KVKK'nın "80'ler Akımı" Uyarısı ve Dijital Çağda Mahremiyet

Hatıralar Yaşasın, Veriler Kimde Kalsın? KVKK'nın "80'ler Akımı" Uyarısı ve Dijital Çağda Mahremiyet

Sevgili Genç Yoldaşlar,

Kişisel Verileri Koruma Kurumu (KVKK), 10 Eylül 2026'da resmî X hesabından şu açıklamayı yaptı: "Yapay zekâ uygulamalarıyla fotoğraflarınızı nostaljik karelere dönüştürmeden önce dijital mahremiyetinizi de düşününüz. Çünkü "80lerchallenge" gibi sosyal medya akımlarında kullanılan uygulamalar, fotoğraflarınız üzerinden biyometrik verilerinizin işlenmesine neden olabilir." Kurum, yurttaşa iki iş bıraktı: uygulamaların erişim izinlerini kontrol etmek ve verinin hangi amaçla kullanılacağını öğrenmek. Açıklama şu sloganla bitiyor: "Hatıralar yaşasın, size ait olan sizde kalsın." Açıklama hemen bütün basında yer aldı.

Küçük ama anlamlı bir ayrıntı: bu uyarı Kurum'un kendi internet sitesinde bir kamuoyu duyurusu olarak yer almıyor; yalnızca sosyal medya paylaşımı. Sitenin ana sayfasında aynı günlerde görünen şeyse, 9 Eylül tarihli üç ayrı veri ihlali bildirimi: bir otel, bir sağlık şirketi, bir kozmetik firması. Yani Kurum'un asıl gündemi, yurttaşın fotoğraf yüklemesi değil, veri sorumlularının yurttaş verisini kaybetmesi. Bunu aklınızda tutun, aşağıda döneceğiz.

Akımın kendisi masum görünüyor. Bir fotoğrafınızı yapay zekâ uygulamasına yüklüyorsunuz, uygulama sizi kabarık saçlı, pastel ceketli, film grenli bir 1980'ler karesine dönüştürüyor. Eğlenceli. Uyarı da teknik olarak doğru: yüz fotoğrafı, yüz geometrisi çıkarılabildiği için biyometrik veri kaynağıdır.

Ancak bu yazıda size uyarının doğruluğundan çok, hangi bağlamda söylendiğini anlatmak istiyorum. Çünkü aynı hafta, aynı ülkede, 31 avukat "sorgu paneli" adı verilen yasa dışı sistemlerle yurttaş verisi sorguladıkları iddiasıyla gözaltına alındı (Euronews Türkçe). O panellerde sorgulanan veri, sizin 80'ler fotoğrafınız değildi; T.C. kimlik numaranız, adresiniz, ailenizin bilgisi, SGK kaydınız, tapunuzdu. Yani devletin elinde tuttuğu, koruyacağına dair yasa çıkardığı verilerdi.

Bu iki haberi yan yana koyduğunuzda, mahremiyetin dijital çağda ne anlama geldiğini de, KVKK'nın uyarısının neden komik kaldığını da göreceksiniz. Adım adım gidelim.

Uyarı ne diyor, ne demiyor?

Uyarının söylediği üç şey var. Birincisi, yüz fotoğrafı sıradan bir fotoğraf değildir; yüz geometrisi çıkarılabilir, bu da 6698 sayılı Kanun'a göre "özel nitelikli kişisel veri" sayılan biyometrik veridir. İkincisi, bu uygulamalar verinin hangi amaçla saklandığını, kimlerle paylaşıldığını çoğu zaman açıkça söylemez. Üçüncüsü, yurttaş yüklemeden önce izinleri ve politikaları okumalıdır.

Uyarının söylemediği şeyler daha ilginç. Kurum, bu uygulamaların hangi şirketlere ait olduğunu, verinin nereye gittiğini, Türkiye'de bir veri sorumlusu temsilcisi bulunup bulunmadığını söylemiyor. Herhangi bir uygulamaya inceleme başlattığını söylemiyor. Yurttaşa bir yükümlülük hatırlatıyor, sermayeye bir yükümlülük hatırlatmıyor. Sorumluluğun adresi, uyarının gramerinde gizli: özne "kullanıcı", yüklem "dikkat etmeli".

Bu, veri koruma rejimlerinin bütün dünyada taşıdığı bir eğilimin yerli sürümüdür: mahremiyeti bireysel bir dikkat sorununa indirgemek. Oysa mahremiyet ihlali bir dikkatsizlik sonucu değil, bir iş modelinin sonucudur.

Biyometrik veri neden farklı?

Şifrenizi çaldırırsanız değiştirirsiniz. Telefon numaranızı, hatta adresinizi değiştirebilirsiniz. Yüzünüzü değiştiremezsiniz. Biyometrik verinin özelliği kalıcılığıdır; bir kez sızdı mı, ömür boyu sızmış demektir.

Bir yüz fotoğrafından çıkarılan matematiksel "yüz imzası" (embedding) başka her yerde, başka her fotoğrafla eşleştirilebilir. Bu yüzden Clearview AI adlı ABD'li şirket, internetten izinsiz topladığı milyarlarca fotoğrafla polis teşkilatlarına satılan bir yüz arama motoru kurabildi; İtalya, Fransa, Yunanistan, Birleşik Krallık ve Hollanda'daki veri koruma otoriteleri şirkete toplam yüz milyon avroyu aşan cezalar kesti (TechCrunch). Şirket cezaların çoğunu ödemedi ve faaliyetine devam etti. Notunuza yazın: veri koruma hukukunun sınırı, sermayenin yargı alanının bittiği yerdir.

"80'ler akımı" uygulamaları bu ölçekte değil elbette. Ama mekanizma aynı: kullanıcı eğlence alır, şirket eğitim verisi ve yüz imzası alır. Bedava hizmet, bedava değildir. Bu, Anthropic'in 81 bin kişilik anketini tartışırken söylediğimiz şeyin aynısı: bir hizmetin size sunuluş biçimi, sizden ne toplandığını gizlemenin en etkili yoludur.

Mahremiyet dijital çağda ne anlama gelir?

Burada biraz duralım, çünkü genç yoldaşların çoğu "gizleyecek bir şeyim yok" cümlesini duymuş ya da kendisi söylemiştir. Bu cümle üç yönden yanlıştır.

Birincisi, mahremiyet gizlemek değil, bağlamı denetlemektir. Doktorunuza söylediğinizi patronunuzun bilmemesi, sendikanıza söylediğinizi insan kaynaklarının bilmemesi, arkadaşınıza söylediğinizi devletin bilmemesi mahremiyettir. Bilginin akışı bağlama bağlıdır; mahremiyet ihlali, bilginin bir bağlamdan başka bir bağlama rızanız dışında taşınmasıdır. "Gizleyecek bir şeyim yok" diyen, aslında "hangi bağlamdan hangisine taşınacağını bilmiyorum" demektedir.

İkincisi, mahremiyet bireysel değil, ilişkiseldir. Siz fotoğraf yüklediğinizde yalnızca kendi yüzünüzü değil, yanınızdaki arkadaşınızın yüzünü, arkadaki sokağı, duvardaki afişi de yüklersiniz. Telefon rehberinizi bir uygulamaya açtığınızda rızasını hiç almadığınız beş yüz kişinin numarasını devretmiş olursunuz. Cambridge Analytica skandalında 270 bin kişi bir kişilik testine katıldı, 87 milyon kişinin verisi toplandı; çünkü uygulama katılanların arkadaş listelerine de erişiyordu. Veri, tıpkı emek gibi, toplumsaldır; bireysel rıza ile yönetilemez.

Üçüncüsü ve en önemlisi, mahremiyet bir sınıf sorunudur. Kimin verisi toplanır, kimin verisi korunur? Depoda çalışan işçinin adım sayısı, kuryenin konumu, çağrı merkezi çalışanının ses tonu, öğretmenin sınıfta ne söylediği kayıt altındadır. Şirketin yönetim kurulu toplantısı, holdingin vergi yapılandırması, bakanlığın ihale görüşmesi "ticari sır" ya da "devlet sırrı" olarak korunur. Dijital panoptikon dediğimiz şey tam olarak budur: gözetim aşağıya doğru şeffaf, yukarıya doğru opaktır. "Panoptikonun Kapıcısı" yazısında Anthropic'in aktivist izleme sistemini anlatırken söylediğimiz gibi, gözetim teknolojisinin ilk müşterisi hep işveren ve devlettir; yurttaşa ise "dikkatli ol" denir.

Bu çerçeveden bakınca kişisel veri, emek gücünüzün dijital gölgesidir. Alışkanlıklarınız, hareketleriniz, ilişkileriniz, yüzünüz: bunlar toplanıp işlenerek sizi bir "profil" hâline getirir ve bu profil reklamcıya, sigortacıya, işverene, devlete satılır ya da verilir. Marx'ın "emek gücünün metalaşması" dediği sürecin 21. yüzyıl uzantısı, yaşamın kendisinin veri olarak metalaşmasıdır. Bu yüzden veri koruma hukuku, iş hukuku gibi, sermayeye karşı bir sınır çizme mücadelesinin ürünüdür; ve iş hukuku gibi, sermayenin sürekli aşındırdığı bir sınırdır.

Dünyada ne oluyor?

Dünya deneyimini üç satırda özetlemek mümkün: Avrupa cezayı büyütüyor ama modeli değiştirmiyor; ABD modeli koruyup eyalet eyalet pazarlık yapıyor; Çin gözetimi doğrudan devlet aygıtına bağlıyor. Hiçbiri sorunu çözmüş değil, ama hepsi Türkiye'den bir adım öndedir.

Avrupa Birliği: yüksek ceza, aynı model. Genel Veri Koruma Tüzüğü (GDPR) 2018'den bu yana yürürlükte. Meta'ya AB verilerini ABD'ye aktardığı için 2023'te 1,2 milyar avro, Amazon'a izinsiz hedefli reklam için 746 milyon avro, Instagram'a çocuk verilerini herkese açık yaptığı için 405 milyon avro, TikTok'a 13 yaş altı çocukların verisini topladığı için 345 milyon avro ceza kesildi (Termly derlemesi). AB Yapay Zekâ Yasası, internetten yüz fotoğrafı kazıyarak yüz tanıma veri tabanı kurmayı yasakladı. Bunlar önemli. Ama sekiz yılda toplam ceza yedi milyar avro civarında; Meta'nın tek yıllık kârı bunun on katından fazla. Ceza, sermaye için hâlâ bir maliyet kalemi, bir engel değil.

Amerika Birleşik Devletleri: federal yasa yok, eyalet pazarlığı var. ABD'de hâlâ genel bir federal veri koruma yasası yoktur. Bunun yerine eyalet davaları ve uzlaşmalar var: Meta, Ağustos 2026'da çocuk güvenliği davalarında 29 eyaletle 16,68 milyar dolarlık bir uzlaşmaya vardı (Sabah, Timur Sırt). Rakam büyük ama yapı aynı: şirket kabahati kabul etmez, para öder, iş modeline devam eder. Equifax'ın 2017'de 147 milyon kişinin kredi verisini sızdırması ve Cambridge Analytica'nın seçim manipülasyonu, ABD'de "veri koruma" ile "seçim güvenliği" arasındaki bağı da gösterdi: verinizi kaybetmek yalnızca özel bir kayıp değil, siyasal bir kayıptır.

Çin: gözetimin devletleşmesi. Çin 2021'de GDPR'a benzer bir Kişisel Bilgi Koruma Yasası çıkardı ve şirketlere karşı gerçekten sert uyguladı; ancak yasa devletin kendi gözetim sistemlerini kapsam dışı tuttu. Yüz tanıma kameraları ve toplumsal kredi sistemi, şirket gözetimi ile devlet gözetiminin tek bir aygıtta birleşmesinin örneğidir. Bunu anlatmamızın nedeni şu: veri koruma hukukunun sermayeye karşı işletilmesi, devletin gözetiminden korunmayı otomatik olarak getirmez. İkisi ayrı mücadelelerdir ve biri diğerinin yerine geçmez.

Ortak ders: Dünyanın hiçbir yerinde "kullanıcı dikkatli olsun" ile mahremiyet korunamamıştır. Korunduğu ölçüde, bağlayıcı yasa, bağımsız denetim otoritesi, sermayeyi acıtacak ceza ve toplu dava hakkı ile korunmuştur.

Türkiye: koruyucunun kendisi korunamıyor

Şimdi gelelim uyarının neden komik kaldığına. Türkiye'de kişisel veri sorunu, şirketlerin yurttaş verisini toplaması sorunundan önce, devletin elindeki yurttaş verisinin satılık olması sorunudur. Kronolojiye bakalım.

2016: MERNİS sızıntısı. Yaklaşık 50 milyon yurttaşın T.C. kimlik numarası, adı, ana-baba adı, doğum yeri ve tarihi, adresi internete bir dosya olarak düştü. Veri Nüfus ve Vatandaşlık İşleri'nin sisteminden, tahminen 2008–2010 yıllarında alınmıştı. Bugün Türkiye'de nüfusa kayıtlı olan hemen herkesin temel kimlik verisi o günden bu yana kamusal alandadır. Bu sızıntı için hiçbir kamu görevlisi hesap vermedi.

2021: Yemeksepeti. 21 milyon kullanıcının verisi çalındı. KVKK şirkete 1,9 milyon lira ceza kesti (AA). Kullanıcı başına dokuz kuruş.

2023: "Sorgu paneli" dönemi. Telegram üzerinden aylık 600–1000 liraya üyelik satılan panellerde T.C. numarasından adres, aile, araç, tapu, SGK, GSM sorgusu yapılabildiği ortaya çıktı. Haziran 2023'te "85 milyon yurttaşın e-Devlet verisi çalındı" iddiası Meclis'e taşındı (Cumhuriyet). Panellerin veriyi dış saldırıyla değil, yetkili kullanıcı hesapları üzerinden, yani içeriden edindiği, hukukçular tarafından belgelendi (Forseti Hukuk).

2024: İnkâr. Eylül 2024'te İletişim Başkanlığı "85 milyon yurttaşın verisinin çalındığı iddiası tamamen asılsızdır" dedi; aynı açıklamada "bazı vatandaşlarımızın şifrelerinin çalınması suretiyle beyana dayalı adres bilgilerine ulaşıldığı" kabul edildi (İletişim Başkanlığı). Yani veri sızmadı ama sızdı.

2025: Operasyonlar ve yeni yasa. Ocak 2025'te 25 ilde 69 kişi gözaltına alındı; 35'i çocuktu. Mart 2025'te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu "veri ticareti"ni ayrı suç olarak tanımladı, ama aynı yasa "gerçeğe aykırı" olduğu ileri sürülen veri sızıntısı haberlerine hapis cezası öngörerek sızıntıyı haber yapan gazetecinin üzerine de gölge düşürdü. Aynı yıl KVKK 328 veri ihlali bildirimi aldı, 12.512 şikâyet başvurusu geldi; sonuçlandırılan başvuruların yüzde 68'i "usul eksikliği" gerekçesiyle reddedildi (KVKK 2025 Faaliyet Raporu özeti). Kurum'un yıllık toplam cezası 352 milyon lira; AB'nin Meta'ya tek kalemde kestiği cezanın yüzde biri.

2026: Avukatlar. 4 Eylül 2026'da 31 avukat "HukukBİS" ve "AsistBİS" adlı panellerle vekâlet ilişkisi olmayan kişileri sorgulayıp şantaj mesajı gönderdikleri iddiasıyla gözaltına alındı. Altı gün sonra KVKK yurttaşa "80'ler fotoğrafı yüklerken izinleri okuyun" dedi.

Sıralamayı böyle okuduğunuzda uyarının komikliği kendiliğinden görünür. Yurttaşın yüz fotoğrafı bir uygulamaya gitmeden önce, yurttaşın kimlik numarası, adresi, ailesi, tapusu, SGK kaydı zaten Telegram'da satılıyordu. Ve bu veriyi Telegram'a götüren, yurttaşın dikkatsizliği değil, devletin veri altyapısının içeriden satılık olmasıydı.

Karşılaştırma: söylenen ve yapılan

KVKK'nın yurttaşa söylediği	Türkiye'de fiilen olan
"Uygulamanın izinlerini kontrol edin"	2016'da 50 milyon yurttaşın kimlik verisi devletin sisteminden sızdı; kimse hesap vermedi
"Verinizin hangi amaçla saklandığını sorun"	Devlet veri tabanlarına yetkili kullanıcı hesaplarıyla girilip veri Telegram'da aylık üyelikle satıldı
"Biyometrik veriniz işlenebilir"	Kimlik numarası, adres, aile bilgisi, tapu, SGK kaydı yıllardır sorgu panellerinde
"Size ait olan sizde kalsın"	"85 milyonun verisi çalındı" iddiasına yanıt: "asılsız, ama bazı şifreler çalındı"
Meta'ya çocuk hesapları için 11,5 milyon lira ceza	AB'nin aynı fiile kestiği ceza 405 milyon avro
12.512 şikâyet	Yüzde 68'i usulden ret
Sorumluluk: kullanıcı	Sorumluluk: hesap sorulmayan kurum ve kâr eden şirket

Tablo bize bir şeyi gösteriyor: Türkiye'de veri koruma rejimi, yurttaşı sermayeye karşı korumak için değil, kurumu sorumluluktan korumak için işliyor. Yurttaş fotoğraf yükledi ve verisi sızdıysa "uyarmıştık" denilecek. Devletin sisteminden sızdıysa "asılsız" denilecek.

Neden böyle? Yapısal bir yanıt

Bu durumu kötü niyetle ya da beceriksizlikle açıklamak kolaydır ama yanlıştır. Üç yapısal neden var.

Birincisi, denetleyenin bağımsız olmaması. KVKK'nın kurul üyeleri Meclis, Cumhurbaşkanı ve eskiden Bakanlar Kurulu tarafından atanır. Denetlemesi gereken en büyük veri sorumlusu ise devletin kendisidir. Kendini atayanı denetleyen bir kurumun, devletin sızıntısında sessiz, yurttaşın fotoğrafında sesli olması tesadüf değil, tasarımdır.

İkincisi, verinin ekonomi politiği. Türkiye'de kamu verisi merkezileştirildi (e-Devlet, MERNİS, UYAP, SGK, MEDULA), ama bu merkezileşme, verinin kamu yararına kullanılmasından çok, verinin tek bir noktadan sızabilir hâle gelmesiyle sonuçlandı. Kamu kurumlarında güvenlik bütçesi, güvenlik personeli ve liyakat, bilişim altyapısına ayrılan payla ters orantılı büyüdü. Sorgu panellerinin içeriden çalışması, bilişim emekçisinin güvencesizliğinin de bir sonucudur; Bilişim Emekçisinin El Kılavuzu'nda bu bağı uzun uzun anlattık.

Üçüncüsü, yasa ile uygulama arasındaki sınıf farkı. 6698 sayılı Kanun kâğıt üzerinde GDPR'ın 1995 tarihli öncülünü kopyalar; 2024 değişikliğiyle bir miktar güncellendi. Ama yasanın gücü, uygulandığı yerin gücüyle ölçülür. Yemeksepeti'ne 1,9 milyon, Meta'ya 11,5 milyon lira; yurttaşa ise ömür boyu sızmış bir kimlik. Ceza, sermayeye maliyet, yurttaşa kader.

Somut görevler

Sizden dikkatli olmanızı istemeyeceğim; dikkatli olmak gerekli ama yeterli değil. Bireysel önlem, kolektif talebin yerine geçmemeli. Yine de ikisini birlikte sıralayalım.

Bireysel düzeyde, yüzünüzü ve rehberinizi rastgele uygulamalara vermemek, kalıcı tanımlayıcı (kimlik numarası, biyometri) ile geçici tanımlayıcıyı (şifre, telefon) ayırt etmek, her hesapta ayrı parola ve iki aşamalı doğrulama kullanmak, akımlara katılırken uygulamanın kim olduğunu bir dakika araştırmak. Bunlar sizi sızıntıdan korumaz, ama sizi en kolay hedef olmaktan çıkarır.

Kolektif düzeyde, asıl iş burada. İşyerinizde hangi verinizin toplandığını yazılı olarak sormak; bu, 6698 sayılı Kanun'un 11. maddesiyle hakkınızdır ve tek başına sormak ile sendika olarak sormak arasında dağlar kadar fark vardır. Sendika ve odaların veri koruma başvurularını toplu olarak yapması; KVKK'nın "usul eksikliği" bahanesini boşa çıkaracak standart başvuru şablonlarının paylaşılması. Sorgu paneli sızıntılarında kamu kurumlarının hesap vermesini talep eden kampanya; MERNİS 2016'nın hâlâ yanıtsız olduğunu hatırlatmak. Toplu dava (class action) hakkının veri ihlallerine tanınması talebi; bugün Türkiye'de yurttaşların bir sızıntı için birlikte dava açma imkânı fiilen yoktur. Bilişim emekçileri için: çalıştığınız kurumda "yetkili kullanıcı" hesaplarının denetimini, günlük (log) kayıtlarını, erişim ilkesini sormak; içeriden satışın önlenmesi, dışarıdan saldırının önlenmesinden daha çok bilişim işçisinin işidir.

Siyasal düzeyde, veri koruma otoritesinin gerçekten bağımsız olması, kamu kurumlarının veri sızıntısında kişisel sorumluluk taşıması ve verinin kamu mülkü olarak, yani bilgi müştereği olarak yönetilmesi talebi. Bizim çizgimiz budur: kişisel veri ne şirketin ne devletin mülküdür; toplumun kendi hakkında ürettiği bilgidir ve toplumun denetiminde olmalıdır.

Sorunun doğru adresi

Sevgili Genç Yoldaşlar, KVKK'nın "Hatıralar yaşasın, size ait olan sizde kalsın" sloganı güzel bir slogan. Sorun sloganda değil, sloganın kime söylendiğindedir.

Türkiye'de yaşayan her yurttaş, kimlik numarasının, adresinin, ana-baba adının, doğum tarihinin ve muhtemelen çok daha fazlasının bir Telegram kanalında birkaç yüz liraya satıldığını bilir ya da bilmelidir. Bu veriyi kendisi bir uygulamaya yüklemedi. Devlete verdi; çünkü vermek zorundaydı. Devlet ise bu veriyi koruyamadı, sızıntıyı önce inkâr etti, sonra kısmen kabul etti, sorumlusunu hiç bulmadı.

Bu koşullarda yurttaşın KVKK'ya vermesi gereken yanıt, uyarıyı okuyup fotoğrafı silmek değil, soruyu geri çevirmektir:

"Önce sizin elinizde, devletin sisteminde olan verimizi korumanız gerekmez mi?"

Bu soruyu tek tek değil, birlikte soralım. Çünkü mahremiyet, tıpkı emek gibi, bireysel olarak savunulamayan, ancak birlikte savunulabilen bir haktır.

Yoldaşça.