Sichuan Guangyuan: Siber Güvenlik Uyumluluğu ve Yerel Hukuk Danışmanlığı

Sichuan Guangyuan’da Siber Güvenlik: Türkiye Girişimcilerinin Bilmesi Gerekenler

Merhaba. Türkiye’den Çin’e, özellikle Sichuan Guangyuan gibi gelişen endüstriyel ve lojistik merkezlere adım atan bir girişimciyseniz, “siber güvenlik uyumluluğu” (Cybersecurity Compliance) kelimeleri sadece birer bürokratik kağıt parçası gibi görünmeyebilir. Ama gerçek şu: 2017’de yürürlüğe giren Siber Güvenlik Kanunu (Cybersecurity Law), 2021’deki Veri Güvenlik Kanunu (Data Security Law) ve Kişisel Bilgi Koruma Kanunu (PIPL - Personal Information Protection Law) ile birlikte Çin’de veri ve ağ güvenliği artık “isteğe bağlı” bir konu değil, operasyonunuzun devamı için zorunlu bir lisans haline geldi.

Guangyuan, Chengdu-Chongqing ekonomik çevresinin kuzey kapısı olarak, büyük veri, bulut bilişim ve lojistik veri merkezleri için stratejik bir yerleşim alanı haline geliyor. Bu, bölgedeki yerel yönetimlerin (Guangyuan Büyükşehir Belediyesi, Sichuan Şengel Cybersecurity Ofisi vb.) merkezi politiche göre “Kritik Bilgi Altyapısı” (CII - Critical Information Infrastructure) operatörleri ve “Önemli Veri” işleyen şirketler üzerinde denetimi artırdığı anlamına gelir.

Bu makalede, İstanbul’dan veya Ankara’dan Guangyuan’a uzanan operasyonel bir zinciriniz varsa, veri yerelleştirme (data localization), güvenlik değerlendirmesi (security assessment) ve yerel bir Çinli avukatla nasıl çalışmanız gerektiği konusunda, lüzumsuz yargı dili olmadan, “arkadaş masasından” pratik bir rehber niteliğinde notlar paylaşıyorum.

Neden Guangyuan, Neden Şimdi? Bağlam ve Riskler

Guangyuan, “Kuzey Sichuan’in Kapısı” olarak tanınır; Chengdu-Lanzhou Hızlı Treni, Baoji-Chengdu Demiryolu ve G5 Jingkun Otoyolu gibi altyapılarla hem batıya (Chengdu/Chongqing) hem kuzeye (Xi’an/Lanzhou) hem de “Kuzeyden Güneye” (South-North Water Transfer Project) veri ve lojistik akışının kesiştiği bir noddur. 2023-2024 döneminde Sichuan Şen Halk Hükümeti ve Ulusal Siber Güvenlik Standardizasyon Teknik Komitesi (TC260) tarafından yayımlanan rehber belgelerde, batı bölge loom veri merkezleri ve endüstriyel internet platformları için “veri güvenliği pilot bölgeleri” tanımlandı.

Sizin için ne anlama geliyor? Eğer Guangyuan’da bir üretim tesisi, lojistik park, veri merkezi veya bir SaaS platformu ile müşteri/hirekât verisi topluyorsanız:

• Kritik Bilgi Altyapısı Operatörü (CIIO) tanımına girebilirsiniz (enerji, ulaşım, finans, kamu hizmetleri, e-ticaret büyük platformlar vb.).
• Önemli Veri (Important Data) işliyor olabilirsiniz: coğrafi/konum verisi, biyometrik veri, 100.000+ kullanıcı kişisel bilgisi, endüstriyel kontrol verisi vb.
• Çapraz Sınır Veri Aktarımı (Cross-border Data Transfer) yapıyorsanız (ör. Türkiye HQ’suna, Avrupa bulut sunucularına veri gönderiyorsanız), Güvenlik Değerlendirmesi (Security Assessment) veya Standart Sözleşme (Standard Contract) yollarından birini tamamlamanız zorunlu olabilir.

Bu süreçte en büyük hata: “Biz küçücüz, bizi kimse umur etmez” diyip riski yok saymaktır. 2024 sonrası denetimlerde (Sichuan Şengel Cybersecurity Ofisi ve PSB - Public Security Bureau birimleri tarafından), “Kayıt Olmayan CIIO” veya “Değerlendirme Yapmayan Veri İşleyici” olarak cezalandırılan şirketler (bazıları yabancı sermayeli) hem idari para cezası (PIPL Madde 66: 50 milyon CNY’a veya yıllık cironun %5’ine kadar) hem de iş durdurma/izin iptali riskiyle karşılaştı.

Pratik Uyum Haritası: Adım Adım Ne Yapmalısınız?

Aşağıda, Guangyuan bağlamında sıkça gördüğümüz bir “uyum yol haritası” özetlenmiştir. Bu bir yasal tavsiye değildir; sadece sürecin nasıl işlediğine dair bir çerçevedir. Her şirketin veri haritası, risk profili ve iş modeli farklıdır; bu nedenle yerel bir Çinli avukatla (Guangyuan veya Chengdu barosu kayıtlı) spesifik durumunuz için görüşmek şarttır.

1. Veri Haritalama ve Sınıflandırma (Data Mapping & Classification)

• Ne yapılır? Şirketinizin hangi verileri topladığını, nerede sakladığını, kimle paylaştığını, ülke dışına çıkıp çıkmadığını belgeleyin.
• Araçlar: TC260 standartları (GB/T 35273, GB/T 39719 vb.) referans alınabilir.
• Çıktı: Veri Envanteri Tablosu, Veri Akış Diyagramı, Hassasiyet Seviyesi Etiketleme (Genel / İç / Hassas / Çok Hassas).

2. CIIO / Önemli Veri İşleyici Kriterlerini Test Edin

• Kaynak: Siber Güvenlik Kanunu Madde 31, Veri Güvenlik Kanunu Madde 21, PIPL Madde 40.
• Kriterler (Özet): Sektör (enerji, ulaşım, finans vb.), kullanıcı sayısı (1 milyon+), veri hacmi, toplumsal etki, milli güvenlik etkisi.
• Eğer EŞLEŞİYORSA: İl/Şen seviyesinde Siber Güvenlik Ofisine CIIO Kayıt Bildirimi (备案) yapılır. Genellikle 30 gün içinde.

3. Siber Güvenlik Dizaynı ve “Üçlü Eşitleme” (Three Synchronizations)

• Kural: Yeni sistem/işlem devreye girmeden ÖNCE güvenlik önlemleri alınmalı, SIRASINDA test edilmeli, SONRA kabul edilmelidir.
• Uygulama: Seviye Koruma (MLPS 2.0 - Dengji Baohu) Değerlendirmesi: Seviye 2 (yıllık), Seviye 3 (yarı yılda bir) için yetkili değerlendirme kurumu (Guangyuan/Chengdu’deki yerli kurumlar) ile plan yapın.

4. Çapraz Sınır Veri Aktarımı Mekanizması Seçin (Eğer Gerekliyse)

İpucu: Guangyuan-based şirketler için genellikle Sichuan Şengel Siber Güvenlik Ofisi (四川省网信办) ve Sichuan Polis Departmanı (四川省公安厅) yetkilidir. Dosya hazırlığı (TIAR - Transfer Impact Assessment Report, SOP, veri işleme sözleşmesi vb.) süreci en az 1-2 ay önceden başlamalıdır.

5. Kişisel Bilgi Koruma Etki Değerlendirmesi (PIA / DPIA)

• Zorunlu olduğu durumlar: Hassas kişisel bilgi işleme, otomatik karar verme, büyük ölçekli kamu alanı izleme, yurt dışı aktarım, 100.000+ kişi verisi.
• İçerik: İşleme amacı/yasallığı, risk analizi, koruma önlemleri, haklı güvenlik riski sonucu.
• Saklama: En az 3 yıl, yetkili denetimde sunulmaya hazır.

6. Veri Güvenlik Yönetim Sistemi Kurun (DSMS)

• Politikalara, prosedürlere, sorumluluk atamalarına (DPO / Kişisel Bilgi Koruma Sorumlusu), olay yanıt planına, eğitime, denetime dayalı bir sistem.
• MLPS 2.0 Seviye 3 için: fiziksel güvenlik, ağ güvenliği, ana bilgisayar güvenliği, uygulama güvenliği, veri güvenliği, yedekleme/kurtarma, olay yönetimi kapsamında 200+ kontrol noktası.

7. Tedarikçi ve Üçüncü Taraf Yönetimi

• Bulut sağlayıcınız (Alibaba Cloud, Tencent Cloud, Huawei Cloud, AWS China, Azure China), yazılım satıcınız, veri işleyiciniz (processor) ile Veri İşleme Sözleşmesi (DPA) imzalayın.
• Onların da MLPS seviyesi, sertifikaları (ISO 27001, CSL 3rd level), veri merkezi lokasyonları (Guangyuan/Chengdu/Chongqing) doğrulanmalı.

Guangyuan Yerel Pratiği: “Kağıt Üstünde” vs “Gerçekte” Arasındaki Fark

Birçok Türkiye girişimcisi, Chengdu veya Pekin’de büyük bir hukuk bürosu ile anlaşıp “uyum raporu” alıyor, ama Guangyuan’daki yerel PSB (Polis Merkezi) denetiminde “yerel kayıt eksik”, “yerel sunucu yok”, “yerel kişi sorumluluğu yok” diyerek ceza yiyor.

Neden?

• Yerel Kayıt (Local Filing): CIIO bildirimi, PIA raporu, çapraz sınır bildirimi İl/Şen seviyesinde yapılır. Pekin avukatı “millî” prosedürü bilir ama Guangyuan Şengel Ofisi’nin tercih ettiği dosya formatı, imza yetkilisi, müracaat portalı (bazen sadece fiziksel/kağıt + elektronik hibrit) bilmeyebilir.
• Yerel Temsilci / Sorumlu Kişi: PIPL Madde 52: Yurt dışı işleyiciler Çin’de temsilci veya özel bir ofis belirlemeli ve bu bilgiyi Şengel Ofisine bildirmelidir. Bu kişi Çin vatandaşı veya Çin’de sürekli oturan yabancı olmalıdır. Genellikle “Yasal Temsilci” (Legal Rep) bu rolü üstlenir ama iş yükü ağırsa ayrı bir DPO (Kişisel Bilgi Koruma Sorumlusu) atanması pratik olur.
• Yerel Sunucu / Veri Merkezi: Veri yerelleştirme (CIIO ve Önemli Veri için zorunlu) anlamı: Fiziksel sunucu Çin ana karasında olmalı. “Hong Kong sunucusu” veya “Singapur sunucusu” yerelleştirme sayılmaz. Guangyuan’da Alibaba Cloud / Tencent Cloud / China Telecom / China Mobile / China Unicom veri merkezleri mevcut; kontratınızda “bölge: Sichuan-Chengdu/Guangyuan” ibaresi olmalı.
• Dil: Tüm bildirim dosyaları, PIA raporları, SOP’lar Basitleştirilmiş Çince olmalıdır. İngilizce/Türkçe çeviri resmi süreçte geçerli değildir.

Yerel Bir Çinli Avukatla Nasıl Çalışmalısınız? (Pratik Checklist)

Küçük bir hatırlatma: Lvga.com olarak biz avukat değiliz; biz sizi Güvenilir yerel Çinli avukatlarla (Guangyuan, Chengdu, Chongqing, Şangay, Şenzhen, Pekin vb.) tanıştırıyoruz, süreci İngilizce/Türkçe takip edebilmeniz için “bridge” oluyoruz. Avukat müvekkil ilişkisi sizin ve avukatınız arasında kurulur; biz platform olarak “uygun avukat bulma, iletişim kolaylaştırma, fatura/şeffaflık” konularında yardımcı oluruz.

Sık Karşılaşılan Tuzaklar ve “Arkadaş Tavsiyeleri”

1. “ISO 27001 var, biz uyumluyuz” yanılgısı → ISO 27001 uluslararası standart, Çin yasası MLPS 2.0 (Dengji Baohu) zorunluluğunu karşılamaaz. Her ikisi de gerekir, birbiri yerine geçmez.
2. “Hong Kong şirketimiz var, oradan yönetiriz” stratejisi → PIPL yurt dışı işleyici (extraterritorial) kapsamınıza girer. Hong Kong şirketiniz de Çin’de temsilci/atama ve bildirim yapmak zorundadır. “Offshore” diye bir delik yok.
3. “Veri şifrelendi, yurt dışına gitsin” düşüncesi → Şifreleme çapraz sınır aktarımı için yeterli koruma sağlamaz. CAC Güvenlik Değerlendirmesi veya SCC zorunludur (kriterlere uygunluk halinde).
4. “Yasal Temsilci (Legal Rep) her şeyi imzalar” alışkanlığı → Siber güvenlik bildirimleri bazen Yasal Temsilci imzası ister, bazen DPO/İşletme Sorumlusu imzası. Yanlış imza = reddedilen dosya = zaman kaybı.
5. “Bir kere yaparız, biter” zihniyeti → MLPS değerlendirmesi yıllık/yarıyıllık, PIA yıllık/güncelleme, Çapraz sınır bildirimi yıllık yenileme gerektirir. Süreç sürekli.

🙋 SSS (Sıkça Sorulan Sorular)

S1: Guangyuan’da faaliyet gösteren Türkiye şirketimiz için “Kritik Bilgi Altyapısı Operatörü” (CIIO) tanımı nasıl test edilir? C1: Aşağıdaki adımları izleyin:

1. Sektör kontrolü: Enerji, ulaşım, finans, kamu hizmetleri, e-ticaret, posta, telekom, su/gaz/ısı, sağlık, endüstriyel kontrol (SCADA/ICS) alanında mısınız?
2. Kullanıcı/Hacim eşiği: 1 milyon+ kullanıcı kişisel bilgisi VEYA 100.000+ hassas kişisel bilgisi VEYA “Önemli Veri” (coğrafi, biyometrik, genetik vb.) işliyor musunuz?
3. Etki analizi: Sisteminiz çökerse / veriniz sızdırılırsa: Milli güvenlik, halk çıkarları, kamu düzeni, ekonomi ciddi derecede etkilenir mi?
4. Sonuç: Eğer Evet ise → Sichuan Şengel Siber Güvenlik Ofisi’ne (veya Guangyuan Şehir Siber Güvenlik Ofisi aracılığıyla) CIIO Kayıt Bildirimi yapılır. Bu, sistem devreye girdiği tarihten itibaren 30 gün içinde yapılmalıdır. Yerel avukatınız “CIIO Tanıma ve Kayıt Rehberi” (各地网信办发布的《关键信息基础设施认定和备案指引》) na göre dosyayı hazırlar.

S2: Türkiye HQ’mıza (veya Avrupa bulutumuza) personel/müşteri verisi göndermek istiyoruz. Hangi yolu seçmeliyiz? C2: Karar ağacı şöyledir:

1. CIIO musunuz? → Evet = CAC Güvenlik Değerlendirmesi (Millî veya Şen seviyesi) ZORUNLU. Standart Sözleşme (SCC) yeterli değildir.
2. CIIO DEĞİLSİNİZ, ama: 1 milyon+ kullanıcı VEYA hassas kişisel bilgi VEYA “Önemli Veri” işliyor musunuz? → Evet = CAC Güvenlik Değerlendirmesi (genelde Şen seviyesi) ZORUNLU.
3. Yukarıdakilerin hiçbiri DEĞİLSE: (1M altı, hassas veri yok, önemli veri yok) → Standart Sözleşme (SCC) yolu: Model sözleşmeyi (CAC resmi modeli) doldurun, Sichuan Şengel Polis Departmanı (PSB)’ne bildirim yapın (imza tarihinden 10 iş günü içinde). + Kişisel Bilgi Koruma Etki Değerlendirmesi (PIA) raporu saklayın.
4. Alternatif: Kişisel Bilgi Koruma Sertifikası (yetkili kurumdan) alın → hem yurt içi hem yurt dışı aktarımda “geçerli koruma” kanıtı olur. Süresi 3 yıl. Önemli: Her durumda Veri İhracatçı (Siz) ve Veri İthalatçı (Türkiye/Avrupa tarafı) arasında Veri İşleme Sözleşmesi (DPA) + Transfer Etki Değerlendirmesi (TIAR) hazırlanmalı, TIAR raporu PIA’ya eklenir.

S3: “Yerel Çinli Avukat” bulurken hangi kriterleri önceliklendirmeliyim? C3: Pratik kontrol listesi:

• Lisans: Adli Bakanlığı “Avukat Çalışma İzni” (律师执业证) aktif mi? (Mükellefiyet:律协网站 sorgulama)
• Yerel Baro: Guangyuan / Sichuan Şen barosu kayıtlı mı? (Yerel merci ile iletişim, dosya formatı, “örnek dosya” bilgisini bilirler)
• Uzmanlık Geçmişi: Son 2 yılda CIIO kayıt, MLPS 3. seviye değerlendirme takibi, Çapraz Sınır Güvenlik Değerlendirmesi / SCC bildirimi, PIA yazımı gibi somut case referansı var mı? (Müşteri adı gizli olsa bile “süreç ve sonuç” anlatabilmeli)
• Dil: Çince + İngilizce/Türkçe teknik iletim sağlayabiliyor mu? (Sizin ekip anlayamazsa süreci yönetemezsiniz)
• Şeffaflık: Yazılı Hizmet Sözleşmesi, Ücret Tablosu (Paket / Saatlik / Dahil-Hariç), İş Takibi (Araç, Sıklık, Teslimat) sunuyor mu?
• Bağımsızlık: Avukat, değerlendirme kurumu (MLPS test eden firma), sertifika kurumu, bulut sağlayıcı ile ticari bağlı mı? (Bağımsız danışmanlık, “satış komisyonu” olmamalı)
• Çıkış: Sözleşme bitiminde tüm kaynak dosyalar, resmi makam yazışmaları, çeviriler size teslim ediliyor mu?

🧩 Özet ve Yapılacaklar Listesi

Guangyuan’da büyümek isteyen bir Türkiye girişimcisiyseniz, siber güvenlik uyumluluğu bir " maliyet kalemi" değil, iş devamı garantisidir. 2024-2025 denetim dalgalarında “yapmadık, bilmiyorduk” diyen şirketlerin ödediği “öğrenme ücreti” (ceza + iş durdurma + itibar kaybı), uyum bütçesinin katlarca fazla oldu.

Hemen bugün yapabileceğiniz 4 somut adım:

1. Veri Haritası Çizin: Hangi veri, nerede, kim tarafından, nereye gidiyor? (Excel bile olsa başlayın)
2. CIIO / Önemli Veri Testi Yapın: Yukarıdaki kriterlerle kendi kendinize “Evet/Hayır” cevabı verin.
3. Yerel Avukatla “Kazançlı İlk Görüşme” Planlayın: “Benim durumum X, Y, Z; siz ne önerirsiniz, maliyet/çizelge ne olur?” sorusuyla 3-4 avukatla konuşun. Lvga.com üzerinden Guangyuan/Sichuan barolu, siber güvenlik tecrübeli, çift dilli avukatları listeleyebilir, ilk iletişimi kurabilirsiniz.
4. Yerel Temsilci / DPO Belirleyin: Şirketinizde Çin’de sürekli oturan, Çince bilen, yasal bildirimleri imzalayabilecek bir kişi atayın (Yasal Temsilci veya ayrı DPO). Bu kişinin iletişim bilgilerini Şengel Ofisi’ne bildirin (PIPL Madde 52).

📣 Bize Ulaşın — Sorunuz Mu Var?

On yıldır bu işi yapıyoruz: Küçük bir ekibiz, koca vaatler yapmıyoruz. “Gece gündüz cevap veririz”, “Garanti sonuca bağlarız” demiyoruz. Ama şeffaf, güvenilir, tecrübeli yerel Çinli avukatlarla sizi tanıştırır, süreci Türkçe/İngilizce takip edebilmeniz için “köprü” olmaya çalışıyoruz.

👋 Çin hukuku, siber güvenlik uyumu, veri yerelleştirme, çapraz sınır veri aktarımı, şirket kurulumu, ticari sözleşme incelemesi, marka kaydı, vergi/insan kaynakları uyumu konusunda bir sorunuz varsa:

📧 E-posta: lvga2015@qq.com (Birincil iletişim kanalı) 💬 WeChat (Yedek): JingJing — WeChat ID: lvga2015
(Not: WeChat anlık hukuk danışmanlık kanalı değildir; konuyu yazın, müsait olduğumuzda cevaplarız, görüşme planlarız.)

Lvga.com — 2015’ten beri Türkiye girişimcilerini, güvenilir yerel Çinli avukatlarla buluşturan platform.
“Yol uzun, tuzaklar çok; ama doğru rehberle kaçınılmaz olanları atlatabilirsiniz.”

📚 Daha Fazla Okuma

(Bu makalenin hazırlanmasında doğrudan alıntı/yorum yapılan, Research Context’te yer alan ve konuyla ilgili doğrulanabilir kaynak bulunmadığı için “Daha Fazla Okuma” bölümü atlanmıştır. Güncel resmi mevzuat için Ulusal Halk Kongresi (NPC), Milli Siber Güvenlik Standardizasyon Komitesi (TC260), Sichuan Şengel Siber Güvenlik Ofisi ve Sichuan Polis Departmanı resmi web sitelerini takip etmeniz önerilir.)

📌 Feragatname

Önemli Uyarı: Lvga.com bir hukuk Bürosu DEĞİLDİR; Çin’de faaliyet gösteren bağımsız, lisanslı avukatlarla müvekkilleri buluşturan bir teknoloji platformudur.
Bu makale bilgilendirme amaçlıdır, yasal tavsiye niteliği taşımaz ve yapay zeka yardımıyla hazırlanmıştır.
Çin yasaları ve yürürlükteki yönetmelikler bölgeye, sektöre, şirket boyutuna ve zamana göre değişiklik gösterir; güncel ve resmi bilgi için ilgili resmi kurumların (CAC, PSB, SAMR, Vergi Dairesi vb.) yayınlarını ve lisanslı bir Çinli avukatın yazılı görüşünü temel alınız.
Makaledeki herhangi bir bilgi hatası, eksiklik veya güncelliği için Lvga.com sorumluluk kabul etmez. Düzeltme/ekleme bildirimleriniz için lvga2015@qq.com adresine yazabilirsiniz.