26. Dijital hizmetler, pazarlama ve gündelik ilişkiler

Bir kişinin çevrim içi alışveriş yapması, bir uygulamaya üye olması veya bir binaya girmesi sırasında birden fazla veri işleme faaliyeti gerçekleşebilir. Bu faaliyetlerin aynı hizmetin içinde yürütülmesi, hepsinin aynı hukuki sebebe dayanması anlamına gelmez. Teslimat için adresin kullanılması, reklam profilinin oluşturulması, kimliğin doğrulanması ve güvenlik kaydı tutulması ayrı ihtiyaçlara karşılık gelir. İnceleme, hizmetin genel adından hareketle değil, somut işlemin amacı, gerekliliği ve ilgili kişi üzerindeki etkisi belirlenerek yapılmalıdır.

Bu bölümde önce dijital hizmetin sözleşmesel yapısı ile kişisel verilerin ekonomik kullanımının ilişkisi ele alınacaktır. Çerezler ve uygulama izinlerinden rıza arayüzlerine, ticari iletilerden sadakat programlarına geçilirken, kullanıcıya sunulan tercihin hangi işleme ilişkin olduğu sorusu korunacaktır. Sosyal medya ve arama hizmetlerindeki görünürlük sorunlarını, otel ve toplu yapı uygulamaları izleyecektir. Böylece, farklı gündelik ilişkilerde aynı sınamanın nasıl sonuç verdiği görülebilecektir: Veriye erişebilmek, onu her amaçla kaydetme, saklama veya başkalarına açıklama yetkisi sağlamaz.

26.1. E-ticaret, platformlar ve kişisel veri karşılığı sunulan hizmetler

Bir internet mağazasından ürün satın alan kişinin adresini vermesi ile aynı kişinin alışveriş alışkanlıklarının reklam amacıyla izlenmesini kabul etmesi farklı işlemlerdir. İlkinde verinin kullanılması teslimin gerçekleşmesini sağlayabilir; ikincisinde ise mağazanın gelecekteki satışlarını artırmaya yönelik ayrı bir amaç vardır. Her iki işlem aynı üyelik hesabında gerçekleşse de hukuki dayanakları kendiliğinden birleşmez. E-ticarette asıl sorun, kullanıcının sözleşmeyi kabul edip etmediğinden önce, hangi verinin hangi işlem için gerekli olduğunun belirlenmesidir. Kişisel Verilerin Korunması Kanununun 5/2-c hükmü, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olmak kaydıyla taraflara ait verilerin işlenmesinin gerekli olmasını arar. Dolayısıyla, sözleşmeye bir veri kullanımı maddesi eklenmesi, o kullanımı tek başına sözleşmenin ifası için gerekli hâle getirmez.¹

Bu ayrım, çevrim içi pazaryerlerinde birden fazla sözleşme bulunması sebebiyle ayrıca önem taşır. Alıcı ile satıcı arasındaki satış ilişkisi, kullanıcının platformdan aldığı hizmetle aynı değildir. Platformun sipariş iletimini sağlaması, satıcının ürünü göndermesi ve bir ödeme kuruluşunun ödeme işlemini yürütmesi sırasında farklı veriler işlenebilir. Hangi aktörün veri sorumlusu olduğu, yalnız sözleşmede kendisine verilen unvandan çıkarılamaz. İşleme amaçlarını ve araçlarını belirleyen ile başkasının verdiği yetkiye dayanarak onun adına işlem yapanın ayrılması gerekir. Örneğin, bir platformun kendi reklam profillerinin hangi amaçla oluşturulacağına karar verdiği varsayımında, bu faaliyet bakımından kendisini sadece satıcının teknik yardımcısı olarak göstermesi yeterli olmaz. Aynı aktörün her faaliyet için aynı sıfatı taşıdığı da peşinen kabul edilmemelidir.²

Bir üyelik hesabının açılması da kendisinden sonraki bütün veri kullanımlarının ortak dayanağı değildir. Sipariş geçmişinin kullanıcıya gösterilmesi, ödeme uyuşmazlığına ilişkin belgenin korunması ve alışveriş geçmişinden reklam profili çıkarılması ayrı amaçlarla değerlendirilir. Bir kayıt için sözleşmenin ifası; başka bir kayıt için hukuki yükümlülük veya bir hakkın korunması şartı gündeme gelebilir. Ancak bu şartlardan birinin varlığı, aynı kaydın her amaçla kullanılabilmesini sağlamaz. Keza, verinin ilk elde edilişi hukuka uygun olsa bile kapsamının ve saklama süresinin amaçla sınırlandırılması gerekir. Bu sebeple, bir işletmenin kayıt tutmak zorunda olduğunu söylemesi ile tuttuğu kaydı pazarlamada kullanabileceğini söylemesi arasında ayrı bir hukuki gerekçeye ihtiyaç vardır.³

Kart bilgisinin kullanılması ile saklanması arasındaki fark bu sorunu somutlaştırır. Kurulun 11 Nisan 2023 tarihli ve 2023/567 sayılı kararında, alışveriş tamamlandıktan sonra kart bilgilerinin sonraki alışverişleri kolaylaştırmak için cüzdan hesabında tutulması incelenmiştir. Kurul bu kullanım için açık rıza gerektiğini belirtmiş; kaydın zorunlu tutulup sonradan silinmesine imkân verilmesini yeterli bulmamıştır. Karar, ödeme sırasında kart bilgisinin kullanılmasını bütünüyle rızaya bağlayan bir sonuç olarak okunamaz. Burada tartışılan, belirli bir ödemenin yapılmasının ardından gelecekteki işlemler için kaydın sürdürülmesidir. Sonradan silme seçeneği, başlangıçta bulunmayan geçerli rızanın yerine geçmemektedir.⁴

Hizmet için ayrıca para alınmaması, bu ayrımları ortadan kaldırmaz. Kullanıcıya bedelsiz sunulan bir hizmetin reklam gelirleriyle finanse edildiği ve verilerin bu gelir modelinde ekonomik değer taşıdığı durumlarda, kişisel verinin hizmetin karşılığını oluşturduğu ileri sürülebilir. Ancak ekonomik karşılık bulunması ile verinin hukuken hangi yetkilerle kullanılabileceği farklı sorulardır. Öğretide ekonomik yaklaşım lehine ileri sürülen güçlü gerekçe, kişinin verisinden doğan değerden pay alması ve kullanım koşulları üzerinde pazarlık edebilmesidir. Arslan, bu yaklaşımı aktarırken pazarlık gücündeki eşitsizliği ve mülkiyet devrinin kişi ile veri arasındaki bağı koparması tehlikesini tartışır. Bununla birlikte güç eşitsizliği, yalnız ekonomik karşılık modeline özgü değildir; rızaya dayanan ilişkilerde de görülebilir. Dolayısıyla sorunu yalnız “bedel var mı?” sorusuyla çözmek mümkün değildir.⁵

Verinin bir karşılık olarak nitelendirilmesi, Kanunun aradığı işleme şartının ayrıca gösterilmesi gereğini kaldırmaz. Örneğin, “ücretsiz üyelik karşılığında bütün verilerimi kullanabilirsiniz” ifadesi, amaçları belirsiz bir veri kullanımını belirli hâle getirmez. Kanunun aradığı açık rıza, belirli konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir karardır. Kurul da Amazon hakkındaki 27 Şubat 2020 tarihli ve 2020/173 sayılı kararının resmî özetinde, gizlilik bildiriminin kabulünden bütün veri işleme fiillerine tek bir rıza çıkarılmasını uygun görmemiştir. Böyle bir metin, kullanıcının hangi kullanım hakkında karar verdiğini anlayabilmesini ve tercihinin sınırını belirleyebilmesini sağlamalıdır.⁶

Avrupa Veri Koruma Kurulunun 17 Nisan 2024 tarihli 08/2024 sayılı görüşü, büyük çevrim içi platformlarda davranışsal reklama rıza verme ile ücret ödeme seçeneklerini ele alır. Görüş, çoğu durumda yalnız bu iki seçenekle geçerli rızanın sağlanamayacağını belirtir; davranışsal reklam içermeyen ücretsiz bir seçeneğin de değerlendirilmesini ister. Bununla birlikte bütün hizmetlerin her koşulda ücretsiz sunulması gerektiğini söylemez. Ücretin ve sunulan seçeneğin gerçek karar özgürlüğüne etkisini somut olayda inceler. Bu, Türk hukukunda bütün ücretli alternatifleri yasaklayan bir norm değildir; farklı hukuk düzenindeki rıza değerlendirmesidir.⁷

Türk hukuku bakımından para ödeme seçeneğinin bulunması da tek başına rızanın özgür olduğunu kanıtlamaz. Kullanıcının hangi hizmeti alacağı, hangi veri kullanımını reddedebileceği ve reddin hizmete erişimi nasıl etkileyeceği birlikte değerlendirilmelidir. Bunun karşısında, hizmetin belirli bir işlevinin yerine getirilmesi gerçekten bazı verilerin işlenmesini gerektiriyorsa, o işlev ile ilgisiz reklam faaliyetini aynı düzlemde ele almak da yanlış olur. Örneğin, kullanıcının teslimat adresini kaydeden bir sipariş hizmeti ile farklı sitelerdeki davranışlarını reklam amacıyla birleştiren bir sistemin gereklilik gerekçeleri aynı değildir. Hizmetin adı veya finansman biçimi yerine, talep edilen somut işlevin hangi işleme olmadan yerine getirilemeyeceği açıklanmalıdır.¹

Varsayımsal bir mağazanın üyelik hesabına sipariş takibi, kart saklama ve kişiselleştirilmiş reklam seçeneklerini birlikte yerleştirdiği düşünülebilir. Kullanıcının siparişini izlemek istemesi, kartını gelecekteki ödemeler için saklamak istediği anlamına gelmez. Kart saklamayı kabul etmesi de reklam profiline rıza gösterdiğini kanıtlamaz. Her seçeneğin hangi veriyi, ne amaçla ve hangi dayanakla kullandığı ayrı belirlenirse, bir tercihin reddinin diğer işlevleri neden etkilediği veya etkilemediği de açıklanabilir. Böylece sözleşmenin ifası için gerekli işlemler yürütülürken, yalnız kullanıcının rızasına bağlı ek kullanımlar onun gerçek tercihine bırakılabilir. Çerezler ve uygulama izinleri bu ayrımın teknik araçlarla; rıza arayüzleri ise kararın kullanıcıya nasıl sunulduğuyla ilgili görünümünü oluşturur.

26.2. Çerezler, uygulama izinleri, izleme araçları ve reklam ekosistemi

Bir alışveriş sitesinin sepetteki ürünleri hatırlaması ile ziyaretçinin başka sitelerdeki hareketlerini reklam amacıyla izlemesi aynı teknik araçtan yararlanabilir. Buna rağmen iki kullanımın hukuki değerlendirmesi farklıdır. Çerez, ziyaret sırasında kullanıcının cihazında bilgi tutulmasını ve sonraki isteklerde bu bilginin kullanılmasını sağlayan küçük bir kayıttır. Oturum sonunda silinmesi veya daha uzun süre saklanması, ziyaret edilen site yahut başka bir alan adı tarafından yerleştirilmesi ve hangi amaçla kullanılması farklı sınıflandırmalara karşılık gelir. Bu özelliklerden hiçbiri, tek başına hukuka uygunluğu göstermez. Birinci taraf çerezinin reklam amacıyla kullanılması mümkün olduğu gibi, üçüncü tarafın sunduğu teknik bir hizmetin işlevi de ayrıca incelenmelidir.⁸

Kişisel Verilerin Korunması Kanunu bakımından önce bu kayıtların belirli veya belirlenebilir bir kişiyle ilişkilendirilip ilişkilendirilemediğine bakılır. Kullanıcının adının bilinmemesi, onu ayırt eden tanımlayıcıyla hareketlerinin bir araya getirilmesini kendiliğinden kişisel veri işlemenin dışına çıkarmaz. Kimliğin bir kodla izlenmesi ile kişiyle bağın ortadan kaldırılması arasındaki ayrım burada da geçerlidir. Kanunun 4 ve 5. maddeleri uyarınca, kişisel veri içeren her kullanım için amacı ve işleme şartını belirlemek gerekir. Kurumun Çerez Uygulamaları Hakkında Rehberi bu değerlendirmeye yol gösterir; rehberdeki teknik sınıflandırmalar kanuna yeni bir işleme şartı eklemez.⁹

Rehber, yalnız haberleşmenin sağlanmasına hizmet eden kullanımla, kullanıcının açıkça talep ettiği hizmet için kesinlikle gerekli kullanımı ayrı ölçütlerle ele alır. Sepetteki ürünlerin işlem boyunca hatırlanması buna örnek olabilir. Ancak “hizmeti geliştirme” ifadesiyle bütün izleme faaliyetlerini gerekli saymak mümkün değildir. Kanunun 5/2-c hükmündeki doğrudan ilişki ve gereklilik şartları veya 5/2-f hükmünün koşulları somut kullanımda gösterilmelidir. İşletmenin bir çerezden yarar sağlaması, onun her kullanımının meşru menfaat şartına dayandığı anlamına gelmez. Doğan da çerezin türü ve kullanım alanına göre kanuni şartın her işlem bakımından incelenmesi gerektiğini belirtir.¹⁰

Analitik kullanım bu ayrımın dikkatle kurulmasını gerektirir. Bir sitenin teknik aksaklıklarını veya ziyaretçi yoğunluğunu ölçmesi ile kişileri siteler arasında izleyerek reklam profili oluşturması aynı faaliyet değildir. Temmuz 2025 rehberi, hizmetin işleyişi ve günlük yönetimiyle sınırlı birinci taraf analitiğini ayrı değerlendirir. Bu açıklama, adı “analitik” olan her aracın rızasız kullanılabileceği biçiminde okunamaz. Rehberin üzerinde durduğu amaç sınırı, anonim istatistik üretimi ve siteler arasında çapraz takip yapılmaması birlikte dikkate alınmalıdır. IP adresinin kısmen gizlenmesi kimliğin belirlenmesi riskini azaltabilir; fakat elde kalan bilgilerin başka kayıtlarla bağlantısı sürüyorsa tek başına anonimleştirme sonucunu kanıtlamaz. Burada 2.6’da açıklanan maskeleme ve anonimleştirme ayrımı korunmalıdır.¹¹

Kurulun 10 Mart 2022 tarihli ve 2022/229 sayılı kararı da işletmenin kullandığı adlandırmayla yetinilmemesi gerektiğini gösterir. İncelenen olayda müşteri deneyimi ve meşru menfaat gerekçeleri ileri sürülmüş; buna karşılık Kurul, kesinlikle gerekli olmayan kullanımlar için başka bir işleme şartı bulunmuyorsa açık rıza alınmasını istemiştir. Çerez politikasının gösterilmesi ve tarayıcı ayarlarına yönlendirme, başlangıçta çalışmaya başlayan bu araçlar için yeterli bulunmamıştır. Karar, kullanıcı tercihlerini hatırlatan işlevin de gerçekten talep edilmiş hizmet bakımından gerekli olup olmadığının incelenmesini aramaktadır. Dolayısıyla, belirli bir karardaki çerez kategorilerini bütün teknik yapılandırmalar için değişmez bir listeye dönüştürmekten kaçınmak gerekir.¹²

Reklam ekosisteminde izleme, tek site ile kullanıcı arasındaki ilişkiyi aşabilir. Yayıncı, reklam veren, reklam ağı ve veri analitiği sağlayıcısı farklı işlevler üstlenebilir; bir sitedeki hareketler başka kaynaklardan gelen bilgilerle birleştirilebilir. Irmak bu aktörleri ve aralarındaki veri akışını, kişiselleştirilmiş reklamın işleyişi içinde ele almaktadır. Bu sebeple, yalnız “üçüncü taraf hizmeti kullanıyoruz” açıklamasıyla yetinilemez. Hangi aktörün hangi veriyi aldığı ve kendi amaçları için kullanıp kullanmadığı belirlenmelidir. Bir reklam aracının yerleştirilmesine verilen rıza da amaçları açıklanmayan bütün sonraki kullanımlara genel izin oluşturmaz.¹³

Çerezlerin kaldırılması, bütün çevrim içi izleme faaliyetlerinin sona erdiğini göstermez. Piksel, cihaz parmak izi veya uygulamaya eklenen yazılım bileşenleri gibi farklı araçlarla kişisel veri işlendiğinde, değerlendirme kullanılan aracın adı yerine gerçek veri akışına yönelmelidir. Çerez Rehberi piksel, parmak izi ve benzeri teknolojilere ilişkin yönlendirmeyi kapsamı dışında bırakır; bu sınır, söz konusu araçları Kanundan istisna hâline getirmez. İlgili kişiyle bağ, işleme amacı, hukuki şart ve veri alıcısı her araç için ayrıca belirlenir. Yurt dışındaki bir alıcıya veri iletilmesi veya erişim açılması söz konusuysa, rıza tercihinden ayrı olarak 13. bölümdeki aktarım incelemesi de gerekir.¹⁴

Mobil uygulamadaki cihaz izni de hukuki değerlendirmeyi tek başına tamamlamaz. Telefonun konum bilgisine erişimi açmak, bu bilginin hangi şirket tarafından, hangi süreyle ve hangi amaçla kullanılacağı hakkında verilmiş bir karar olmayabilir. Teknik erişim izninin açık rıza yerine kullanılabilmesi, kanuni rıza unsurlarını gerçekten karşılamasına bağlıdır. Kurumun Mart 2025 tarihli tavsiyeleri, uygulamanın belirli işlevi için gerekli olmayan konum veya mikrofon izinlerinin reddedilmesi hâlinde de uygulamanın kullanılabilmesini önemsemektedir. Aynı belge, üçüncü tarafların ihtiyaçları için istenen erişimlerin ayrıca değerlendirilmesine dikkat çeker.¹⁵

Örneğin, varsayımsal bir alışveriş uygulaması kullanıcının teslimat adresini elle girmesine imkân tanırken yakındaki mağazaları göstermek için anlık konum seçeneği sunabilir. Bu işlevin kullanıcı tarafından seçilmesi, konumun sürekli toplanıp reklam ağına gönderilmesine de izin verildiğini göstermez. Konum erişiminin zamanı, işlevle ilişkisi ve sonraki kullanımı ayrılmalıdır. Benzer şekilde, sitedeki teknik trafik ölçümünün reklam ortaklarına veri gönderilmeden yapılabilmesi ile aynı ziyaretçinin farklı sitelerde izlenmesi farklı değerlendirmeler gerektirir. Uygun tercih düzeni kurulabilmesi için önce bu ayrımların veri akışında gerçekleşmesi gerekir; yalnız ekrandaki seçeneklerin adlarını değiştirmek yeterli değildir.

26.3. Rıza arayüzleri, yanıltıcı tasarımlar ve tercihin geri alınması

Bir tercih ekranında kabul ve ret seçeneklerinin bulunması, bu seçeneklerin kullanıcıya gerçekten sunulduğunu tek başına göstermez. Kabul düğmesi ilk bakışta görülürken ret yoluna ancak başka menülerden geçilerek ulaşılabiliyorsa, ekranda yazanlarla kullanıcının izleyebildiği yol arasında fark doğar. Benzer şekilde, bir işlem için verilen onayın başka veri kullanımlarına da izin sayılması, tıklamanın anlamını değiştirir. Arayüzün hukuki değerlendirmesi bu nedenle yalnız metin üzerinde yapılamaz; kullanıcının bilgilendirilmesinden kararının uygulanmasına kadar izlediği işlem akışı da incelenmelidir. Kanunun 3/1-a hükmündeki rıza unsurları ile 4. maddedeki dürüstlük ilkesi ve 10. maddedeki aydınlatma yükümlülüğü, aynı ekranın farklı yönlerini ilgilendirir.¹⁶

Öğretide “karanlık tasarım” veya “aldatıcı tasarım” olarak anılan uygulamalar, kullanıcıyı kendi beklentisine uygun olmayan seçimlere yönelten arayüzlerle ilişkilendirilmektedir. Bektaş ve Pektaş, önemli bilgilerin gizlenmesi ve bazı seçeneklerin öne çıkarılması gibi yöntemleri bu çerçevede değerlendirir. Bununla birlikte, her yönlendirme aynı nitelikte değildir. Bilginin anlaşılmasını ve kullanıcının tercih yapmasını kolaylaştıran bir düzenleme ile seçeneklerden birini fiilen görünmez kılan düzenleme ayrılmalıdır. Avrupa Veri Koruma Kurulunun sosyal medya arayüzlerine ilişkin 03/2022 sayılı rehberinin son sürümü de kullanıcıya yardımcı tasarımla aldatıcı tasarım arasındaki farkı vurgular. Bu belge, Türk hukukuna doğrudan uygulanacak bir yasak listesi değildir.¹⁷

Aydınlatma metninin okunduğunu gösteren kutuyla veri kullanımına verilen rıza da bu sebeple aynı işleme dönüştürülemez. Kurulun 15 Haziran 2023 tarihli ve 2023/1041 sayılı kararında, aydınlatmanın okunmasını sağlamaya yönelik zorunlu kutu ile isteğe bağlı pazarlama rızası ayrı değerlendirilmiştir. Pazarlama rızası verilmeden de satın alma ve üyelik işlemlerine devam edilebilmesi dikkate alınmıştır. Karar, her zorunlu kutunun rızayı sakatladığı sonucunu desteklemez. Buna karşılık aydınlatma kutusunun işaretlenmesinden, kişinin reklam amacıyla veri işlenmesini kabul ettiği de çıkarılamaz. Kutunun yanındaki açıklama kadar, onu işaretlememenin hangi işlemi engellediği önem taşır.¹⁸

Kararın alternatif satış kanalına ilişkin kısmı, seçeneğin görünürlüğünü ayrıca somutlaştırır. Kurul, karar tarihinde yapılan değişiklik sonucunda alternatif satış yolunun anlaşılmasının neredeyse imkânsız hâle geldiğini saptayarak bu yolun üyelik ve satış ekranlarında açık gösterilmesini istemiştir. Bu değerlendirme, sayfanın başka bir yerinde teorik olarak bulunan bilginin her zaman yeterli olmadığını gösterir. Kararın o tarihteki yurt dışına aktarım koşulları güncel aktarım rejimine taşınamaz; burada önemli olan, mevcut seçeneğin kullanıcı tarafından anlaşılabilir ve izlenebilir olmasıdır.¹⁸

İşlem akışının yanıltıcılığı bazen ekranın renginden değil, kullanıcının yaptığı harekete yüklenen gizli anlamdan kaynaklanır. Ödeme veya bilgi güncellemesi için istendiği söylenen SMS kodunun, gerçekte tanıtım izni almak için kullanılması buna örnektir. Kurulun 10 Haziran 2025 tarihli ve 2025/1072 sayılı ilke kararı, kodun amacı ve paylaşılmasının sonuçlarının açıklanmasını ve farklı faaliyetlere ilişkin onayların tek eylem altında birleştirilmemesini ister. 9.3’te incelenen bu uygulamanın arayüz bakımından sonucu, teknik doğrulama adımı ile kullanıcının hukuki tercihinin birbirine karıştırılmamasıdır. Ticari elektronik ileti rejimiyle ilişki ise 26.4’te ayrıca ele alınmaktadır.¹⁹

Çerez tercih panelinde de benzer bir ayrım gerekir. Kurumun Temmuz 2025 rehberi, kabul, ret ve tercih düğmelerinin renk, büyüklük ve punto bakımından eşit derecede sunulmasını iyi uygulama örneği olarak gösterir. Açık rızaya bağlı araçların başlangıçta pasif olması ve tercihin sonradan yönetilebilmesi de aynı değerlendirmede yer alır. Bu açıklamalar, yalnız düğme rengini değiştirmekle hukuka uygunluğun sağlanacağı anlamına gelmez. Seçeneklerin anlamı belirsizse veya reddedilen araçlar çalışmaya devam ediyorsa görsel denge hukuki eksikliği gidermez. Tersinden, rehberdeki iyi uygulama örneği de kanunda yazılı tek bir ekran şablonu gibi sunulmamalıdır.²⁰

Tercihi tekrar tekrar sormak da her durumda daha iyi bilgilendirme sağlamaz. Kullanıcı bir işlemi reddettikten sonra her ziyaretinde aynı talep karşısına çıkarılıyorsa, sonunda kabul etmesi kararlılıkla verilmiş yeni bir tercihten çok bu talepten kurtulma isteğinin sonucu olabilir. Rehber bu sorunu rıza yorgunluğuyla ilişkilendirir; her girişte yeniden rıza alınması yerine, ilgili çerezin ömrüyle orantılı hatırlatmayı değerlendirir. Buna karşılık amaç veya kapsam değiştiğinde eski tercihin yeni kullanımı kapsayıp kapsamadığını incelemek gerekir. Kullanıcının reddini aşındıran tekrar ile yeni durumu anlaşılır biçimde açıklamak aynı değildir.²⁰

Arayüzün görevi ilk kararın alınmasıyla bitmez. Kişinin daha önce verdiği rızayı geri alabileceği yere ulaşabilmesi gerekir. Sürekli görünür bir tercih bağlantısı veya kolay bulunabilir hesap ayarı bu amaca hizmet edebilir. Kurumun rehberinde de çerez yönetim paneline erişimin korunması ve geri alma için kullanılabilir bir araç sunulması üzerinde durulur. Tercih değiştirme yolunun yalnız hesabın tamamen kapatılması seçeneği içinde bulunması ise iki farklı kararı birbirine bağlar: kullanıcı belirli bir veri kullanımına son vermek isterken hizmet ilişkisinden bütünüyle çıkmaya yöneltilebilir. Böyle bir tasarım, geri alınan rızanın konusu ile işlemin sonucu birlikte değerlendirilerek incelenmelidir.²¹

Geri alma beyanı veri sorumlusuna ulaştığında, ona dayanan faaliyetlerin durması gerekir. Kurumun açıklamasına göre geri alma ileriye yönelik sonuç doğurur; veri sorumlusunun ayrıca uygun bulmasına bağlı bir izin başvurusu değildir. Bunun arayüzdeki karşılığı, tercihin değiştirilmesinin yalnız ekranda bir mesaj üretmesiyle yetinilmemesidir. Örneğin varsayımsal bir reklam paneli “tercihiniz kaydedildi” derken rızaya bağlı profillemeyi sürdürüyorsa, kullanıcıya gösterilen sonuç ile gerçek işleme birbirinden ayrılmış olur. Önceki geçerli rıza, bu sonraki kullanımı kendiliğinden haklı kılmaz.²²

Bütün verilerin aynı anda silinmesi ise farklı bir sorudur. Rızaya dayalı reklam kullanımı sona ererken geçmiş bir satış belgesinin bağımsız kanuni yükümlülük nedeniyle korunması gerekebilir. Bu saklama sebebi reklam kullanımına dönüş izni vermez; işlenmesini gerektiren sebepler ortadan kalkan veriler bakımından da Kanunun 7. maddesindeki imha yükümlülüğü ayrıca uygulanır. 9.6 ve 14. bölümdeki bu ayrımın tercih ekranına doğru yansıması gerekir. Kullanıcıya “rızanızı geri alamazsınız, çünkü kayıt tutmak zorundayız” demekle, belirli bir kaydın hangi amaçla tutulmaya devam edeceğini açıklamak aynı şey değildir.²³

Bu sebeple tercih düzeninin işlerliği, kullanıcının ekranda verdiği kararla sistemde gerçekleşen işlemin karşılaştırılmasıyla anlaşılabilir. Açıklanan amaç, kabul veya ret imkânı, geri alma yolu ve değişiklikten sonraki gerçek kullanım birbiriyle uyuşmalıdır. Kullanıcının ne gördüğünü göstermeyen yalın bir “onay alındı” kaydı bu incelemenin bütün sorularını cevaplamaz. Rızanın ispatı bakımından kullanılan açıklamanın ve tercihin kapsamının belirlenebilmesi önemlidir; bu amaçla kayıt tutulması da gereksiz kişisel verilerin süresiz saklanmasına gerekçe oluşturmaz.²⁴

26.4. SMS, ticari elektronik ileti onayı ve İYS ile veri koruma ilişkisi

Bir mesajın SMS yoluyla gönderilmesi, onun hangi hukuki kurala tâbi olduğunu açıklamaya yetmez. Siparişin teslim saatini bildiren mesaj ile yeni bir ürünü satın almaya çağıran mesaj aynı araçla iletilebilir. Buna karşılık, amaçları ve alıcının verdiği karar farklıdır. 6563 sayılı Kanun ticari elektronik iletiyi yalnız kısa mesajla sınırlamaz; sesli arama ve elektronik posta gibi araçları da kapsayan bir tanım kullanır. Bu nedenle önce iletinin içeriği, gönderilme amacı ve taraflar arasındaki ilişki belirlenmelidir. “Bilgilendirme” başlığı taşıması, bir reklam mesajını kendiliğinden hizmet bildirimine dönüştürmez.²⁵

Ticari elektronik iletilerde kural, alıcının önceden onayının alınmasıdır. İçerik de alınan onaya uygun olmalıdır. Bununla birlikte, ileti gönderimine ilişkin bu onay ile kişisel verinin işlenme şartı aynı soru değildir. Telefon numarasının hangi yolla elde edildiği, kimin numarası olduğu ve hangi amaçla kullanılacağı 6698 sayılı Kanun bakımından ayrıca değerlendirilir. Veri işlemek için bir kanuni şartın bulunması, ticari ileti onayının gerektiği durumda onu ortadan kaldırmaz; ticari iletiye onay verilmesi de numaranın bütün başka kullanımlarını haklı kılmaz.²⁶

Bu ayrım, her ilişkinin mutlaka aynı içerikte iki form imzalatılarak yürütüleceği anlamına gelmez. Esas olan, somut beyanın hangi işlemleri kapsadığı ve her düzenlemenin aradığı koşulları sağlayıp sağlamadığıdır. Şahin, üçüncü kişi yararına sözleşmeleri incelerken, belirli sınırlar içindeki ileti onayının veri işlemeye rızayı da kapsayabileceğini savunur. Bu görüşün uygulanması, beyanın varlığından kapsamının varsayılmasına dönüşmemelidir. Kişinin neye izin verdiğini bilmesi ve seçiminin özgür olması gerekir. Satış sırasında verilen doğrulama kodundan başka amaçlar için izin çıkarılması sorunu, 9.3 ve 26.3’te açıklanan ayrımı burada da gerekli kılar.²⁷

Her hizmet mesajı için ayrıca reklam onayı istenmesi de doğru değildir. Alıcının iletişim bilgisini vermesi üzerine temin edilen mal veya hizmetin değişiklik, kullanım ve bakımına ilişkin iletiler ile Yönetmeliğin 6. maddesinde sayılan satın alma, teslimat, borç hatırlatma ve benzeri bildirimler için önceden onay aranmaz. Ancak ikinci gruptaki bildirimlerde mal veya hizmet tanıtılamaz ya da özendirilemez. Dolayısıyla teslimat haberine indirimli ürün çağrısı eklenmesi, bildirimin bu istisnadan yararlanmasını etkiler. Şahin’in de belirttiği üzere, ifaya ilişkin bir iletinin ticari elektronik ileti sayılması ile gönderimi için önceden onay aranması farklı meselelerdir.²⁸

Tacir ve esnaf alıcılar yönünden de önceden onay istisnası vardır; fakat ret hakkı korunur. Yönetmelik, bu alıcılara gönderimden önce iletişim adresinin İYS’ye kaydedilmesini ve ret durumunun kontrolünü öngörür. Bu istisna, bir gerçek kişinin numarasının elde edilmesi ve kullanılmasına ilişkin bütün veri koruma sorularını cevaplamaz. Tüzel kişinin iletişim adresiyle onun çalışanına ait numaranın aynı listede bulunması, iki kaydın kişisel veri bakımından aynı nitelikte olduğunu göstermez.²⁹

İleti Yönetim Sistemi (İYS), onay ve ret işlemlerinin ortak bir sistem üzerinden yönetilmesini sağlar. Genel onay rejiminde sistem dışında alınan onayın üç iş günü içinde İYS’ye kaydedilmesi gerekir; kaydedilmeyen onay geçersiz kabul edilir. Ancak sistemde bir kayıt bulunması, o kaydın dayandığı beyanın hukuken geçerli olduğunu tek başına kanıtlamaz. İlk kararın alınması, kayda geçirilmesi ve sonradan değiştirilmesi birbiriyle uyumlu olmalıdır. Hizmet bildirimleri bakımından Yönetmeliğin 6/5 hükmündeki İYS kontrolü istisnası da genel kural anlatılırken gözden kaçırılmamalıdır.³⁰

Kurulun 10 Şubat 2022 tarihli ve 2022/107 sayılı kararı bu sınırı somutlaştırmaktadır. Şirket, numaranın İYS’de kayıtlı olduğunu ve ilgili kişinin geçiş döneminde aksi yönde bildirim yapmadığını ileri sürmüştür. Kurul ise kayda temel oluşturacak ilişkinin veya veri işlemeye açık rızanın gösterilememesini dikkate almıştır. Ticari ileti mevzuatı yanında kişisel verilerin korunması hükümlerinin de uygulanacağını açıklamış; başka bir işleme sebebi yoksa hukuka aykırı işlenen verinin imhasını istemiştir. Karardaki geçiş dönemi savunması, bugün sisteme eklenen her kaydın sessizlikle geçerli olacağı biçiminde genelleştirilemez.³¹

Merkezî sistem, kişinin farklı işletmeler karşısındaki tercihlerini yönetmesini kolaylaştırabilecek bir araçtır. Buna karşılık işletmeler ve iletiyi gönderen teknik aracılar arasında tercihlerin tutarlı uygulanması gerekir. Balaban, İYS tasarımını değerlendirirken gönderim öncesi kontrollerin hız ve eş zamanlı çalışma bakımından yük doğurabileceğini, maliyetin tüketiciye yansıyabileceğini ileri sürer. Bu eleştiri, sistemin yalnız kayıt toplamakla değerlendirilmemesi gerektiğini gösterir; fakat uygulamadaki güçlük, geçerli onay veya ret şartını kaldıran bir istisna değildir.³²

Alıcı, gerekçe göstermeden ticari ileti almayı reddedebilir. Kolay ve ücretsiz ret imkânı her ticari iletide gösterilmeli; ret, bildirimin yapıldığı iletişim kanalına ilişkin onayı geçersiz kılar. İYS üzerinden de ret mümkündür. Hizmet sağlayıcı, kendisine ulaşan ret bildirimini üç iş günü içinde İYS’ye bildirir ve gönderimi üç iş günü içinde durdurur. Bu sürelerin bulunması, veri koruma hukukundaki rıza geri almasının etkisini ertelemez. Beyan aynı zamanda ilgili veri işleme rızasını geri alıyorsa, Kurumun açıklamasına göre ona dayanan faaliyet beyanın veri sorumlusuna ulaşmasıyla durmalıdır. Beyanın konusu ve ulaştığı an bu nedenle önemlidir.³³

Ret, bütün ilişki kayıtlarının aynı anda ortadan kaldırılmasını gerektirmez. Yönetmeliğin 13/2 hükmü, onay kayıtlarının geçerliliklerinin sona ermesinden, diğer ileti kayıtlarının ise kayıt tarihinden itibaren üç yıl saklanmasını öngörür. Bu kayıtların ispat ve yükümlülüğe uyum amacıyla tutulması, eski pazarlama listesinin etkin biçimde kullanılmasına izin vermez. Saklanan verinin amacı, kapsamı ve erişimi buna göre sınırlandırılmalı; bağımsız işleme sebebi kalmayan veriler için 14. bölümdeki imha kuralları uygulanmalıdır. Ret ayrıca mevzuat gereği yapılması zorunlu bildirimleri engellemez.³⁴

Örneğin, varsayımsal bir mağazanın reklam SMS’lerini reddeden müşteri, henüz teslim edilmemiş siparişinin haberini almaya devam edebilir. Ancak mağaza teslimat mesajına yeni kampanyasını ekleyerek reddi aşamaz. Müşterinin ret kaydını koruması da onun alışveriş profilini reklam için kullanmayı sürdürmesiyle aynı şey değildir. Bu olayda doğru ayrım, telefon numarasını tek başına “izinli” veya “izinsiz” diye etiketlemekle kurulamaz. Hangi ileti, hangi veri kullanımı ve hangi saklama amacı için hangi hukuki dayanağın bulunduğu birlikte belirlenmelidir.

26.5. Sadakat programları, müşteri doğrulama ve telefon numarasıyla işlemler

Sadakat programı, aynı alışveriş içinde farklı veri işleme amaçlarını bir araya getirebilir. Üyeliğin oluşturulması, kazanılan puanın hesaba yazılması, indirimden yararlanılması ve alışveriş geçmişinden reklam profili çıkarılması aynı işlem değildir. Bu nedenle müşterinin programa katılması, bütün bu kullanımların aynı hukuki dayanağa bağlandığını göstermez. Örneğin sözleşmenin ifası için gerekli olduğu ileri sürülen bir kayıt bakımından, Kanunun 5/2-c hükmündeki doğrudan ilişki ve gereklilik koşulları gösterilmelidir. Üyelik sözleşmesine bir veri kullanımının yazılması, onun ifa için gerekli olduğunu tek başına kanıtlamaz.³⁵

İndirimden yararlanmayı veri işlemeye rıza verilmesine bağlamanın özgür iradeye etkisi, programın temel alışveriş imkânıyla ilişkisine göre incelenmelidir. Kurulun 5 Temmuz 2019 tarihli ve 2019/198 sayılı kararında, programa katılmayan müşterilerin mağazadan alışveriş yapabildiği ve ürünlerin onlara indirimsiz fiyatla satıldığı dikkate alınmıştır. Kurul, somut programdaki ek menfaatin rızanın hizmetin ön şartı olarak dayatılması anlamına gelmediği sonucuna ulaşmıştır. Bu karar, sadakat programındaki her veri talebinin veya her fiyat farkının geçerli olduğu biçiminde okunamaz; incelenen soru, belirli programın rızayı koşul olarak dayatıp dayatmadığıdır.³⁶

Bu ayrımın karşısında, indirimin kaybedilmesinin müşterinin seçimini fiilen ne ölçüde etkilediği sorusu vardır. Polater, özgür iradeyi incelerken sosyal ve ekonomik baskının, rıza vermemenin ağır sonuçlarının ve gerçek seçeneklerin önemini vurgular. Aynı çalışmada, ağır külfet yaratmayan alternatifler ve sadakat kartları bakımından rızanın özgür kalabileceğini savunan görüş de aktarılmaktadır. Dolayısıyla yalnız “üyelik isteğe bağlıdır” cümlesiyle veya tersinden her ekonomik avantajı baskı sayarak sonuca gidilemez. Rızanın konusu, istenen verinin kapsamı ve programa katılmamanın gerçek sonucu birlikte değerlendirilmelidir.³⁷

Programın veri kullanımı, ilk katılım kararından sonra da bu sınırlar içinde kalmalıdır. Puanın hesaplanabilmesi için alışverişin hesaba işlenmesi ile bu geçmişten kişinin özel hayatına ilişkin yeni sonuçlar çıkarılması farklı amaçlar taşıyabilir. Yücedağ, sadakat kartı üzerinden alışveriş alışkanlıklarının incelenmesi örneğinde, genel teklif ve indirim beklentisini aşan hamilelik tahminini sonraki kullanımın sınırı bakımından ele alır. Burada belirleyici olan, bütün sonuçların aynı alışveriş kayıtlarından üretilebilmesi değildir; başlangıçta açıklanan ve hukuken dayanılan kullanımın sonraki işlemi gerçekten kapsayıp kapsamadığıdır. Kişisel veri karşılığı hizmetlere ilişkin 26.1’deki gereklilik tartışması da bu sebeple üyelik sözleşmesinin adına indirgenemez.³⁸

Telefon numarasıyla hesabın bulunması ise başka bir sorunu ortaya çıkarır: hesabın bulunabilmesi, kasada işlem yapan kişinin bu hesabı kullanmaya yetkili olduğunu göstermez. Bir numarayı bilen üçüncü kişi, kendi alışverişini başkasının hesabına bağlatabilir. Böylece yalnız puan veya indirim etkilenmez; satın alınan ürünler yanlış kişiye ait geçmişin parçası hâline gelebilir, onun adına belge düzenlenebilir. İşlemin gerçekten gerçekleşmiş olması, doğru kişiye ilişkin kaydedildiği anlamına gelmez. Bu durumda doğruluk ilkesi, kaydın kişiyle kurduğu ilişkinin de incelenmesini gerektirir.³⁹

Kurulun 11 Şubat 2026 tarihli ve 2026/266 sayılı ilke kararı bu uygulamayı ele almaktadır. Karar, kişinin bilgisi ve rızası dışında numarasının üçüncü kişi tarafından bildirilmesiyle hesabından işlem yapılmasını hukuka aykırı bulur; hatalı müşteri kaydı ve fatura ilişkilendirmesini doğruluk ilkesiyle bağdaştırmaz. Kartın başkasına kullandırılmaması yükümlülüğünün üyelik sözleşmesinde müşteriye bırakılması da veri sorumlusunun güvenlik yükümlülüğünü kaldırmaz. Bu nedenle işletme, numarayı söyleyen kişinin doğruyu bildirmesini beklemekle yetinemez; işlemin hesap sahibinin bilgisi ve onayı içinde olduğunu doğrulayacak bir düzen kurmalıdır.⁴⁰

Bu düzenin tek biçimi her işlemde SMS kodu istemek değildir. Kararda fiziki kart, şifre, barkod veya QR kod gibi farklı araçlar ile kişinin hesabı üzerinden belirli işlem türleri için önceden tercih bildirmesi de yer alır. Yaş, teknolojiye erişim ve kullanım becerisi farklılıkları gözetilerek alternatifler sunulabilir; puan kazanma ve puan harcama gibi işlemler için riskle uyumlu farklı yöntemler seçilebilir. Önemli olan, yalnız kullanılan aracın adı değil, seçilen yöntemin izinsiz kullanımı önleme işlevini yerine getirmesidir. Önceden verilmiş bir tercih de kapsamı dışındaki başka işlemleri kendiliğinden kapsamaz.⁴⁰

Karardaki takvim ayrıca dikkat gerektirir. 28 Şubat 2026 tarihli Resmî Gazete’de yayımlanan ilke kararında başlangıçta altı aylık uyum süresi öngörülmüştür. Ancak Kurulun 22 Temmuz 2026 tarihli ve 2026/1491 sayılı kararıyla bu süre 28 Şubat 2027’ye uzatılmıştır. Bu süre, doğrulama mekanizmalarının oluşturulmasına ilişkindir; Kanunun doğruluk, işleme şartı ve veri güvenliği hükümlerinin uygulanmasını bütünüyle erteleyen bir izin olarak yorumlanamaz. Süre uzatımı ile mevcut hukuki yükümlülükler ayrı değerlendirilmelidir.⁴¹

Güvenliğin sağlanması daha fazla verinin sınırsızca toplanmasını da haklı kılmaz. Kurulun 1 Ekim 2019 tarihli ve 2019/294 sayılı kararında, sadakat hesabının kullanıcı adı ve parolasının değiştirilmesi için istenen arkalı önlü kimlik görüntüsü incelenmiştir. Kurul, kimliğin teyidi için ek bilgi istenmesini yerinde bulmakla birlikte, daha az veriyle doğrulama mümkünken din ve kan grubu bilgilerini de içeren görüntünün alınmasını ölçüsüz bulmuştur. Kararın güncel uygulamaya taşınabilecek ayrımı, doğrulama ihtiyacı ile bunun için seçilen verinin kapsamının ayrı incelenmesidir. Kararın eski özel nitelikli veri rejimine ilişkin sonucu güncel 6. maddenin yerine konamaz.⁴²

Aynı sınır, doğrulama kodunun anlamında da korunmalıdır. Kodu paylaşmak hesabın belirli işlemde kullanılmasını doğrulayabilir; fakat müşterinin reklam almayı veya yeni bir profilleme faaliyetini kabul ettiğini kendiliğinden göstermez. 26.3 ve 26.4’te açıklanan amaç ve beyan ayrımı burada somut sonuç doğurur. Varsayımsal bir mağazada müşteri kodu indirimini kullanmak için bildiriyorsa, sistemin aynı eylemi açıklanmayan bir pazarlama iznine dönüştürmesi doğrulama işleviyle gerekçelendirilemez. Kullanıcıya açıklanan işlem, verilen yetki ve hesaba gerçekten yazılan sonuç birbirine uygun olmalıdır.⁴³

26.6. Sosyal medya, arama motorları, haber arşivleri ve kullanıcı içerikleri

Bir kişinin sosyal medyada görünen fotoğrafının başka bir hesapta yeniden yayımlanması, ilk paylaşımın basitçe devamı sayılmaz. Yeniden paylaşan kişi, görseli başka bir açıklamayla, başka bir topluluğa veya farklı bir amaçla sunabilir. Ekran görüntüsü alınması da paylaşımı, ilk hesabın sonradan değiştirebildiği ayarlardan bağımsızlaştırabilir. Kişisel veri işleme bakımından önemli olan yalnız görüntünün internette bulunması değil; kimin, hangi bilgiye, hangi amaçla ve hangi erişim çevresi içinde yer verdiğidir. Kanunun 3. maddesindeki işleme tanımı, açıklama ve aktarılma gibi işlemleri de içerir.⁴⁴

Alenileştirme şartı bu sebeple “internetten alınan veri serbestçe kullanılabilir” biçiminde okunamaz. Kanunun 5/2-d hükmü, verinin ilgili kişinin kendisi tarafından alenileştirilmesini arar. Kurumun açıklaması, herkesçe erişilebilir olmayı kişinin alenileştirme iradesinden ayırmakta; irade bulunsa bile kullanımın açıklama amacıyla ilişkisini incelemektedir. Sosyal medya hesabında iletişim bilgisini yayımlamak, bu bilginin başka bir işletmenin reklam listesine alınmasına kendiliğinden dayanak oluşturmaz. Başkasının kişiye ait bir bilgiyi açığa çıkarması da ilgili kişinin kendi alenileştirmesi olarak kabul edilemez.⁴⁵

Kullanıcı hesabının kişisel olması, bütün paylaşımların Kanunun kapsamı dışında kalmasını sağlamaz. 28/1-a hükmündeki istisna, tamamen kişinin kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler yanında, üçüncü kişilere vermeme ve veri güvenliği koşullarını da içerir. Bu nedenle bir aile içi kaydın tutulması ile bu kaydın herkese açık bir hesapta yayımlanması aynı kapsam değerlendirmesine tâbi tutulamaz. İstisnanın koşulları bulunmuyorsa somut paylaşımın işleme şartı ve genel ilkeler yönünden incelenmesi gerekir. Kanunun uygulanmaması ile başka hukuki koruma yollarının bulunmaması da aynı sonuç değildir.⁴⁶

Kurumsal hesaplarda ise bir duyurunun işletmenin menfaatini korumak için yapıldığı açıklaması tek başına yeterli olmaz. Kurulun 21 Nisan 2022 tarihli ve 2022/386 sayılı kararında şirket, eski çalışanı hakkındaki duyuruyu müşterileri bilgilendirme ve kendisine yöneltilen açıklamalara karşılık verme gerekçeleriyle savunmuştur. Kurul, kişinin adı ve ithamların yalnız müşterilere değil herkese açık hesapta yayımlanmasını ölçülülük yönünden değerlendirmiş; somut bir işleme şartının gösterilmemesini de dikkate almıştır. Karar, taraflar arasındaki uyuşmazlığın varlığı ile o uyuşmazlığın herkese açıklanmasının hukuki dayanağını ayırmaktadır.⁴⁷

Aynı içerik bakımından paylaşımı yapan kullanıcı, hesabı kurumsal amaçla yöneten işletme, platform ve arama motoru tek bir aktör gibi ele alınmamalıdır. Her birinin hangi işlem için amaç ve vasıtaları belirlediği sorulmalıdır. Bir işletme, duyuruyu kendi hesabında yayımlamasından doğan değerlendirmeyi sırf başka bir şirketin platformunu kullandığı gerekçesiyle ortadan kaldıramaz. Platformun içerikle ilgili işlemleri ise kullanıcının kendi paylaşımından ayrı belirlenir. Kurulun 2020/481 sayılı kararında arama motorunun indeksleme ve sonuç sunma faaliyetini ayrıca işleme sayması, bu ayrımın arama hizmeti bakımından somut örneğidir.⁴⁸

İçeriğe karşı yapılacak talebin de bu işlem ayrımına uyması gerekir. Kullanıcı kendi gönderisini kaldırabilir; fakat başka hesaplara kopyalanmış görseller veya bir yayıncının sayfasındaki metin farklı kayıtlar olarak kalabilir. Arama motorundan kişinin adıyla bulunan bağlantının çıkarılması ise bu kayıtların tamamını silmek anlamına gelmez. Bu sebeple talepte hangi sayfa, hangi paylaşım veya hangi adla arama sonucunun hedeflendiği belirlenmelidir. 18.5’teki araç ayrımının burada pratik karşılığı, tek bir kaldırma işleminin farklı aktörlerin bütün kayıtlarında aynı sonucu doğurduğunun varsayılmamasıdır.⁴⁸

Haber arşivi, kullanıcının tek seferlik paylaşımından farklı bir işlev taşıyabilir. Özüdoğru, arşivin eğitim, tarihsel araştırma ve kamusal hafızaya katkısını vurgularken, kişinin geçmişinin adıyla sürekli bulunmasının yarattığı karşı etkiyi de tartışır. Bu yaklaşım, yalnız yayının artık kişiyi rahatsız etmesinden hareketle arşivin kaldırılmasını savunmaya karşı güçlü bir gerekçe sunar. Bununla birlikte arşiv değeri, kişinin adının her erişim biçiminde korunmasını zorunlu kılmaz. Kaydın bütünlüğüne etkisi daha sınırlı bir tedbirin koruma ihtiyacını karşılayıp karşılamadığı somut olayda incelenmelidir.⁴⁹

İfade özgürlüğü kapsamında işleme istisnasının uygulanması da yayına “haber” denmesiyle tamamlanmaz. Kanunun 28/1-c hükmünde belirtilen amaç ve sınırlar birlikte ele alınmalıdır. Kurumun Nisan 2025 kitapçığı, kaynak içeriğe ilişkin incelemede kamu yararı, gerçeklik, güncellik ve özüyle biçimi arasındaki denge üzerinde durmaktadır. Bir soruşturmanın açıldığını tarihli biçimde haber vermekle, yıllar sonra kişinin suçluluğu kesinleşmiş izlenimi veren bir sunumu sürdürmek farklı değerlendirmeler gerektirebilir. Buradaki ölçütlerin genel açıklaması 18.6’da yer almaktadır; arşiv uygulamasında önemli olan bunların gerçek metne ve sunum biçimine uygulanmasıdır.⁵⁰

Örneğin varsayımsal bir olayda, eski tarihli bir haberin ekran görüntüsü yeni bir sosyal medya paylaşımında tarih bölümü kesilerek sunulmuş olsun. Kaynak haber tarihsel bağlamını korurken yeni paylaşım olayın şimdi yaşandığı izlenimini doğurabilir. Bu durumda kaynağın doğruluğuna dayanmak, yeni paylaşımın oluşturduğu izlenimi tek başına açıklamaz. Hangi bilginin hangi kişiyle ilişkilendirildiği ve paylaşımın bütününün ne anlattığı incelenmelidir. Kaynağın, yeniden paylaşımın ve arama sonucunun ayrı belirlenmesi, doğru muhataba yönelen ve gerekli kapsamı aşmayan bir talep kurulmasını sağlar.⁵¹

26.7. Otel kimlik kayıtları, kamera, apartman ve site yönetimi örnekleri

Bir otelin müşterisinin kimliğini doğrulaması ile kimlik belgesinin fotokopisini saklaması farklı işlemlerdir. 1774 sayılı Kimlik Bildirme Kanununun 2. maddesi konaklayanların kimlik ve geliş–ayrılış kayıtlarını düzenler. Uygulama Yönetmeliğinin 5 ve 23. maddeleri de resmî belgeyle doğrulama ve kayıtlama ilişkisini kurar. Kurulun 6 Kasım 2025 tarihli, 2025/2120 sayılı ilke kararı, gerekli kimlik bilgilerinin kaydını hukuka uygun bulurken T.C. kimlik belgesi fotokopisinin alınmasını dayanağı bulunmayan, aşırı veri işleme olarak değerlendirmiştir. Fatura ve günlük müşteri listesi yükümlülükleri de fotokopi saklama yetkisi vermez. Karar, uygulamanın bırakılmasını ve önceki fotokopilerin Kanunun 7. maddesine uygun imhasını istemektedir.⁵²

Buradaki ayrım, kimlik bildirme yükümlülüğünün ortadan kalkması değildir. İşletmeci, doğrulama için gördüğü belgenin tamamını ayrıca arşivlemek yerine, kanuni işlemin gerektirdiği bilgileri kaydetmelidir. Kanuni kayıtla belgenin görüntüsü aynı veri bütünü sayılırsa, yükümlülüğün kapsamı işletmenin teknik tercihine göre genişler. Bu sebeple resepsiyon yazılımının belge taramaya elverişli olması, taramanın hukuki gerekçesi olamaz. Kimlik doğrulamanın genel sorunları bakımından 26.5’te yapılan ayrım burada da geçerlidir.

Konaklama ilişkisindeki diğer kayıtların amacı ayrıca belirlenmelidir. Rezervasyonun yürütülmesi, ödeme belgesinin düzenlenmesi ve tanıtım mesajı gönderilmesi aynı müşteri hesabında birleşebilir; fakat birinin gerektirdiği veri diğerinin dayanağını oluşturmaz. Örneğin konaklama işlemi için alınmış telefon numarasının reklam listesine aktarılmasında, başlangıçtaki toplama gerekçesiyle yetinilemez. Aynı şekilde, bir kaydın kanunen saklanması gerekiyorsa bunun sonucu, o kayda bütün çalışanların sürekli erişebilmesi değildir. Amaç sınırlılığı ile erişim güvenliği birlikte gözetilmelidir.⁵³

Güvenlik kamerası bakımından en güçlü gerekçe, kişilerin ve malvarlığının korunması, olayın aydınlatılması ve delilin kaybolmasının önlenmesidir. Bu ihtiyaç, özel hayat üzerindeki etkiyi önemsiz kılmaz. Doğu, kamera uygulamasında güvenlik amacıyla kişisel veri işleme şartlarını birlikte ele almakta; belirsiz bir gelecekte yararlı olabileceği düşüncesinin ölçülülük bakımından yeterli olmadığını belirtmektedir. Öyleyse somut bir güvenlik ihtiyacının bulunması ile her yerin sürekli kaydedilmesinin gerekli olması ayrı sorulardır. Kanunun 5/2-f hükmündeki meşru menfaat şartına dayanılacaksa, işlemenin zorunluluğu ve ilgili kişinin temel hak ve özgürlüklerine zarar vermeme koşulu gösterilmelidir. Kamera sayısı, görüş alanı ve kayıt işlevi bu inceleme içinde değerlendirilmelidir.⁵⁴

Apartman veya sitede kamera kurulmasına ilişkin yönetim kararı da tek başına bütün veri işlemlerini hukuka uygun hâle getirmez. Kurumun apartman kameralarına ilişkin açıklaması, Kat Mülkiyeti Kanununa uygunluk ile kişisel veri işleme dayanağını birlikte aramaktadır. Açıklamada dar görüş açısı, gereksiz alanların maskelenmesi, ses kaydı ve yüz tanıma özelliklerinden kaçınılması vurgulanır. Kapı açıldığında konutun içini gösteren yerleşimlere karşı uyarı yapılır; dar ve kaçınılması güç asansörlerde ayrıca açık gerekçe aranır. Kayıtların gereksiz uzatılmaması, olay hâlinde yalnız ilgili kaydın hukuki süreç boyunca tutulması, yetkili erişim ve aydınlatma da aynı yaklaşımın parçalarıdır.⁵⁵

Buradan her kamera için tek bir saklama süresi veya her kurulum için değişmez bir karar yeter sayısı çıkarılamaz. Kat Mülkiyeti Kanununun ortak yerde tesis ve yönetim kararlarına ilişkin hükümlerinin somut uygulaması, kişisel verilerin işlenme şartından ayrı incelenmelidir. Maliklerin bir karar üzerinde uzlaşması, kiracı ve ziyaretçilerin görüntüleri üzerinde sınırsız tasarruf sağlamaz. Aydınlatma levhası da kayıt için eksik olan hukuki sebebin yerine geçmez. Örneğin yöneticiye tanınan erişimin, bütün maliklerin telefonlarından canlı görüntü izleyebilmesi şeklinde genişletilmesi, ayrıca gerekçelendirilmesi gereken yeni bir erişim düzenidir. Görüntünün belirli kısmını maskelemek ise 2.6’da açıklanan anlamda her durumda anonimleştirme değildir; geriye kalan görüntüden kişi belirlenebiliyorsa Kanun uygulanmaya devam eder.⁵⁶

Toplu yapı yönetiminde mali bilgilerin paylaşılması da alıcının hukuki ilişkisine göre değerlendirilir. Kurulun 29 Eylül 2020 tarihli, 2020/755 sayılı karar özetinde, kiracının aidat borcunun talebi üzerine ev sahibine bildirilmesi ele alınmıştır. Kat Mülkiyeti Kanununun 22. maddesindeki ortak gider sorumluluğu dikkate alınarak paylaşım, bir hakkın tesisi, kullanılması veya korunması şartıyla ilişkilendirilmiştir. Bu gerekçe, belirli borçtan hukuken etkilenen kişiye bilgi verilmesine ilişkindir; borçlunun durumunun bina ziyaretçilerine de duyurulmasına izin vermez.⁵⁷

Nitekim 18 Şubat 2026 tarihli, 2026/348 sayılı ilke kararı, aidat ve benzeri borçları içeren listelerin giriş, asansör ve koridor gibi ortak yerlere asılmasını hukuka aykırı bulmuştur. Maliklerin yönetim hesabını öğrenme ihtiyacı saklı tutulmakla birlikte, muhatabı belirsiz kişilere ifşa farklı değerlendirilmiştir. Karar, mevcut listelerin kaldırılmasını ve yalnız ilgililerin erişebildiği yöntemlerin kullanılmasını istemektedir. Kapalı e-posta veya mesajlaşma grupları ile özel uygulamalar bu çerçevede örneklenmiştir.⁵⁸

Bir iletişim aracının kapalı olarak adlandırılması, erişimin gerçekten sınırlandığını tek başına göstermez. Örneğin taşınan kişinin grupta kalması veya yeni katılanın önceki bütün borç yazışmalarını görmesi, alıcı çevresi denetiminin önemini ortaya koyar. Yönetimin hesap verme yükümlülüğünü yerine getirmesi için gerekli mali bilgi ile borçluyu teşhir etmeye yarayan ayrıntı ayrılmalıdır. Böylece bilgi akışı tümüyle engellenmeden, kime ve hangi hukuki ihtiyaç için açıklama yapıldığı belirlenebilir. Otel kaydında olduğu gibi toplu yapı yönetiminde de gündelik işleyişin kolaylığı, kanuni görevin sınırlarını genişletmez.