Numaramı Yazınca Adım Çıkıyor: Numara Sorgulama ve Rehber Uygulamaları Yasal mı? KVKK'nın 2017/61 ve 2019/308 Sayılı İlke Kararları

Kısa cevap: hayır. Bir numarayı yazınca kime ait olduğunu söyleyen ya da bir isimden telefon numarasına ulaştıran hizmetlerin Türkiye'de kural olarak hukuki dayanağı yok. Kişisel Verileri Koruma Kurulu meseleyi 21 Aralık 2017 tarihli ve 2017/61 sayılı ilke kararıyla kapatmaya çalıştı. 25 Ocak 2018 tarihli ve 30312 sayılı Resmî Gazete'de yayımlanan karara göre, kanunda ve ilgili mevzuatta dayanağı bulunmaksızın ilgili kişilerin iletişim bilgilerinin paylaşımını yapan internet siteleri ve mobil uygulamalar tarafından gerçekleştirilen veri işleme faaliyetinin derhal durdurulması gerekiyor. Faaliyetine son vermeyenler bakımından erişimin engellenmesi için yetkili kurumlara başvurulacağı, kişisel verilerin hukuka aykırı biçimde elde edilmiş olabileceği dikkate alınarak durumun Cumhuriyet Başsavcılığına bildirileceği de aynı kararda yazıyor. Tablonun tek renk olmadığını baştan söylemek gerek: Kurul, bilgisini resmî ve alenî kaynaklardan alan bir sorgulama sitesi hakkında işlem yapılmasına yer olmadığına karar verdi. Ayrımı yapan şey verinin kaynağı ve kullanım amacı.

Çalışma mantığını görmek işin yarısını anlatıyor. Bu uygulamaların veri tabanı gökten inmiyor, kullanıcıların kendi telefon rehberinden besleniyor. Uygulamayı kuran kişi rehber iznini verdiği anda telefonundaki bütün kayıtlar, yani sizin adınız ve numaranız dahil yüzlerce kişinin iletişim bilgisi, uygulamanın sunucusuna kopyalanıyor. Ortaya tuhaf bir denklem çıkıyor: numaranızın o veri tabanına girmesi için sizin hiçbir şey yapmanız gerekmiyor. Sizi rehberine kaydetmiş bir tanıdığınızın uygulamayı kurması yetiyor. Kurum 2018 yılının mart ayında yayımladığı kamuoyu duyurusunda tam olarak bu modeli hedef aldı ve isimden numara, numaradan isim sorgulamaya imkân tanıyan hizmetlerin veri işleme faaliyetini derhal durdurması gerektiğini duyurdu.

Peki rehberini yükleyen kullanıcı ne oluyor? En sık duyulan savunma, rehberin kişinin kendi özel alanı olduğu. Kanun'un 28. maddesinin birinci fıkrasının (d) bendi gerçekten de kişisel verilerin gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesini kapsam dışında bırakıyor. İstisnanın cümlesi şartlı yazılmış: üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla. Telefonunuzdaki rehber bu istisnanın içinde kalır. Aynı rehberi bir uygulamaya yüklediğiniz anda veri üçüncü kişiye verilmiş olur ve istisnanın şartı ortadan kalkar. Asıl risk de bireysel kullanıcıda değil. Kurumsal hattında müşteri, tedarikçi ya da hasta numarası taşıyan bir çalışan aynı izni verdiğinde dışarı çıkan veri artık şirketin sorumluluğundaki veridir.

İkinci ve daha ağır başlık sorgu panelleri. Kurul'un 18 Ekim 2019 tarihli ve 2019/308 sayılı ilke kararı 21 Kasım 2019 tarihli ve 30955 sayılı Resmî Gazete'de yayımlandı. Kararın konusu, hukuka aykırı olarak elde edilen veriler üzerinden vatandaşların kimlik ve iletişim bilgileri gibi kişisel verilerinin sorgulanmasına imkân tanıyan yazılım, program ve uygulamalar. Kurul bu araçların avukatlar ve hukuk büroları ile finans, gayrimenkul danışmanlığı ve sigorta gibi sektörlerde faaliyet gösteren kişi ve kuruluşlarca kullanıldığını tespit etmiş. Değerlendirme, söz konusu kullanımın 6698 sayılı Kanun'un veri güvenliğini düzenleyen 12. maddesine aykırılık oluşturduğu yönünde. Karar iki ayaklı: bu yazılımları kullandığı tespit edilenler hakkında Türk Ceza Kanunu kapsamında gereği yapılmak üzere Ceza Muhakemesi Kanunu'nun 158. maddesi uyarınca ilgili Cumhuriyet Başsavcılıklarına bildirimde bulunulması ve veri sorumluları hakkında Kanun'un 18. maddesi çerçevesinde idari işlem tesis edilmesi.

Bu kararın pratikteki anlamı çoğu işletmenin tahmininden sert. Sorumluluk paneli işleten tarafta bitmiyor, sorguyu yapan tarafta da devam ediyor. Diyelim ki bir emlak ofisinde ilan sahibinin kim olduğunu bulmak, bir tahsilat biriminde borçlunun yeni numarasını yakalamak, bir acentede poliçe teklifi götürmek için panele girildi. O tek sorgunun bedeli iki ayrı yerden çıkabiliyor. İdari tarafta şirket veri sorumlusu sıfatıyla 12. madde kapsamında değerlendiriliyor; 2026 yılında veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL arasında idari para cezasına konu. Cezai tarafta Türk Ceza Kanunu'nun 136. maddesi kişisel verileri hukuka aykırı olarak veren, yayan veya ele geçiren kişi için iki yıldan dört yıla kadar hapis cezası öngörüyor, 137. madde ise suçun belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle işlenmesi halinde cezanın yarı oranında artırılacağını söylüyor. Şirket içinde yapılacak iş basit ama yazılı olmalı: bu araçların kullanımını açıkça yasaklayan bir politika, sorgulama yetkisi bulunan sistemlerde log tutma ve çalışana imzalatılmış bir bilgilendirme.

Her sorgulama sitesinin hukuka aykırı olduğunu söylemek de doğru olmaz. Kurul'un 30 Haziran 2020 tarihli ve 2020/508 sayılı kararı iyi bir karşı örnek. Bazı avukatlar; ad ve soyadlarının, baro sicil numaralarının, e-posta adreslerinin ve fotoğraflarının avukat sorgulama sitelerinde rızaları olmadan yayımlandığını ihbar etmişti. Kurul, bu bilgilerin baro levhalarında ve Türkiye Barolar Birliği'nin internet sitesinde zaten yayımlandığını, ihbara konu sitelerin verileri bu resmî kaynaklardan aldığını, dolayısıyla verilerin ilgili kişinin kendisi tarafından alenileştirilmiş sayılacağını değerlendirdi ve Kanun kapsamında yapılacak bir işlem bulunmadığına karar verdi. Alenileştirme yine de sınırsız bir yetki değil. Kanun'un 5. maddesindeki bu işleme şartı, 4. maddedeki amaçla bağlantılı, sınırlı ve ölçülü olma ilkesiyle birlikte okunuyor. Levhada yayımlanan bir iletişim bilgisinin mesleki başvuru için kullanılması başka şey, aynı bilginin toplanıp bir pazarlama listesine dönüştürülmesi bambaşka şey.

Uygulamaların en çok şikâyet üreten özelliği isminizin yanında çıkan etiketler. Başkalarının sizi rehberine hangi adla kaydettiği, o uygulamada hakkınızda tutulan bir kayda dönüşüyor. Buradaki kayıt ad ve numaradan ibaret değil, hakkınızda bir değerlendirme taşıyor. Etiket dolandırıcı, borçlu ya da daha ağır bir ifade içeriyorsa iş kişisel verilerin korunmasını aşar ve kişilik hakkına gelir; Türk Medeni Kanunu'nun 24 ve 25. maddelerindeki koruma ile Türk Ceza Kanunu'nun hakareti düzenleyen 125. maddesi gündeme gelebilir. Pratik uyarı: harekete geçmeden önce ekranı görüntüleyin. Sorgunun tarihini, sorgulanan numarayı ve çıkan sonucu gösteren bir görüntü; veri sorumlusuna başvuruda da, Kurul'a şikâyette de, olası bir davada da elinizdeki tek somut delil olabiliyor.

Numaranızı bu veri tabanlarından çıkarmanın yolu belirli bir sırayı izliyor. Önce veri sorumlusuna başvuru. Kanun'un 13. maddesi ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ başvurunun usulünü düzenliyor, veri sorumlusunun talebi en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırması gerekiyor. Talebinizi 11. maddedeki haklara oturtun: verinin işlenip işlenmediğini öğrenme, kaynağını sorma, silinmesini isteme ve yapılan işlemin verinin aktarıldığı üçüncü kişilere bildirilmesini talep etme. Başvuru reddedilir, verilen cevap yetersiz kalır ya da otuz gün içinde hiç cevap gelmezse, 14. madde uyarınca cevabı öğrendiğiniz tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyette bulunabilirsiniz. Uygulama yurt dışında yerleşikse sıra değişmiyor; Türkiye'de veri sorumlusu temsilcisi atayıp atamadığını VERBİS üzerinden kontrol edebilirsiniz.

Bir de ikinci kulvar var. Verinin hukuka aykırı yoldan elde edildiğini düşündüren bir durum varsa Ceza Muhakemesi Kanunu'nun 158. maddesi uyarınca Cumhuriyet Başsavcılığına veya kolluğa suç duyurusunda bulunabilirsiniz; 2017/61 ve 2019/308 sayılı kararların ikisi de bu kapıyı işaret ediyor. Erişimin engellenmesi ise doğrudan sizin elinizdeki bir araç değil, Kurul'un yetkili kurumlara başvurmasıyla işleyen bir yol. Beklentiyi gerçekçi tutmakta fayda var. Bu hizmetlerin bir kısmı yurt dışından çalışıyor, birinden kaydınızı sildirmeniz diğerlerinden de silindiği anlamına gelmiyor ve kaydınız silinse bile sizi rehberine kaydetmiş kişiler uygulamayı kullanmaya devam ettikçe numaranız yeniden görünür hale gelebiliyor. Kalıcı çözüm talep tarafında değil, kaynağı kurutmakta.

Kaynağı kurutmak da beş dakikalık bir iş. Telefonunuzdaki uygulama izinlerini açın, rehbere erişimi olan uygulamaları tek tek geçin; bir not uygulamasının, bir oyunun ya da bir fener uygulamasının rehberinizde işi yok. Kaldırdığınız uygulamanın sunucusunda duran kopya kendiliğinden silinmiyor, o yüzden izni kapatmakla yetinmeyin, hesabın kapatılmasını ve verinin silinmesini ayrıca talep edin. Şirket tarafında liste biraz uzuyor: kurumsal hatlara kurulabilecek uygulamaların kuralını yazın, mobil cihaz yönetimi kullanıyorsanız rehber iznini politikayla sınırlayın, satış ve tahsilat ekiplerinin müşteri bulma yöntemlerini yılda bir kez gerçekten denetleyin. Kurumun 2025 yılı faaliyet raporuna göre Kuruma gelen ihbar ve şikâyet başvurusu 12.512'ye çıktı ve bir önceki yıla göre yaklaşık yüzde 51 arttı. Bu başlıkların çoğu, bir çalışanın iyi niyetle attığı tek bir adımla başlıyor.

Numaranız hiç vermediğiniz bir veri tabanında görünüyorsa ya da şirketinizde müşteri bulmak için bu tür sorgulama araçlarının kullanılıp kullanılmadığından emin değilseniz, KVKK Danışman'ın ücretsiz ön değerlendirmesinde durumu birlikte gözden geçirip başvuru ve iç denetim adımlarını çıkarabiliriz.

Randevu Al