğine ve model güncelleme kanalına da uygulanır. Bu kanalların varsayılan olarak kapalı olduğu ve tek tek açıldığı bir tasarım, sonradan yapılacak bir değerlendirmeden ucuza gelir. Bankacılıkta paralel hüküm var: Yönetmeliğin 10 uncu maddesi, müşteri sırrı niteliğindeki bilgilerin kanıtlanabilir bir müşteri talebi olmadan yurt içindeki ve yurt dışındaki üçüncü kişilerle paylaşılamayacağını söylüyor — ayrım yurt içi ile yurt dışı değil, talebin varlığı. Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik (Resmî Gazete 4/6/2021, sayı 31501) buna mimari bir ölçüt ekliyor: paylaşım metotları mümkün olan en az veri kopyası oluşturacak şekilde kurgulanır. Aynı Yönetmelik, sağlık ve cinsel hayata ilişkin verilerin müşteri sırrı niteliğinde olsa dahi istisna hâllerine dayanılarak paylaşılamayacağını yazarak yazının iki ayağını tek hükümde birleştiriyor.

Bir aktarım oluştuğunda üç kademeli yapı devreye giriyor. 6698 sayılı Kanunun 9 uncu maddesine göre önce Kurulun yeterlilik kararı aranıyor; karar ülke, ülke içindeki sektörler veya uluslararası kuruluşlar hakkında verilebiliyor. Yeterlilik kararı yoksa dört uygun güvenceden biri geliyor — kamu kurumları arasında anlaşma ve Kurul izni, bağlayıcı şirket kuralları, Kurulca ilan edilen standart sözleşme, ya da yazılı taahhütname ve Kurul izni. Bunlar da yoksa aktarım ancak arızi olmak kaydıyla mümkün. Belge yükü mimari bir maliyet kalemi: standart sözleşmenin metni değiştirilmeden kullanılıyor ve imzalardan itibaren beş iş günü içinde Kuruma bildiriliyor.

Yedekleme ve iş sürekliliği kopyalarının yerleşimi

Tek cümlelik ilke şu: kopya, kaynağın rejimini taşır. Bankacılık tarafında bu ilke metnin kendisinde yazılı ve kopya sayısı tartışmasını kapatıyor. Yönetmeliğin 25 inci maddesinin ikinci fıkrası, “birincil sistemlerin her türlü yedeği ikincil sistemler olarak kabul edilir” diyor ve bunları birinci fıkra hükmüne tabi kılıyor. Yedeğin kaçıncı kopya olduğuna bakılmıyor; dolayısıyla “bir kopya yurt içinde dursun yeter” biçiminde bir okuma metinde karşılık bulmuyor.

Kayıt yükümlülüğü de var: banka, yedeklerin hangi ortam ve konumlarda tutulduğunu güncel durumu yansıtacak şekilde kayıt altına almakla yükümlü. İkincil merkez tarafında veri ve sistem yedeklerinin kullanıma hazır bulundurulması sağlanıyor ve ikincil merkezin birincil merkezle aynı coğrafi etkilere açık olmaması esas alınıyor — yani coğrafi ayrışma aranıyor, ama ayrışma yurt içi sınırları içinde kuruluyor.

Model ağırlıkları ve gömme indeksleri açısından doğrudan karşılığı olan hüküm ise senkronizasyonla ilgili: birincil merkezdeki güncelleme, yama ve konfigürasyon değişiklikleri ikincil merkezdeki yedeklerde de uygulanıyor ve bütünlük kontrolleriyle eşitlik doğrulanıyor. Süre ölçütü de tanımlı — en geç yirmi dört saat içinde faaliyetlerin yeniden sürdürülebiliyor olması esas alınıyor ve yılda en az bir kez ikincil merkez üzerinden test yapılması, varsa dış hizmet sağlayıcıların bu testlere dâhil edilmesi isteniyor. Bir model sürümü birincil merkezde güncellendiğinde ikincil merkezdeki kopyanın da bu döngüye girmesi gerekiyor.

Sağlık ve özel nitelikli veri tarafında kopya taşımanın kuralları Kişisel Verileri Koruma Kurulunun 31/01/2018 tarihli ve 2018/10 sayılı Kararında: farklı fiziksel ortamlardaki sunucular arasında VPN veya sFTP, taşınabilir ortamda kriptografik şifreleme ve anahtarın farklı bir ortamda tutulması, e-postada şifreli kurumsal e-posta ya da KEP. Anahtarın kopyayla birlikte taşınmaması bu bölümün en somut mimari kuralı. Türev kayıtlar da unutulmamalı: vektör indeksi, gömme kayıtları ve önbellek yedekleme kapsamının içinde.

Üç dağıtım modelini aynı ölçütlerle okumak

Üç model var: yurt dışındaki bir servise API üzerinden bağlanan kurulum, yurt içinde barındırılan yönetilen kurulum, ve kurumun kendi salonundaki Yerel (On-Premise) Yapay Zeka Sunucu Sistemleri. Üçü de aynı beş soruyla okunabilir.

• Bir aktarım oluşuyor mu — Rehberin üç ölçütü uygulandığında, veri yalnızca ekranda görüntülense dahi cevap değişebiliyor.
• Uzaktan erişim kanalı var mı — destek ve yönetim kanalları aktarım kapsamında değerlendiriliyor.
• Sonraki aktarımlar nereye gidiyor — 6698 sayılı Kanunun 9 uncu maddesi, sonraki aktarımlar ve uluslararası kuruluşlara aktarımlar bakımından da aynı güvenceleri arıyor; zincirin sonuna kadar sorumluluk sürüyor.
• Hangi güvence belgesi ve bildirimi gerekiyor — bağlayıcı şirket kurallarında aktarıma ancak Kurul onayından sonra başlanabiliyor ve asgari içerik on üç bent hâlinde sayılıyor.
• Anahtarlar ve işlem kayıtları nerede duruyor — kriptografik anahtarların ayrı ortamda tutulması ve hareketlerin loglanması, modelin nerede çalıştığından bağımsız bir koşul.

Bankacılıkta dört eksen daha var, dördü de zincirle ilgili. Birincil veya ikincil sistem kapsamındaki bir faaliyet için dış hizmet ya da bulut hizmeti alınırsa, sağlayıcının o hizmette kullandığı “bilgi sistemleri ve bunların yedekleri de birincil ve ikincil sistemler kapsamında ele alınır” — yükümlülük bankanın kendi veri merkezinde durmuyor. Bulut tarafında hizmet, tek bir bankaya tahsis edilmiş kaynaklar üzerinden özel bulut modeliyle alınabiliyor; topluluk bulutu Kurul iznine tabi. Koşulları uygulatılamayan standart sözleşme modelleriyle kritik hizmet edinilemiyor — bu, tıkla ve kabul et tipi bir edinimi dışarıda bırakıyor. Sağlayıcı seçiminde Türkiye’de müdahale ekibi bulunması şart.

Veri işleyenin veri sorumlusunun talimatlarına uygun hareket etmesi kuralının mimari bir karşılığı var: talimatın teknik olarak uygulanabilir olması gerekiyor. Bir sağlayıcıya “şu veriyi şu bölgede tut” demek, ancak sistem o ayrımı yapabiliyorsa anlamlı. Kurumun kendi salonundaki kurulum bu soruyu en erken noktada kapatıyor: aktarım oluşmadığında üç kademeli güvence yapısı hiç devreye girmiyor.

Kurum tipine göre yerleşim haritası ve kontrol listesi

Yerleşim haritası bileşen bileşen kurulduğunda tartışma somutlaşıyor. Model ağırlıkları, çıkarım süreci, vektör indeksi ve gömme kayıtları, önbellek, işlem kayıtları, anahtar deposu, yedek kopyalar ve yönetim ile destek kanalı — dokuz kalemin her biri için ayrı ayrı cevaplanması gereken bir soru var.

Kurum tipi tarafında üç satır yeterli. Bankalar için 25 inci maddedeki yurt içi bulundurma koşulu geçerli ve bu Yönetmelik yalnızca 5411 sayılı Kanunun 3 üncü maddesinde tanımlanan bankaları kapsıyor. Sermaye piyasası kurumları için Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10), sigortacılık ve özel emeklilik tarafı için Sigortacılık ve Özel Emeklilik Sektörlerinde İç Sistemlere Dair Yönetmelik benzer yapıda bir koşul taşıyor. Sağlık hizmeti sunucularında ise koşul aktarım rejimi üzerinden kuruluyor.

İki terimin ayrımını da yazılı tutmak gerekiyor: özel nitelikli veride aranan “yeterli önlemler” ile yurt dışına aktarımda aranan “uygun güvenceler” aynı şey değil. Birincisi verinin kendi sınıfından, ikincisi verinin gittiği yerden doğuyor.

Kontrol listesi doğrudan Kurul kararına dayanıyor: özel nitelikli verilerin kriptografik yöntemlerle muhafazası, anahtarların güvenli ve farklı ortamlarda tutulması, hareketlerin güvenli loglanması, uzaktan erişimde en az iki kademeli kimlik doğrulama, güvenlik güncellemelerinin takibi ve düzenli testler. Bankacılıkta buna üç satır ekleniyor: ikincil merkez kapsamına alınan ve alınmayan varlıkların iki ayrı liste hâlinde belgelenmesi; her bilgi varlığı için konum ve güvenlik sınıfının envanterde yer alması ve sınıfların iki yılı aşmayan aralıklarla gözden geçirilmesi; bilgi sistemleri iç kontrol ile iç denetim faaliyetlerinin dış hizmete konu edilememesi.

Bir not daha: aynı yerellik sorusu vergi tarafında da karşınıza çıkıyor ve orada hüküm doğrudan coğrafya diyor. e-Belge tarafındaki karşılığı “e-Belge: doğrudan entegrasyon mu, özel entegratör mü?” yazısında ele alındı.

Bu yazı mevzuat metinlerini anıldığı hâliyle aktarır; hukuki görüş içermez. Mevzuat metinleri değiştiği için — sağlık yönetmeliği 2026’da güncellendi, KVKK’nın aktarım rejimi 2024’te yeniden düzenlendi — planlamadan önce resmigazete.gov.tr, mevzuat.gov.tr ve kvkk.gov.tr üzerindeki güncel metne bakılmalıdır.

Kaynaklar

• Kişisel Sağlık Verileri Hakkında Yönetmelik — Sağlık Bakanlığı, Resmî Gazete 21/6/2019, sayı 30808 (erişim sınırı md. 6, kimliksizleştirme md. 7, aktarım md. 15, anonim hâle getirme md. 16)
• Kişisel Sağlık Verileri Hakkında Yönetmelikte Değişiklik Yapılmasına Dair Yönetmelik — Resmî Gazete 4/7/2026, sayı 33300 (dördüncü bölüm başlığı, md. 13/2 ve yeni md. 13/A)
• 6698 sayılı Kişisel Verilerin Korunması Kanunu — md. 6 özel nitelikli veriler ve md. 9 yurt dışına aktarım (Değişik: 2/3/2024-7499)
• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik — Kişisel Verileri Koruma Kurumu, Resmî Gazete 10/7/2024, sayı 32598 (bağlayıcı şirket kuralları md. 12-13, standart sözleşme md. 14)
• Kişisel Verilerin Yurt Dışına Aktarılması Rehberi — Kişisel Verileri Koruma Kurumu, Yayınları No: 48, Ocak 2025 (aktarımın üç ölçütü, uzaktan erişimin aktarım sayılması)
• Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler — Kişisel Verileri Koruma Kurumu, Yayınları No: 76, Nisan 2025 (anonimleştirme tercihi, paydaş statülerinin belirlenmesi, mahremiyet etki değerlendirmesi)
• Kişisel Verileri Koruma Kurulunun 31/01/2018 tarihli ve 2018/10 sayılı Kararı (kriptografik muhafaza, anahtarların ayrı ortamda tutulması, aktarım kanalları)
• Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik — BDDK, Resmî Gazete 15/3/2020, sayı 31069 (yurt içi bulundurma md. 25, envanter md. 6, yedekler md. 27, ikincil merkez md. 28, dış hizmet ve bulut md. 29)
• Bankaların İç Sistemleri ve İçsel Sermaye Yeterliliği Değerlendirme Süreci Hakkında Yönetmelik — BDDK, Resmî Gazete 11/7/2014, sayı 29057 (birincil ve ikincil sistem tanımları, md. 3)
• 5411 sayılı Bankacılık Kanunu — md. 73’e eklenen cümleler: 20/2/2020 tarihli ve 7222 sayılı Kanun md. 10
• Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik — BDDK, Resmî Gazete 4/6/2021, sayı 31501 (en az veri kopyası ilkesi, sağlık verisinin paylaşım dışında tutulması)
• Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10) — Sermaye Piyasası Kurulu, Resmî Gazete 13/3/2025, sayı 32840
• Sigortacılık ve Özel Emeklilik Sektörlerinde İç Sistemlere Dair Yönetmelik — SEDDK, Resmî Gazete 25/11/2021, sayı 31670