Müşterinin Yorumuna Cevap Verirken Bilgilerini Paylaşmak KVKK İhlali mi? Ekran Görüntüsü, Google Yorumu ve Teşekkür Mesajı Paylaşmanın Sınırı

Kısa cevap: kural olarak evet. Müşteri yorumunu herkese açık bir yerde yazmış olsa bile, işletmenin verdiği cevapta o kişiyi tanınır kılan bilgileri yayımlaması 6698 sayılı Kanun anlamında bir kişisel veri işleme faaliyetidir ve bu işlemin 5. maddede sayılan şartlardan birine dayanması gerekir. Cevapta müşterinin adını, sipariş numarasını, randevu tarihini, adresini ya da ne satın aldığını yazdığınız anda dayanağı olmayan bir paylaşım ortaya çıkıyor. En sık duyulan savunma tam burada çöküyor. Önce o paylaştı cümlesi hukuki bir sebep değil. Kurumun 16 Aralık 2020 tarihli Alenileştirme Hakkında Kamuoyu Duyurusu, bir verinin aleni sayılabilmesi için ait olduğu kişinin aleni olmasını istemesi gerektiğini, alenileştirme eyleminin de kişinin verisini kamuoyu ile paylaşma amacıyla sınırlı kaldığını yazıyor. Yorum yazmak, işletmeye o kişinin müşteri kaydını açma yetkisi vermiyor. Cevap vermek serbest, cevapta veri açmak değil.

Ne kadar bilginin dışarı çıktığını görmek için tek bir cümleye bakmak yeterli. Sayın Ayşe K., 14 Mart tarihli siparişinizde teslimat adresini eksik girdiğiniz için ürün geç ulaştı diye başlayan bir cevap; kişinin adını, alışveriş tarihini, şirketle arasındaki müşteri ilişkisini ve adres bilgisini aynı anda kamuya açıyor. Sistemimizde böyle bir kaydınız bulunmuyor demek de bilgi vermektir, çünkü kişinin müşteri olup olmadığını teyit eder. Ekran görüntüleri ayrı bir başlık. Numarası karalanmış bir yazışma görüntüsünde profil fotoğrafı, konuşma saati, mesajın içeriği ve çoğu zaman kişinin rehberde kayıtlı adı olduğu gibi duruyor. Maskeleme sanıldığı kadar koruyucu değil; o yorumun altında kaç kişinin müşteriyi zaten tanıdığını siz bilemezsiniz.

Alenileştirme, Kanun'un 5. maddesinin ikinci fıkrasının (d) bendinde gerçek bir işleme şartı olarak duruyor, ama kapsamı dar. Kurumun duyurusundaki iki örnek sınırı net çiziyor. İnternette araç satış ilanı veren kişinin ilanda paylaştığı iletişim bilgisi yalnızca aracı satın alma ya da ilana ilişkin bilgi alma amacıyla kullanılabilir; sosyal medya hesaplarından elde edilen veriler reklam amaçlı kısa mesaj veya e-posta göndermek için kullanılamaz. Aynı mantık yorumlar için de işliyor. Müşteri deneyimini anlatmak için yazdı, kaydının yayımlanması için değil. Kişinin iradesi dışında kamuya düşmüş bir veri bakımından ise alenileştirmeden hiç söz edilemiyor. Bir sızıntı dosyasından ya da başka bir kullanıcının paylaşımından öğrendiğiniz bilgi bu bende dayandırılamaz.

Peki haksız bir suçlamaya karşı savunma yapılamaz mı? Yapılır, ama mecra belirleyici. Kanun'un 5. maddesinin ikinci fıkrasının (e) bendi, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olmasını işleme şartı sayıyor. Buradaki ölçü zorunluluk. Tüketici hakem heyetine verilen cevapta, mahkemeye sunulan dilekçede, Kuruma gönderilen savunmada ya da platformun kendi itiraz kanalında müşterinin kaydını göstermek bu kapsamda değerlendirilebilir. Yüz binlerce kişinin görebildiği bir gönderide aynı bilgiyi yazmak değerlendirilemez, çünkü hakkı korumak için gereken asgari yol bu değil. Kurul'un 21 Nisan 2022 tarihli ve 2022/386 sayılı kararı tam bu noktayı gösteriyor. Olayda bir şirket, iş akdi sona eren müdürünün açık ad ve soyadıyla birlikte usulsüzlük yaptığını ve işten atıldığını kurumsal sosyal medya hesabından duyurmuş. Kurul, paylaşımın Kanun'un 5. maddesindeki şartlardan hiçbirine dayanmadığını ve herkese açık bir platformun kullanılmasının 4. maddedeki ölçülülük ilkesine aykırı olduğunu değerlendirerek 30.000 TL idari para cezası uyguladı, ayrıca paylaşımdaki kişisel verilerin imha edilip sonucundan Kurula bilgi verilmesine karar verdi. İddianın doğru olup olmadığı tartışılmadı bile.

İkinci karar sektör fark etmeksizin aynı dersi veriyor. Kurul'un 27 Ocak 2020 tarihli ve 2020/58 sayılı kararına konu olan sigorta acentesi; müşterilerinin adlarını, adreslerini, maskelenmiş kimlik numaralarını, plakalarını, aracın markasını, modelini ve rengini, ödenecek prim tutarlarını Facebook ve Instagram hesaplarında reklam amacıyla paylaşmış. Karar metninde, müşterilerine ait kişisel verileri herkese açık sosyal medya platformlarında müşterilerinden habersiz olarak paylaşan veri sorumlusu hakkında Kanunun 18. maddesinin birinci fıkrasının (b) bendi kapsamında 22.500 TL idari para cezası uygulandığı yazıyor. Asıl ayrıntı şu: kimlik numarası maskelenmişti, sonuç değişmedi. Plaka, poliçe tutarı ve adres yan yana geldiğinde kişi zaten belirlenebilir hale geliyor. Rakam bugün küçük görünüyor olabilir, çünkü o tarihteki ceza aralıkları bugünkünün çok altındaydı.

Sağlık tarafında eşik daha aşağıda. Bir kliniğin yoruma cevaben size üç seans uygulama yaptık ya da randevunuza gelmediniz demesi, kişinin o kuruluşun hastası olduğunu teyit eder. Sağlık verisi Kanun'un 6. maddesinde özel nitelikli veriler arasında sayılıyor. Maddenin 1 Haziran 2024'te yürürlüğe giren yeni halinde işleme şartları arasında alenileştirme de var, ama bent iki şeyi birlikte arıyor: verinin ilgili kişi tarafından alenileştirilmiş olması ve işlemenin alenileştirme iradesine uygun olması. Memnun kalmadım yazan bir hasta, teşhisini ya da kaç seans tedavi gördüğünü alenileştirmiş sayılmaz. Kurul'un 29 Haziran 2022 tarihli ve 2022/630 sayılı kararında, burun estetiği ameliyatı sırasında baygın haldeki hastanın fotoğrafları ameliyatı yapan doktorun sosyal medya hesabında yaklaşık iki yıl boyunca yayımlanmıştı. Görüntülerde yüzün tanımlayıcı bölümleri açıkta kaldığı için kimlik belirlenebilir bulundu ve hastaneye veri sorumlusu sıfatıyla 100.000 TL idari para cezası verildi. Hasta, verilerinin sağlık kuruluşu tarafından kullanılmasına rıza göstermişti, doktorun kendi hesabında kullanmasına değil.

Olumlu yorumu paylaşmak da güvenli bölge değil. Kurul'un 11 Mayıs 2023 tarihli ve 2023/787 sayılı kararında bir özel hastane, tanıtım faaliyetleri kapsamında hastalardan açık rıza alarak görüntü ve videolarını sosyal medyada ve basın kuruluşlarında kullanmıştı. Kurul, Özel Hastaneler Yönetmeliği'nin talep yaratıcı tanıtımı yasaklaması ve hastalıklar hakkında bilgilendirmenin kişisel veri kullanılmadan da yapılabilmesi karşısında işlemin ölçülü olmadığını değerlendirip 250.000 TL idari para cezası uyguladı. Özeti şu: açık rıza, sektörel bir yasağı aşmıyor. Kural 12 Kasım 2025 tarihli ve 33075 sayılı Resmî Gazete'de yayımlanan Sağlık Hizmetlerinde Tanıtım ve Bilgilendirme Faaliyetleri Hakkında Yönetmelik ile iyice netleşti. Yönetmeliğin 5. maddesinin birinci fıkrasının (e) bendi, yazılı, görsel ve işitsel basın yayın organlarında, sosyal medya platformlarında ve internet sitelerinde hasta veya yakınlarının sağlık hizmetine yönelik teşekkür veya memnuniyet ifadeleri üzerinden reklam mahiyetinde paylaşım yapılamayacağını söylüyor. 7. maddenin birinci fıkrasının (h) bendi, bu ifadeler başka mecralarda yapılmış olsa dahi üzerlerinden reklam mahiyetinde görsel paylaşım yapılamayacağını ekliyor. Hastanın kendi yazdığı övgü dolu yorumun ekran görüntüsünü hikâyeye koymak, kişisel verilerin korunmasından bağımsız olarak bu yönetmeliğe takılıyor.

Sağlık dışındaki sektörlerde teşekkür paylaşımı mutlak yasak değil, ama kişiyi tanınır kılan her unsur ayrı bir hukuki sebep istiyor. Ad, kullanıcı adı, profil fotoğrafı, çalıştığı yer, hepsi bu kapsamda. İzin alacaksanız yazılı ve belirli olsun; hangi mecrada, ne kadar süreyle kullanılacağı yazsın, iznin her zaman geri alınabileceği ve geri alındığında içeriğin kaldırılacağı belirtilsin. Bir de tüketici mevzuatı katmanı var ve bu yıl değişti. Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliği'nin tüketici değerlendirmelerini düzenleyen 28/B maddesi, 1 Temmuz 2026 tarihli ve 33297 sayılı Resmî Gazete'de yayımlanan değişiklikle yeniden yazıldı ve 1 Ağustos 2026'da yürürlüğe girdi. Kendi sitesinde ya da pazaryerinde değerlendirme toplayan satıcılar ve aracı hizmet sağlayıcılar için getirdikleri kısaca şöyle: değerlendirme yalnızca o mal veya hizmeti satın alanlara açılabilir, satın alım sürecine ilişkin doğrulama yapılamayan mecralardan alınan değerlendirmeler yayınlanamaz, değerlendirmeler olumlu ya da olumsuz ayrımı yapılmaksızın en az bir yıl süreyle ve tarih ya da değerlendirme notu gibi objektif bir ölçüte göre yayımlanır, tüketici mağduriyeti giderildiyse bu durum ilk değerlendirmeyle aynı yerde yayımlanır, satışı artırmak için gerçek olmayan değerlendirme yaptırmak üzere kimseyle anlaşma yapılamaz. Olumsuz yorumu sessizce silme refleksi ile cevapta müşteriyi deşifre etme refleksi, artık iki ayrı mevzuata birden takılıyor.

Hesabı kimin yönettiği sorusu çoğu şirkette boşlukta duruyor. Sosyal medya hesaplarınızı bir ajans yönetiyorsa o ajans sizin veri işleyeniniz; Kanun'un 12. maddesinin ikinci fıkrası veri işleyenlerin de güvenlik tedbirlerini almakta veri sorumlusuyla müştereken sorumlu olduğunu söylüyor ve aranızda yazılı bir sözleşme bulunması gerekiyor. Cevapları kimin yazdığı, hangi müşteri kayıtlarına erişebildiği ve bir cevabın yayımlanmadan önce kimin onayladığı yazılı olsun. Çalışanın kendi hesabından yaptığı paylaşım da şirketi kurtarmıyor. 2022/630 sayılı kararda ceza doktora değil, gerekli tedbirleri almadığı için hastaneye kesildi. Kurul'un 27 Nisan 2021 tarihli ve 2021/422 sayılı kararında bir işletme, iş ilişkisi sona eren pilates eğitmeninin fotoğraflarını sosyal medyada paylaşmaya devam etmiş; Kurul hem paylaşımın bir işleme şartına dayanmadığını hem de silme talebinin otuz günlük süre içinde yanıtlanmadığını tespit etti. Kişisel sorumluluk da masada: Türk Ceza Kanunu'nun 136. maddesi kişisel verileri hukuka aykırı olarak bir başkasına veren veya yayan kişi için iki yıldan dört yıla kadar hapis cezası öngörüyor, 137. madde suçun belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesi halinde cezanın yarı oranında artırılacağını söylüyor.

Her paylaşım da Kanun kapsamına girmiyor. Sınırı görmek için Kurul'un 10 Şubat 2022 tarihli ve 2022/103 sayılı kararına bakmak gerekiyor. Olayda, unvanında bir gerçek kişinin adı geçen şirket hakkında başlatılan icra takibine ilişkin dosyanın kapak görseli ile ödeme yapılmadığına ve karşı tarafın dolandırıcı olduğuna dair ifadeler Facebook'ta herkese açık bir grupta paylaşılmış. Kurul, paylaşımın tüzel kişiyi hedef aldığını ve bilgilerin gerçek kişiyle değil tüzel kişiyle ilişkili olduğunu değerlendirerek Kanun kapsamında yapılacak bir işlem bulunmadığına karar verdi. Bu sonucu dar yorumlamakta fayda var. Şahıs işletmelerinde, serbest meslek erbabında ve unvanında kurucusunun adı geçen küçük şirketlerde tüzel kişi ile gerçek kişi arasındaki çizgi incelir. Kişisel verilerin korunması mevzuatı devreye girmese bile haksız rekabet hükümleri ve kişilik hakkına dayalı tazminat davası ayrı birer kapı olarak açık kalıyor.

Uygulamada işe yarayan kural tek cümleye sığıyor: kamuya açık cevapta yeni bilgi verme. Şablon da basit. Yaşadığınız sorun için üzgünüz, konuyu inceleyebilmemiz için özel mesajdan ya da şu adresten bize ulaşır mısınız. Müşterinin adını siz yazmayın, tarih vermeyin, tutar vermeyin, sipariş ya da dosya numarası yazmayın, ekran görüntüsü paylaşmayın. Yorumu yazan kişi kendi bilgisini zaten vermiş olsa bile cevabınız onu tekrarlamasın. İç tarafta üç şeyi yazılı hale getirin: bu kanallarda kimin cevap vereceği, hangi bilginin hiçbir koşulda kamuya yazılmayacağı, bir yorum kaldırılacaksa hangi gerekçeyle kaldırılacağı. Sosyal medyadan gelen sil talepleri Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'deki şekil şartlarını taşımasa da görmezden gelinmemeli; kişiyi doğru başvuru kanalına yönlendirin ve talebi kayda alın. Aydınlatma metninizde sosyal medya ve müşteri yorumları üzerinden toplanan verilere ilişkin bir başlık yoksa ekleyin.

Rakamlara bu yılın ölçeğinden bakınca tablo daha anlaşılır oluyor. 2026 yılında Kanun'un 10. maddesindeki aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 85.437 TL ile 1.709.200 TL, 12. maddedeki veri güvenliği yükümlülüklerini yerine getirmeyenler hakkında 256.357 TL ile 17.092.242 TL, Kurul tarafından verilen kararları yerine getirmeyenler hakkında 427.263 TL ile 17.092.242 TL arasında idari para cezası uygulanıyor. Para cezası da tek sonuç değil. İlgili kişi 11. madde kapsamında verisinin silinmesini ve hukuka aykırı işleme nedeniyle uğradığı zararın giderilmesini talep edebiliyor; veri sorumlusunun talebi en geç otuz gün içinde sonuçlandırması, aksi halde kişinin 14. madde uyarınca Kurula şikâyette bulunabilmesi gündeme geliyor. Bir yoruma verilen tek cümlelik cevabın bu zinciri başlatması sanıldığından sık görülüyor. İşletmenizin sosyal medya ve değerlendirme kanallarında nasıl cevap verildiğinden emin değilseniz ya da geçmişte paylaşılmış içeriklerin kaldırılması gerektiğini düşünüyorsanız, KVKK Danışman'ın ücretsiz ön değerlendirmesinde durumu birlikte gözden geçirip yazılı bir cevap protokolü çıkarabiliriz.

Randevu Al