Firma Verisi Toplamak Yasal mı? KVKK ve Veri Kazıma

Kanun md.3/1-d kişisel veriyi şöyle tanımlıyor: kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. Tanımda "gizli olma" şartı yok. Bir veri kamuya açık olsa da kişisel veri olmaya devam eder.

Ölçüt, verinin bir gerçek kişiyi belirlenebilir kılıp kılmadığıdır. Ad ve soyad içeren bir e-posta adresi kişiyi belirlenebilir kılar; Kurulun 01/09/2022 tarihli ve 2022/861 sayılı kararında iş yeri e-posta adresi kişisel veri kabul edilmiştir. Jenerik kurumsal posta kutularını açıkça kapsam dışı bırakan bir Kurul rehberi ya da kararı ise taramamızda bulunamadı. Bu yüzden ayrımı "şu adres serbest" diye değil, belirlenebilirlik ölçütü üzerinden kurmak gerekiyor.

Md.5/1 birebir şöyle: kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. Md.3/1-a açık rızayı belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza diye tanımlıyor.

Md.5/2, açık rıza aranmayan halleri sayıyor: kanunlarda açıkça öngörülmesi, fiili imkânsızlık, sözleşmenin kurulması veya ifası, hukuki yükümlülük, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması ile ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati.

Son bent sık öne sürülüyor. Kurulun yayımlanmış kararlarında doğrudan pazarlama amaçlı veri işlemenin meşru menfaat kapsamında değerlendirildiği bir örneğe rastlanmadı; bu konuda yayımlanmış bir karar bulunamadı. Bu yüzden "meşru menfaate dayanıp soğuk liste kurulur" gibi bir cümle burada kurulamaz.

6563 tarafındaki istisna da bu katmanı kapatmıyor. 2022/861 sayılı kararda veri sorumlusu savunmasını esnaf ve tacir istisnasına dayandırmış, Kurul ayrıca 6698 md.5 kapsamında bir işleme şartı arayıp bulamadığı için ceza vermiştir. İleti tarafının kuralları ticari elektronik ileti izni sayfasında.

Kurulun 16 Aralık 2020 tarihli Alenileştirme Hakkında Kamuoyu Duyurusu bu soruyu doğrudan yanıtlıyor. Duyuruya göre alenileştirme, kişisel verinin kamuoyuna sunulmasından daha dar bir anlama sahiptir ve ilgili kişinin alenileştirme iradesi ile amacına bağlıdır. Verinin herkesin görebileceği bir yerde olması tek başına yeterli değildir.

Duyurunun kendi örneği açık: bir internet sitesinde aracını satışa çıkaran kişinin paylaştığı iletişim bilgileri sadece aracı satın almak veya o ilanla ilgili bilgi almak amacıyla kullanılabilir. Duyuru ayrıca sosyal medya hesapları gibi mecralardan elde edilen ad soyad, telefon numarası ve e-posta adresinin reklam amacıyla kullanılmasının md.5/2-d kapsamında değerlendirilemeyeceğini yazıyor.

Kararlar da aynı yönde:

• 2022/861 (01/09/2022): arama motorlarından toplanan avukat e-posta adreslerine tanıtım e-postası. Kurul, verinin kamuya açık hale gelmiş olmasının her türlü amaç için işlenebileceği anlamına gelmediğini, ancak alenileştirme amacıyla bağlantılı ve amaçla sınırlı işlenebileceğini belirtmiştir.
• 2021/1243 (09/12/2021): firma, kişinin hangi yöntemle ve hangi mecrada alenileştirme iradesinde bulunduğunu belgeleyemediği için alenileştirme savunması reddedilmiştir. "İnternette buldum" demek yetmiyor.
• 2019/331 (07/11/2019): kişinin kendi internet sitesinden alınan numarasına teklif için arama yapılması. Kurul, bilginin alenileştirilme amacıyla kullanılmadığı sonucuna varmıştır.

Md.10/1 uyarınca kişisel verilerin elde edilmesi sırasında veri sorumlusunun kimliği, işleme amacı, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ile hukuki sebebi ve md.11'deki haklar konusunda bilgi verilir.

Kurulun 10/06/2025 tarihli ve 2025/1072 sayılı İlke Kararı iki noktayı netleştiriyor: aydınlatma yükümlülüğü açık rıza alınmasından ve diğer işleme şartlarından bağımsız olarak yerine getirilir; aydınlatma ile açık rıza alma işlemleri ayrı ayrı yapılır. Aynı karar, üyelik sözleşmesi onayı, veri işleme izni ve ticari elektronik ileti onayının tek bir eylemle alınmasına son verilmesini de istiyor.

Md.11 ilgili kişiye veri işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, amacını öğrenme, aktarıldığı üçüncü kişileri bilme, düzeltme, silme ve zararın giderilmesini talep etme hakları veriyor. Lead toplayan için kritik soru şu: "verimi nereden buldunuz". Bu soru md.11/1-b ve (c) kapsamındadır, yanıtsız bırakılamaz. 2022/861 kararında aktarılan Tebliğ hükmüne göre başvuru en kısa sürede ve en geç otuz gün içinde sonuçlandırılır.

Veri kazıma (scraping), bir siteden verinin otomatik araçlarla toplanmasıdır. Kurulun bu başlıkta yayımlanmış bir ilke kararı bulunmuyor; bulunan kararların hepsi toplanan verinin pazarlama amacıyla kullanılması aşamasına odaklanıyor. Aşağıdakiler kanun metinlerinin ne dediğidir, somut bir olayın değerlendirmesi değildir.

Bir kalem de olumsuz sonuçla kapandı: taranan birincil kaynakların hiçbirinde bir sitenin kullanım şartlarına ya da robots.txt dosyasına aykırı davranmayı başlı başına suç sayan bir hüküm bulunamadı. Bunun sözleşmesel sorumluluk doğurup doğurmayacağı ayrı bir hukuki değerlendirmedir.

Kanunda izinsiz veri işleme için ayrı bir ceza bendi yok. Kurul, hukuka aykırı işlemeyi md.12/1-a ihlali sayıp md.18/1-b bendinden cezalandırıyor. 2022/861 kararında 150.000 TL, 2019/331 kararında 100.000 TL idari para cezası verilmiştir. Bu tutarlar kararların verildiği yılların tarifesine göredir; aynı bendin 2026 yılı alt sınırı aşağıdaki tabloda yazılıdır.

Tutarlar 1/1/2026 ile 31/12/2026 dönemi içindir, Kurumun yayımladığı tabloda 2026 için yeniden değerleme oranı yüzde 25,49 olarak yazılıdır. İdari para cezasıdır, KDV söz konusu değildir. Bu tutarlar 6563 sayılı Kanun kapsamındaki ceza tutarlarından ayrıdır.

İdari cezanın ötesine geçen bir uyarı da var. Kurulun 16/10/2018 tarihli ve 2018/119 sayılı İlke Kararı, rıza almadan ya da md.5/2 şartlarını sağlamadan reklam iletisi yönlendiren veri sorumlularının bu faaliyeti derhal durdurmasını istiyor ve konunun Türk Ceza Kanunu md.136 çerçevesinde ihbaren ilgili Cumhuriyet Başsavcılığına bildirileceğini karara bağlıyor. Aynı karar, veri sorumlusunun kendi adına veri işleyenlerle müştereken sorumlu olduğunu da söylüyor.

Bu sayfa bilgilendirme amaçlıdır. Kendi durumunuz için avukatınıza danışın.