LinkedIn profillerinden veri toplamak KVKK’ya uygun mu?

KVKK’ya göre bir kişisel verinin herkese açık olması onu serbestçe işlenebilir hâle getirmiyor: Kurul’un yerleşik yorumu, alenileştirilmiş verinin yalnızca alenileştirme amacıyla bağlantılı ve sınırlı biçimde işlenebileceği yönünde. Arama sonuçlarından toplanan iş e-postalarına pazarlama yapan bir şirkete bu gerekçeyle idari para cezası verildi. BrandLoop bu nedenle kişi listesi çıkarmaz; yalnızca kullanıcının kendi hesabının verisiyle çalışır.

Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Somut bir uygulama için avukatınıza danışmanız gerekir. Amacımız yorum yapmak değil, kanun metninin ve Kurul kararlarının ne dediğini göstermek — çünkü bu alanda dolaşan bilginin çoğu ikinci elden.

Toplamak, kullanmadan önce zaten “işlemek”tir

6698 sayılı Kanun’un 3. maddesi işlemeyi tanımlarken “elde edilmesi, kaydedilmesi, depolanması” fiillerini ilk sıraya koyuyor. Yani bir profilin verisini bir tabloya almak, o veriyle henüz hiçbir şey yapmadan önce işleme sayılıyor. Bu, tartışmanın başlangıç noktasını değiştiriyor: soru “bu veriyi kullanabilir miyim” değil, “bu veriyi toplayabilir miyim”.

Alenileştirme istisnası sanıldığı yerde değil

İşleme şartları 5. maddede sayılı. Açık rıza olmadan işleme yapılabilecek hâllerden biri şu: “İlgili kişinin kendisi tarafından alenileştirilmiş olması.” Buna ek olarak 28/2-b, alenileştirilmiş verilerde aydınlatma yükümlülüğünü, bazı ilgili kişi haklarını ve VERBİS kaydını kaldırıyor.

Dikkat edilecek iki nokta var. Birincisi, 28/2 yalnızca 10., 11. ve 16. maddeleri kaldırıyor; 4. maddedeki genel ilkeler, 5. maddedeki işleme şartı gereği, 7. maddedeki imha ve 12. maddedeki güvenlik yükümlülükleri yerinde duruyor. İkincisi, bu istisnanın kendisi de “Kanunun amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla” şartına bağlanmış.

Kurul’un yerleşik yorumu: amaç sınırı

Kurul 2020’de yayımladığı kamuoyu duyurusunda alenileştirmeyi iki unsura bağladı: kişinin iradesi ve alenileştirme amacı. Duyurunun cümlesi şöyle: tek başına verinin kamuoyuna açık hâle gelmesi, herkesin görebileceği bir yerde olması alenileştirilmiş sayılmak için yeterli değil; eylemin kişinin iradesiyle de desteklenmesi gerekiyor.

Aynı duyuruda sosyal medya doğrudan örnek olarak veriliyor: sosyal medya hesapları gibi mecralardan elde edilen ad-soyad, telefon, e-posta gibi verilerin reklam amaçlı SMS veya e-posta gönderimiyle işlenmesi 5/2-d kapsamında değerlendirilemiyor.

Somut karar: arama motorundan toplanan e-postalar

Konuya en yakın karar 2022 tarihli. Bir yazılım şirketi avukatların iş e-posta adreslerini internet arama motorlarından toplayıp pazarlama e-postası göndermiş. Kurul’un gerekçesi, bu alandaki en net cümle:

Kurul, iş e-postasının avukatlık mesleğine yönelik iletişim için aleni hâle getirildiğini, pazarlama iradesi içermediğini tespit etti ve 150.000 TL idari para cezası verdi. İspat yükünü de veri sorumlusuna yükledi: pazarlama amacıyla bir alenileştirme iradesi bulunduğuna dair belge sunulmadığını ayrıca not düştü.

Benzer mantık 2019 tarihli bir kararda da var: bir sigorta şirketi şikâyetçinin kamuya açık sitedeki numarasından randevu talebiyle aramış; Kurul, kişiye mesleki yetkinliği için değil şirketin kendi faaliyeti için ulaşıldığını belirterek 5/2-d’yi uygulamadı.

Kayda değer bir boşluk: kazımaya özgü karar yok

Bu, okuyucuya söylenmesi gereken şeylerden biri. Kurul’un yayımlanmış ilke kararları listesinde web kazıma veya sosyal medyadan toplu veri toplama konulu bir ilke kararı bulunmuyor. LinkedIn’i ismen anan yayımlanmış bir karar özeti de bulunamadı.

Yani uygulanacak hukuk, kazımayı doğrudan düzenleyen bir metinden değil; 5/2-d, 4. madde, 2020 duyurusu ve yukarıdaki iki karardan kıyasla kuruluyor. Bu, kesin cevap veren yazılara temkinli yaklaşmak için yeterli sebep.

İki ayrı sorumluluk hattı

Bir de sık karıştırılan ayrım var. KVKK sorumluluğu profil sahiplerine karşıdır. LinkedIn Kullanıcı Sözleşmesi’nden doğan sorumluluk ise LinkedIn’e karşıdır ve ayrı işler. Sözleşmenin 8.2 maddesi profil ve verileri kazımak için yazılım, betik veya tarayıcı eklentisi kullanmayı doğrudan yasaklıyor.

ABD’deki hiQ davası bu ayrımı iyi gösteriyor. Temyiz mahkemesi kamuya açık profilleri kazımanın bilgisayar suçu mevzuatı bakımından muhtemelen ihlal olmadığına hükmetti — ve dava, hiQ’nun sözleşmeyi ihlal ettiği kabul edilerek 500.000 dolarlık uzlaşma ve tüm verinin imhası kararıyla bitti. Yani o dava kazımayı serbest bırakmadı; riski ceza hukukundan sözleşme hukukuna taşıdı ve veri koruma hukukuna hiç değinmedi.

VERBİS tarafı

Kayıt yükümlülüğünden muafiyet eşiği, yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon TL’den az olan, ana faaliyet konusu özel nitelikli veri işleme olmayan veri sorumluları için geçerli. Burada dikkat edilecek nokta şu: 28/2-b VERBİS kaydını yalnızca gerçekten alenileştirme testini geçen veriler için kaldırıyor. Testi geçemeyen bir toplama faaliyetinde hem işleme şartı hem kayıt yükümlülüğü tarafında açık kalıyor.

Bunun bir ürün kararına dönüşmesi

BrandLoop bu yüzden kişi listesi çıkarmıyor ve kimse adına bağlantı isteği göndermiyor. Aracın yaptığı iş sizin kendi hesabınızın verisiyle sizin kendi içeriğinizi üretmek. Aynı sınırın teknik tarafını — hangi iznin açık hangisinin kapalı olduğunu — yorum otomasyonu yazısında ayrıca anlattık.

Uygulamada ne yapmalı

Bu alanda çalışan bir şirket için pratik sonuçlar şöyle özetlenebilir. Toplanan verinin hangi işleme şartına dayandığı yazılı olmalı; “herkese açıktı” bir şart değil. Toplama amacı ile kişinin veriyi paylaşma amacı arasındaki bağ kurulabiliyor olmalı, çünkü ispat yükü Kurul kararlarında veri sorumlusunda. Saklama süresi belirlenmiş ve imha edilebilir olmalı. Ve LinkedIn tarafındaki sözleşme riski ayrıca değerlendirilmeli — biri diğerini kapatmıyor.

En güvenli tasarım, veriyi hiç toplamamaktan geçiyor: kişinin kendi hesabına kendi izniyle bağlanmak, yalnızca o hesabın verisiyle çalışmak ve üçüncü kişilerin verisini hiç depolamamak. Bu, ürün tarafında bazı özelliklerden vazgeçmek demek — ama hukuki belirsizliği ortadan kaldırıyor.