İnternetten Veri Toplamak (Scraping) Yasal mı? Kamuya Açık Veride Alenileştirme, Potansiyel Müşteri Listeleri ve KVKK

Kısa cevap: veri kazımanın kendisi yasak değil, ama içinde kişisel veri olan bir kazıma işleminin 6698 sayılı Kanun karşısında ayakta kalması pek kolay değil. Çoğu şirketin dayandığı gerekçe tek cümle: "Bu bilgiler zaten internette herkese açık." Kişisel Verileri Koruma Kurulu bu gerekçeyi kabul etmiyor. Kanun'un 5. maddesinin ikinci fıkrasının (d) bendi "ilgili kişinin kendisi tarafından alenileştirilmiş olması" şartından söz ediyor, "internette bulunabilir olması"ndan değil. Kurul, 1 Eylül 2022 tarihli ve 2022/861 sayılı kararında bir avukatın büro e-posta adresini arama motorlarından toplayıp yazılım tanıtımı gönderen pazarlama şirketine 150.000 TL idari para cezası verdi. Gerekçe kısa: e-posta adresi mesleki amaçla aleni hale gelmişti, reklam ve pazarlama amacıyla işlenmesine yönelik bir alenileştirme iradesi taşımıyordu.

Veri kazıma, bir internet sitesindeki içeriğin otomatik araçlarla sayfa sayfa dolaşılarak toplanması ve yapılandırılmış bir tabloya dönüştürülmesidir. Fiyat takibi yapan e-ticaret ekibi de bunu yapar, ilan sitelerinden portföy derleyen emlak yazılımı da, profillerden aday listesi çıkaran işe alım danışmanı da. Hukuki tabloyu belirleyen kazımanın kendisi değil, kazınan şeyin ne olduğu. Ürün fiyatı, stok durumu, hava durumu verisi kişisel veri değildir ve KVKK devreye girmez. Toplanan satırda bir gerçek kişinin adı, telefonu, e-postası, ilan geçmişi ya da profil fotoğrafı varsa Kanun'un 3. maddesindeki tanım gereği kişisel veri işleniyor demektir. En yaygın yanılgı, ticari bağlamın veriyi kişisel olmaktan çıkardığını sanmak. info@sirket.com kurumsal bir adrestir; ad.soyad@sirket.com ise belirli bir gerçek kişiye ait iletişim verisidir ve Kurul kararlarında da böyle değerlendiriliyor.

Alenileştirme, hukukta "görülebilir olmak" demek değil. Kurum 16 Aralık 2020'de yayımladığı kamuoyu duyurusunda bu bendi iki unsura bağladı: irade ve amaç. Kişi verisini bilinçli biçimde kamuya açmış olmalı, ayrıca hangi amaçla açtığı belirlenebilmeli. Bir doktor muayenehane telefonunu sitesine hastaları ulaşsın diye koyar. Bir avukat büro e-postasını müvekkil başvurusu bekleyerek yayımlar. İkisi de kredi kartı kampanyası, tatil teklifi veya yazılım demosu için aranmayı kabul etmiş sayılmaz. Duyurunun cümlesi açık: alenileştirilmiş veri, alenileştirme amacını aşan şekilde işlenirse başka bir işleme şartına dayanılmadığı sürece Kanun'a aykırılık doğar. Yani (d) bendi geniş bir anahtar değil, dar bir kapı.

Kurul bu çizgiyi erken çekti. 7 Kasım 2019 tarihli ve 2019/331 sayılı kararda bir sigorta şirketinin finansal danışmanı, müşteri adayı bulmak için şikâyetçinin ad, soyad ve telefon numarasını internetteki bir siteden almış ve randevu talebiyle aramıştı. Şirketin savunması tanıdık geliyor: bilgiler halkın erişimine açık bir sitede duruyordu. Kurul, kişiyle mesleki yetkinliğinden yararlanmak için değil doğrudan şirketin kendi faaliyetini pazarlamak amacıyla iletişime geçildiğini tespit etti, işlemeyi hukuka aykırı buldu ve 100.000 TL idari para cezası uyguladı. Kararın öğrettiği ölçüt basit bir soruya dönüşüyor: bu kişi, telefonunu tam olarak şu an yaptığınız arama için mi paylaşmıştı?

2022/861 sayılı karardaki savunma bir başka yaygın hatayı gösteriyor. Pazarlama şirketi, alıcının ticari bir muhatap olduğunu ve tacir ile esnafa önceden onay alınmadan ticari elektronik ileti gönderilebileceğini ileri sürdü. İki nokta ters gitti. Birincisi, 1136 sayılı Avukatlık Kanunu kapsamında avukat tacir ya da esnaf sayılmıyor; istisna zaten olaya oturmuyordu. İkincisi ve asıl önemlisi, o istisna 6563 sayılı Kanun'un ticari iletişim rejimine ait; kişisel verinin toplanması ve işlenmesi için 6698'in aradığı şartı karşılamıyor. Ticari ileti mevzuatına göre onay gerekmemesi, KVKK'ya göre elinizde işleme şartı olduğu anlamına gelmez. İki mevzuat üst üste uygulanır ve biri diğerinin yerini almaz.

İspat yükü de veri sorumlusunda. 9 Aralık 2021 tarihli ve 2021/1243 sayılı kararda bir insan kaynakları firması, tanıtım e-postası gönderdiği adresin ilgili kişi tarafından alenileştirildiğini savundu. Kurul, adresin hangi mecrada, hangi yöntemle ve ne zaman alenileştirildiğine dair kanıtlayıcı hiçbir belge sunulmadığını tespit etti, açıklamaları hukuki dayanaktan yoksun buldu, 50.000 TL idari para cezası verdi ve verilerin imha edilerek imha kayıtlarının Kuruma iletilmesini istedi. Uygulamadaki karşılığı şu: kaynağını kaydetmeden topladığınız her satır, bir şikâyet geldiğinde savunmasız kalıyor. Hangi adresten, hangi tarihte, hangi sayfa görünümünden alındığı yazılı değilse "aleniydi" demenin bir hükmü yok.

Peki (d) bendi kapalıysa meşru menfaat çalışır mı? 5. maddenin ikinci fıkrasının (f) bendi, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için zorunlu olan işlemeye izin veriyor. Üç kelime belirleyici: zorunlu olmak, zarar vermemek, dengeyi kurmak. Soğuk satış listesi oluşturmak kural olarak bu testi geçemiyor, çünkü kişinin makul beklentisi bu yönde değil ve işleme veri sorumlusu açısından zorunluluk sayılmıyor. Dar ve savunulabilir kullanımlar yok değil; mevcut bir sözleşme ilişkisinde yürütülen dolandırıcılık kontrolü gibi hâllerde denge testi farklı sonuç verebilir. O zaman bile belge gerekiyor: yazılı bir menfaat testi, kapsamın sınırlı tutulduğunu gösteren bir kayıt ve 4. maddedeki ölçülülük değerlendirmesi. Testi yapmadan (f) bendini aydınlatma metnine yazmak, denetimde işe yaramıyor.

Kazımanın en sık atlanan yükümlülüğü aydınlatma. Kişisel veri ilgili kişiden değil üçüncü bir kaynaktan elde edildiğinde bu yükümlülük ortadan kalkmıyor, yalnızca zamanlaması değişiyor. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'in 6. maddesi üç an belirliyor: verilerin elde edilmesinden itibaren makul bir süre içinde, veri ilgili kişiyle iletişim amacıyla kullanılacaksa ilk iletişim anında, aktarılacaksa en geç ilk aktarımın yapılacağı anda. Kanun'un 10. maddesi ayrıca toplama yöntemini ve hukuki sebebini açıklamanızı istiyor; yani metninizde "internet üzerindeki kamuya açık kaynaklardan otomatik yöntemlerle" benzeri bir ifadenin geçmesi gerekir. Kurum 21 Temmuz 2026 tarihli kamuoyu duyurusuyla bu başlığı yeniden hatırlattı: üçüncü kişilerden elde edilen iletişim bilgilerinin reklam ve pazarlama amacıyla kullanılmasına ilişkin şikâyetler artmış durumda ve verinin üçüncü bir kaynaktan gelmiş olması tek başına işleme dayanağı yaratmıyor. Duyuruda bir ayrıntı özellikle değerli. Aydınlatma ile açık rıza ayrı işlemlerdir; rıza, aydınlatmadan sonra bağımsız bir irade beyanıyla alınır. Telefonu kapatmamak, görüşmeyi dinlemeye devam etmek ya da mesaja ret yazmamak rıza sayılmıyor.

Kazıyan taraf, o anda veri sorumlusu hâline gelir. Bu sıfat beraberinde kişisel veri envanteri, saklama ve imha politikası, 12. maddedeki teknik ve idari tedbirler, ilgili kişi başvurularını otuz gün içinde sonuçlandırma ve eşikleri aşıyorsanız VERBİS kaydı yükümlülüğü getirir. Hazır liste satın almak kurtarmaz; veriyi siz toplamasanız da işleyen sizsiniz. Piyasada dolaşan sorgu panelleri ayrı bir kategori. Kurul, 18 Ekim 2019 tarihli ve 2019/308 sayılı ilke kararında hukuka aykırı yollarla elde edilmiş veriler üzerinden vatandaşların kimlik ve iletişim bilgilerini sorgulamaya imkân tanıyan yazılımların avukatlık, finans, gayrimenkul ve sigortacılık alanlarında kullanıldığını tespit etti; bunu 12. maddeye aykırı buldu, kullanıcılar hakkında Ceza Muhakemesi Kanunu'nun 158. maddesi uyarınca Cumhuriyet başsavcılıklarına ihbarda bulunulmasına ve 18. madde kapsamında idari işlem tesis edilmesine karar verdi. Daha eskisi, 21 Aralık 2017 tarihli ve 2017/61 sayılı ilke kararı, numaradan isim sorgulatan rehber uygulamaları için faaliyetin durdurulmasını, sürmesi hâlinde erişimin engellenmesi için yetkili mercilere başvurulmasını ve Türk Ceza Kanunu'nun 136. maddesi kapsamında savcılığa bildirimde bulunulmasını öngörüyordu. 2026 rakamlarıyla tablo şöyle: aydınlatma yükümlülüğüne aykırılık 85.437 TL ile 1.709.200 TL, veri güvenliği yükümlülüklerine aykırılık 256.357 TL ile 17.092.242 TL, VERBİS kayıt ve bildirim yükümlülüğüne aykırılık 341.809 TL ile 17.092.242 TL arasında idari para cezası anlamına geliyor.

Ceza boyutu da masada. Türk Ceza Kanunu'nun 135. maddesi kişisel verilerin hukuka aykırı olarak kaydedilmesini bir yıldan üç yıla kadar hapisle, 136. maddesi bu verileri hukuka aykırı olarak verme, yayma veya ele geçirmeyi iki yıldan dört yıla kadar hapisle cezalandırıyor. Üyelik duvarının ya da oturum doğrulamasının aşılarak veri çekildiği hâllerde 243. maddedeki bilişim sistemine hukuka aykırı erişim de gündeme gelir. KVKK'nın dışında iki katman daha var. 5846 sayılı Fikir ve Sanat Eserleri Kanunu'nun ek 8. maddesi, içeriğin oluşturulmasına, doğrulanmasına veya sunumuna önemli bir yatırım yapan veri tabanı yapımcısına, içeriğin önemli bir kısmının ya da tamamının başka bir ortama aktarılmasını ve kamuya iletilmesini engelleme hakkı tanıyor; koruma on beş yıl sürüyor. Türk Ticaret Kanunu'nun 55. maddesi ise başkalarının iş ürünlerinden yetkisiz yararlanmayı haksız rekabet hâlleri arasında sayıyor ve pazarlanmaya hazır bir çalışma ürününü uygun bir katkı olmaksızın teknik çoğaltma yöntemleriyle devralmayı açıkça bu kapsama alıyor. İlan, portföy ya da rehber verisini olduğu gibi çeken projeler genellikle bu maddeyle karşılaşıyor. robots.txt dosyasına gelince, tek başına bir yaptırım doğurmuyor; ama site sahibinin iradesini gösteren bir kayıt ve kullanım koşullarıyla birlikte değerlendirildiğinde aleyhinize delil olabiliyor.

Bir de işin diğer yüzü var: kendi sitenizin kazınması. Üyelerinin profillerini herkese açık yayımlayan bir platform, bu sayfaların bot trafiğiyle toplu çekilmesi ihtimalini 12. madde kapsamında bir risk olarak ele almak zorunda. Tedbirler teknik ve sıradan. Oturum ve IP bazlı oran sınırlama, otomasyon tespiti, API uçlarında yetkilendirme ve kota, arka arkaya gelen toplu sorguların loglanıp alarma bağlanması, listeleme sayfalarında gösterilen alan sayısının azaltılması. Toplu bir çekim gerçekleştiğinde bu bir kişisel veri ihlalidir ve Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı uyarınca öğrenildiği tarihten itibaren yetmiş iki saat içinde Kuruma, makul olan en kısa sürede de etkilenen ilgili kişilere bildirilmesi gerekir. Yapay zekâ tarafı ise henüz oturmuş bir uygulamaya sahip değil. Kurumun 24 Kasım 2025'te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi genel ilkeleri ortaya koyuyor, fakat model eğitimi için yapılan web kazımasına ilişkin yayımlanmış bir karar özeti bulunmuyor. Bu boşluk serbestlik alanı değil; eğitim verisini kamuya açık kaynaklardan derleyen ekiplerin dayanağını şimdiden yazılı hâle getirmesi gerekiyor.

Elinizde satın alınmış bir liste varsa ya da arka planda çalışan bir toplama betiğiniz varsa, başlanacak yer üç soru: veri hangi kaynaktan ve hangi tarihte geldi, hangi işleme şartına dayanıyor, ilgili kişiye aydınlatma ne zaman yapıldı. Üçünden birine yazılı cevap veremiyorsanız liste kullanıldıkça risk büyüyor. KVKK Danışman'ın ücretsiz ön değerlendirmesinde veri kaynaklarınızı, pazarlama listelerinizin geçmişini, aydınlatma metnindeki toplama yöntemi ifadesini ve sitenizin bot trafiğine karşı aldığı tedbirleri birlikte gözden geçiriyoruz.

Randevu Al