KVKK ve Dedektiflik: Müvekkil ve Üçüncü Kişi Verisi Nasıl Korunur?

Bir dedektif bürosuyla ilk kez görüşen çoğu kişi gizliliği tek yönlü düşünür: "Anlattıklarım dışarı sızar mı?" Oysa KVKK ve dedektiflik yan yana geldiğinde soru iki yönlüdür. Büro bir yanda sizin kimliğinizi, evliliğinize ya da şirketinize dair anlattıklarınızı ve ödeme bilgilerinizi tutar. Öbür yanda hakkında araştırma yapılan kişinin fotoğraflarını, saatlerini, gittiği yerleri ve birlikte görüldüğü insanları kayda geçirir. 6698 sayılı Kişisel Verilerin Korunması Kanunu bu iki veri grubunu da korur ve ikisi için de büroya ayrı yükümlülükler yükler.

Bu rehber iki tarafın sorusunu birlikte ele alıyor. Müvekkil olarak verinizin nasıl işlendiğini, hangi haklara sahip olduğunuzu ve bir büroyu seçerken neyi sormanız gerektiğini anlatıyoruz. Aynı zamanda gözlem konusu kişinin verisinin hangi hukuki sebebe dayandığını, ona aydınlatma yapılıp yapılamayacağını ve bir veri ihlalinde kimlerin bilgilendirileceğini gösteriyoruz. Kanun'un bazı noktalarda dedektifliği doğrudan öngörmediğini ve bu yüzden belirsiz kalan alanlar bulunduğunu da açıkça söyleyeceğiz; o alanlarda kesin hüküm vermek yerine ihtiyatlı bir uygulamanın nasıl kurulacağını anlatacağız.

Hukuki zemin baştan netleşsin: Türkiye'de özel dedektifliği düzenleyen ayrı bir meslek kanunu ve lisans sistemi yoktur. Bu, dedektifliğin kuralsız olduğu anlamına gelmez; faaliyet Anayasa, Türk Ceza Kanunu, usul kanunları ve KVKK gibi herkes için geçerli kurallarla sınırlanır. Genel çerçeveyi yasal çerçeve sayfamızda özetledik; bu yazı, o çerçevenin kişisel veri ayağına odaklanıyor.

KVKK dedektiflik bürolarına uygulanır mı?

Evet. KVKK, kişisel verileri tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen bütün gerçek ve tüzel kişilere uygulanır (m.2). Bir dedektiflik bürosu müvekkil kayıtlarını, saha fotoğraflarını, raporları ve fatura bilgilerini düzenli bir sistem içinde tuttuğu için Kanun'un tam kapsamındadır; dedektifliğe özgü bir muafiyet yoktur.

Kanun'un tanımları bu ilişkiyi kurmaya yeter. Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir (m.3/1-d). Bir plakanın, bir apartman girişinin, bir yüzün ya da "salı akşamları 19.00'da spor salonundan çıkıyor" notunun tek başına bir isim taşımaması onu kişisel veri olmaktan çıkarmaz; başka bilgilerle bir kişiye bağlanabiliyorsa kişisel veridir. Kişisel verilerin işlenmesi ise elde etme, kaydetme, depolama, değiştirme, aktarma ve sınıflandırma dahil veri üzerinde yapılan her türlü işlemdir (m.3/1-e). Bir dedektiflik dosyasında bu fiillerin neredeyse tamamı gerçekleşir.

Veri sorumlusu mu, veri işleyen mi?

Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişidir; veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişidir (m.3/1-ğ ve ı). Bireysel dosyalarda büro, gözlemin nasıl yapılacağına, hangi ekipmanın kullanılacağına, neyin kayda geçirileceğine ve raporun nasıl düzenleneceğine kendisi karar verir. Bu nedenle en azından kendi işleme faaliyeti bakımından veri sorumlusudur. Müvekkil dosyanın amacını belirler; sahadaki vasıtaları ise büro belirler.

Kurumsal dosyalarda tablo değişebilir. Bir şirket, kendi kayıtlarını kendi belirlediği bir çerçevede inceletmek için bir büroyla çalışıyorsa, büro bazı işlemler bakımından veri işleyen konumunda olabilir. Bu durumda KVKK m.12/2 devreye girer: Veri sorumlusu, verilerin kendi adına başkası tarafından işlenmesi hâlinde güvenlik tedbirlerinin alınmasından o kişiyle birlikte müştereken sorumludur. Rol dağılımını sözleşmede açıkça yazmak, sonradan "kim sorumluydu?" tartışmasını önler.

Kanun dedektifliğe özel bir istisna tanır mı?

Hayır. KVKK m.28/1, Kanun'un hiç uygulanmayacağı hâlleri sınırlı biçimde sayar: tamamen kişinin kendisiyle veya aynı konuttaki aile fertleriyle ilgili faaliyetler, resmî istatistik ve anonimleştirilmiş araştırma, sanat, tarih, edebiyat, bilim ve ifade özgürlüğü kapsamındaki işleme, kanunla yetkilendirilmiş kamu kurumlarının önleyici ve istihbari faaliyetleri ve yargı ile infaz mercilerinin işlemleri. Bu listede ücret karşılığı araştırma yapan özel bir büroya uyan bir bent yoktur.

Bu ayrıntı yaygın bir yanılgıyı da düzeltir. Müvekkilin kendi boşanma davası için tuttuğu kişisel notlar m.28/1-a'daki ev içi istisnaya girebilir; ama bu istisna, verilerin üçüncü kişilere verilmemesi ve veri güvenliği yükümlülüklerine uyulması şartına bağlıdır. Müvekkil bu notları bir büroya verdiği anda büronun yaptığı işleme ticari bir faaliyettir ve istisnanın kapsamı dışında kalır. Aynı şekilde mahkeme delili kendi dosyasında işlerken m.28/1-d gereği Kanun'un dışındadır; ama delili toplayan büro ve onu sunan avukat değildir.

İki ayrı veri evreni: Müvekkil verisi ve gözlem konusu kişinin verisi

Bir dedektiflik dosyasında birbirinden tamamen farklı iki veri evreni vardır. Birincisi müvekkilin kendisiyle ilgili verilerdir ve doğrudan ondan, onun bilgisiyle elde edilir. İkincisi gözlem konusu kişiye ve tesadüfen kayda giren başkalarına ait verilerdir; bu veriler o kişilerden değil, saha gözleminden ve açık kaynaklardan elde edilir ve bu kişiler çoğu zaman bundan habersizdir.

Bu ayrım soyut bir sınıflandırma değildir. Hukuki sebep, aydınlatmanın zamanı, ilgili kişinin hakları, saklama süresi ve ihlal hâlinde kimin bilgilendirileceği iki evrende farklı işler. İki evreni aynı klasörde, aynı erişim yetkileriyle ve aynı saklama süresiyle tutan bir büro, KVKK'nın en temel ayrımını gözden kaçırıyor demektir.

Üçüncü bir grup: Kadrajda kalanlar

Gözlem konusu kişiyle aynı karede görünen garson, yan masadaki aile, otoparktaki diğer araçların plakaları ya da apartman girişinden geçen komşular da ilgili kişidir. Dosyanın sorusuyla hiçbir ilgileri yoktur ve verilerinin işlenmesi için meşru bir amaç da bulunmaz. Bu kişiler için doğru yaklaşım, kayıt anında onları mümkün olduğunca kadraj dışında bırakmak, rapora girecek görüntülerde yüzlerini ve plakalarını maskelemek ve orijinal kayıtları yalnızca delil bütünlüğü için gereken süre boyunca, erişimi kısıtlı biçimde saklamaktır.

Maskeleme delilin değerini düşürmez. Orijinal dosya hash değeriyle birlikte ayrı saklanır; mahkeme veya bilirkişi isterse maskesiz hâli sunulabilir. Rapora konan çalışma kopyasının maskeli olması ise raporun bir gün dosyanın dışına çıkması hâlinde masum insanların görüntülerinin de dolaşıma girmesini önler.

Çocuklar bu grubun en hassas parçasıdır. Bir velayet dosyasında çocuğun ebeveynle birlikte olup olmadığı gösterilebilir; ama çocuğun yüzü, okulunun adı veya arkadaşlarının görüntüleri rapor kopyasında yer almaz. Bir çocuğun verisinin dosyaya girmesi, o veriye ilişkin ölçülülük testini her zaman daha sıkı hâle getirir.

KVKK m.4 ilkeleri dedektiflik dosyasında ne anlama gelir?

KVKK m.4, kişisel verilerin işlenmesinde beş ilkeye uyulmasını zorunlu tutar: hukuka ve dürüstlük kurallarına uygunluk; doğruluk ve gerektiğinde güncellik; belirli, açık ve meşru amaç; amaçla bağlantılı, sınırlı ve ölçülü olma; gerekli süre kadar muhafaza. Bu ilkeler bir dedektiflik dosyasında soyut kalmaz; yöntem seçimini, kapsamı, raporun içeriğini ve dosya kapandıktan sonra olacakları doğrudan belirler.

Amaç ilkesi: Dosyanın sorusu tek cümle olmalı

Belirli ve açık amaç ilkesi, uygulamada dosyanın sorusunu yazılı ve dar biçimde tanımlamak demektir. "Eşimin hafta içi akşamları beyan ettiği yerde olup olmadığını öğrenmek" bir amaçtır; "eşim hakkında her şeyi öğrenmek" değildir. İlk soru hangi günlerde, hangi saatlerde ve hangi tür kayda ihtiyaç olduğunu belirler; ikincisi ise ölçüsüz veri toplamanın kapısını açar.

Amaç sonradan değişirse, örneğin bir sadakat araştırması sırasında müvekkil karşı tarafın gelirini de öğrenmek isterse, bu yeni bir amaçtır. Yeni amaç için hukuki sebep, kapsam ve yöntem yeniden değerlendirilir. Elde edilmiş bir verinin başka bir amaçla "nasılsa elimizde" diye kullanılması m.4/2-c'nin doğrudan ihlalidir.

Ölçülülük: Veri minimizasyonu sahada nasıl görünür?

Veri minimizasyonu, dosyanın sorusunu cevaplamak için gerekmeyen verinin hiç toplanmaması, toplanmışsa rapora alınmamasıdır. Sahada bu, kameranın kişinin değil olayın peşinde olması anlamına gelir. Gözlem konusu kişi bir hastaneye, bir ibadethaneye ya da bir sendika binasına girdiyse ve bu bilgi dosyanın sorusuyla doğrudan ilgili değilse rapora girmez; çünkü bu tür bilgiler aynı zamanda özel nitelikli kişisel veridir.

Rapor yazımında da aynı ölçü uygulanır. Kronolojide "15.40, ilgili kişi işyerinden çıktı" yazmak yeterliyken kişinin kıyafetini, telefonla konuşma süresini ya da yanından geçenlerin görünüşünü ayrıntılı anlatmak hem gereksizdir hem de raporun kendisini bir risk belgesine dönüştürür. İyi bir rapor kısa olduğu için değil, sorunun dışına taşmadığı için güçlüdür.

Doğruluk: Yanlış kişiyi izlemek de bir veri sorunudur

Doğruluk ilkesinin dedektiflikteki en somut hâli kimlik doğrulamasıdır. Gözlem başlamadan önce gözlem konusu kişinin kim olduğu, hangi aracı kullandığı ve hangi adreste bulunduğu müvekkilin verdiği bilgilerle ve açık kaynaklarla teyit edilir. Benzer model ve renkteki bir aracı izlemek ya da benzer görünüşlü birini fotoğraflamak hem dosyayı boşa çıkarır hem de tamamen ilgisiz birinin verisinin hukuki sebep olmadan işlenmesine yol açar.

Doğruluk raporun diline de yansır. "Görüldü" ile "olduğu değerlendirildi" aynı şey değildir. Bir bulgunun doğrudan gözlem mi, çıkarım mı olduğu raporda ayrıştırılmazsa, yanlış bir yorum kişisel veri olarak kayda geçer ve dosyadan dosyaya taşınabilir.

Hangi hukuki sebeple? KVKK m.5 ve m.6 işleme şartları

Kişisel veri kural olarak açık rıza olmadan işlenemez (m.5/1); ancak m.5/2'de sayılan şartlardan biri varsa açık rıza aranmaz. Dedektiflik dosyalarında müvekkil verisi çoğunlukla sözleşmenin ifasına ve hukuki yükümlülüğe, gözlem konusu kişinin verisi ise çoğunlukla bir hakkın tesisi, kullanılması veya korunması için zorunluluğa ve meşru menfaate dayanır. Gözlenen kişiden açık rıza almak dosyanın doğası gereği mümkün değildir; bu yüzden diğer şartların titizlikle ve yazılı olarak değerlendirilmesi gerekir.

KVKK m.5/2'deki şartlar şunlardır: kanunlarda açıkça öngörülmesi (a); fiili imkânsızlık hâlinde hayat veya beden bütünlüğünün korunması için zorunluluk (b); bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması (c); veri sorumlusunun hukuki yükümlülüğü (ç); ilgili kişinin kendisi tarafından alenileştirilmiş olması (d); bir hakkın tesisi, kullanılması veya korunması için zorunluluk (e); ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için zorunluluk (f).

Gözlem konusu kişi için "hakkın tesisi" şartı

Kişisel Verileri Koruma Kurumu'nun işleme şartlarına ilişkin rehberi, bu şarta örnek olarak bir şirketin kendi çalışanının açtığı davada ispat için bazı kişisel verileri kullanmasını gösterir. Bir boşanma davasında kusurun ispatı, bir velayet davasında çocuğun durumunun ortaya konması ya da bir iş davasında haklı fesih sebebinin gösterilmesi de aynı mantıkla bir hakkın kullanılması veya korunmasıdır.

Bu şartın kilit kelimesi "zorunlu"dur. Verinin işe yaraması yetmez; hakkın kullanılması için gerekli olması gerekir. Dava ya da hukuki bir adım düşünülmeyen, yalnızca merak veya kontrol amacı taşıyan bir talep bu şarta dayanamaz. Aynı şekilde ispat için gerekenden fazlası, örneğin kişinin dosyayla ilgisi olmayan arkadaş çevresinin tamamı, zorunluluk sınırının dışında kalır.

Meşru menfaat ve denge testi

Meşru menfaat şartı Kurum rehberinde iki aşamalı bir değerlendirme olarak anlatılır: Önce veri sorumlusunun meşru, belirli ve halihazırda mevcut bir menfaatinin bulunup bulunmadığı tespit edilir; sonra bu menfaatin ilgili kişinin temel hak ve özgürlüklerine zarar vermediği belirlenir. Rehber bu şartın her şeyi kapsayan sınırsız bir yetki olmadığını da açıkça vurgular.

Bir dedektiflik dosyasında denge testi pratikte birkaç soruyla yapılır. Müvekkilin menfaati ciddi ve somut mu? Aynı sonuca daha az müdahaleci bir yolla ulaşılabilir mi? Gözlem süresi ve saatleri sorunun gerektirdiğiyle sınırlı mı? Kayıt yalnızca kamuya açık alanda mı yapılıyor? Bu soruların cevabını dosya kabulünde yazılı tutan bir büro, bir şikâyet hâlinde neden bu yolu seçtiğini gösterebilir.

Alenileştirme: Herkesin görebildiği her şey aleni değildir

İlgili kişinin kendisi tarafından alenileştirilmiş veriler m.5/2-d uyarınca işlenebilir; ama bu şart sanıldığından çok daha dardır. Kurum rehberine göre bir verinin alenileştirilmiş sayılabilmesi için sahibinin onun aleni olmasını istemesi, yani bir alenileştirme iradesi gerekir; verinin herkesin görebileceği bir yerde bulunması tek başına yetmez. Alenileştirilmiş veri de alenileştirme amacı dışında kullanılamaz. Rehberin örneği açıktır: İkinci el araç satış sitesine ilan veren kişinin iletişim bilgisi pazarlama amacıyla kullanılamaz.

Bu yaklaşım açık kaynak araştırmasının sınırını da çizer. Bir kişinin kendi işini tanıtmak için paylaştığı iş adresi ile bir arkadaşının etiketlediği fotoğrafta görünen ev adresi aynı şey değildir. Açık kaynakların hukuka uygun kullanımını OSINT nedir rehberimizde ayrıntılı ele aldık.

Özel nitelikli veriler ve 2024 değişikliği

KVKK m.6/1; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ve biyometrik ve genetik verileri özel nitelikli sayar. Dedektiflik dosyalarında bu kategorilerden en sık gündeme geleni cinsel hayattır: Bir aldatma iddiasını araştıran dosyada, gözlem konusu kişinin bir başkasıyla romantik birlikteliğini gösteren kayıtlar bu niteliktedir. İstirahat raporu suistimali araştırmasında sağlık, bir ibadethane girişinde din, geçmiş araştırmalarında ceza mahkûmiyeti verisi de gündeme gelebilir.

2024'te 7499 sayılı Kanun'la m.6 yeniden düzenlendi. Değişiklikten önce özellikle cinsel hayata ve sağlığa ilişkin veriler, açık rıza dışında çok dar şartlarla işlenebiliyordu. Yeni m.6/3 özel nitelikli verilerin işlenmesinin yasak olduğunu tekrarlar ve istisnaları sayar; bunlar arasında "bir hakkın tesisi, kullanılması veya korunması için zorunlu olması" (m.6/3-d) ile "ilgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması" (m.6/3-ç) da vardır. Maddenin dördüncü fıkrası ise özel nitelikli verilerin işlenmesinde Kurul'un belirlediği yeterli önlemlerin ayrıca alınmasını şart koşar.

Bu değişiklik dedektiflik dosyalarına sınırsız bir alan açmaz. Zorunluluk eşiği özel nitelikli veride daha da sıkı uygulanmalı, erişim daha dar tutulmalı, rapordaki ayrıntı en aza indirilmeli ve saklama süresi kısaltılmalıdır. Romantik bir birlikteliği ispat etmek için tek bir zaman damgalı kare yeterliyken aynı anın onlarca karesini rapora koymak, zorunluluk ölçüsünü aşar.

Kurumsal dosyalarda hukuki sebep: İşveren, çalışan ve büro

Kurumsal soruşturmalarda tabloya bir taraf daha eklenir: çalışanın verilerini zaten işleyen işveren. Türk Borçlar Kanunu m.419, işverenin işçiye ait kişisel verileri ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabileceğini düzenler; KVKK'nın ilkeleri buna eklenir. İşveren çalışanlarını hangi verilerin hangi amaçla işlenebileceği konusunda önceden aydınlatmamışsa, büronun yapacağı inceleme de zayıf bir zemine oturur.

Kişisel Verileri Koruma Kurulu'nun kurumsal e-posta içeriklerinin izlenmesine ilişkin 19.01.2023 tarihli ve 2023/86 sayılı karar özeti bu dengenin nasıl kurulduğunu gösterir. Kurul, çalışanın imzaladığı metinlerle aydınlatmanın yapıldığını kabul etmiş, denetimi bir hakkın tesisi ve işverenin meşru menfaati şartları kapsamında değerlendirmiş, faaliyeti amaçla bağlantılı, sınırlı ve ölçülü bulmuş ve idari para cezası uygulamamıştır. Kararın taşıdığı ders, önceden yapılmış aydınlatmanın ve ölçülülüğün sonradan yapılacak bir incelemenin hukuki kaderini belirlediğidir.

Kurumsal soruşturma dosyalarında bu yüzden ilk iş, şirketin mevcut aydınlatma metinlerini ve cihaz ile e-posta kullanım politikalarını görmektir. İşe alım öncesi personel araştırmasında ise aday, araştırmanın yapılacağı konusunda baştan aydınlatılır. Adli sicil kaydı gibi yalnızca kişinin kendisinin veya yetkili makamların erişebildiği kayıtlar, ancak aday tarafından sunulursa dosyaya girer.

Aydınlatma yükümlülüğü: Müvekkile ne söylenmeli, gözlenen kişiye ne olur?

KVKK m.10'a göre veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişiye kendi kimliğini, verilerin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve m.11'deki haklarını bildirmekle yükümlüdür. Müvekkil bakımından bu yükümlülük basittir ve ilk temas anında yerine getirilir. Gözlem konusu kişi bakımından ise Kanun'un dedektiflikteki en zor sorusudur.

Müvekkile aydınlatma: İlk temasta, açık ve ayrı

Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, aydınlatmanın her işleme amacı için yapılmasını, amaç değiştiğinde yenilenmesini, anlaşılır ve sade bir dille yapılmasını ve açık rızaya dayanan işlemelerde aydınlatmanın rıza beyanından ayrı tutulmasını ister. Aydınlatmanın yapıldığını ispat yükü de veri sorumlusundadır. Bu yüzden ciddi bir büro aydınlatmayı sözlü olarak geçiştirmez; metni yazılı verir, hangi kanaldan ve ne zaman verildiğini kaydeder.

Kanıt Dedektiflik'in müvekkil verilerini hangi amaçla, hangi hukuki sebeple ve ne kadar süre işlediği KVKK aydınlatma metnimizde yer alır. Hangi büroyla görüşürseniz görüşün, onun metnini istemeniz ve okumanız, büronun veri yönetimi hakkında yapabileceğiniz ilk ve en kolay testtir.

Gözlem konusu kişiye aydınlatma: Kanun'un açık bıraktığı alan

Tebliğ, verilerin ilgili kişiden elde edilmediği durumlar için de bir zaman çizelgesi öngörür: Aydınlatma, verinin elde edilmesinden itibaren makul bir süre içinde; veri ilgili kişiyle iletişim için kullanılacaksa ilk iletişimde; aktarılacaksa en geç ilk aktarım anında yapılır. Bu kural, gözlem konusu kişinin habersiz olmasını gerektiren bir dosyayla doğrudan çatışır. Gözlem başlamadan aydınlatma yapmak dosyanın amacını ortadan kaldırır; hiç yapmamak ise m.10'a aykırılık tartışmasını doğurur.

Kanun bu çatışmayı yalnızca m.28/2 ile ve sınırlı biçimde ele alır. Bu fıkra, Kanun'un amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla aydınlatma yükümlülüğünün (m.10), zararın giderilmesini isteme hakkı hariç ilgili kişi haklarının (m.11) ve sicile kayıt yükümlülüğünün (m.16) dört hâlde uygulanmayacağını söyler.

Tablonun sonucu açıktır: Tipik bir aile hukuku dosyasını, örneğin bir aldatma veya velayet araştırmasını, m.28/2'nin hiçbir bendi doğrudan kapsamaz. Kanun'da, Avrupa Birliği Genel Veri Koruma Tüzüğü'ndeki gibi aydınlatmanın orantısız çaba gerektirdiği ya da işlemenin amacını ciddi biçimde engelleyeceği durumlar için genel bir istisna da yoktur. Bu, gözlem konusu kişiye aydınlatmanın dedektiflik dosyalarında hukuken çözümlenmemiş bir gerilim olarak kaldığı anlamına gelir. Bu noktada kesin konuşan bir büro da, "KVKK bizi ilgilendirmez" diyen bir büro da okurunu yanıltır.

Bu belirsizlik pratikte nasıl yönetilir?

Belirsiz bir alanda yapılabilecek en doğru şey, riski veri miktarını ve süreyi küçülterek azaltmak ve kararların gerekçesini yazılı tutmaktır. Dosya kabulünde hangi hukuki sebebe dayanıldığı, denge testinin nasıl yapıldığı ve gözlem öncesinde neden aydınlatma yapılamayacağı kısa bir notla kayda geçirilir. Toplanan veri dosyanın sorusuyla sınırlanır, özel nitelikli veriler ayrıca işaretlenir ve amaç gerçekleştiğinde veriler imha edilir.

Uygulamada gözlem konusu kişi çoğu dosyada durumu, bulguların dava dilekçesine veya delil listesine eklenmesiyle, yani verinin ilk kez aktarıldığı aşamada öğrenir. Hukuk yargılamasında karşı taraf delillere karşı beyanda bulunabilir ve itiraz edebilir. Bu, Tebliğ'deki "ilk aktarım" mantığıyla tam örtüşmese de gözlenen kişinin verisinin varlığından habersiz kalmadığı bir süreçtir. Ancak bu sonuç dava açılmayan dosyalarda doğmaz; dava açılmayacağı kesinleşen bir dosyada toplanan veriyi saklamanın gerekçesi de kalmaz.

Bu tartışma hukukçular arasında sürmektedir ve ileride bir Kurul kararı ya da yargı kararıyla netleşebilir. O güne kadar ölçü basittir: Aydınlatma yapılamayan her veri, yapılabilen veriden daha kısa süre ve daha dar erişimle tutulmalıdır.

Gözlenen kişi büroya başvurursa

Gözlem konusu kişinin de m.11 hakları vardır: kendisiyle ilgili veri işlenip işlenmediğini öğrenme, bilgi isteme, işleme amacını öğrenme, verilerin aktarıldığı üçüncü kişileri bilme, düzeltme ve silme isteme, zararın giderilmesini talep etme. Böyle bir başvuru geldiğinde veri sorumlusu, m.13 uyarınca talebi en geç otuz gün içinde sonuçlandırmak, kabul etmek veya gerekçesini açıklayarak reddetmek zorundadır. Başvuru reddedilir, cevap yetersiz bulunur ya da süresinde cevap verilmezse ilgili kişi m.14 uyarınca, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyette bulunabilir.

Bu başvuru müvekkilin gizliliğiyle çatışabilir; özellikle "verilerimin aktarıldığı kişileri bilme" hakkı müvekkilin kimliğini sorgular hâle gelir. Kanun dedektiflik için özel bir gizlilik istisnası öngörmez. Bu nedenle böyle bir başvuru görmezden gelinmez; cevap, hangi hakkın hangi gerekçeyle sınırlanabileceği avukatla birlikte değerlendirilerek yazılır. Cevapsız bırakılan bir başvuru, büroyu hem Kurul şikâyetiyle hem de çok daha sert bir tartışmayla karşı karşıya bırakır.

Müvekkilin kendi verisine erişim hakkı

Müvekkil büroya karşı da bir ilgili kişidir ve KVKK m.11'deki haklarını her zaman kullanabilir. Bu haklar müvekkilin kendisiyle ilgili verileri kapsar: kimlik ve iletişim bilgileri, olay anlatımı, sözleşme ve ödeme kayıtları, kendisiyle yapılan yazışmalar. Gözlem konusu kişiye ait veriler ise müvekkilin m.11 hakkının konusu değildir; müvekkil bunlara sözleşme gereği teslim edilen rapor üzerinden ulaşır.

Bu ayrım iki pratik sonuç doğurur. Birincisi, müvekkil dosya kapandıktan sonra "benim hakkımda ne tutuyorsunuz?" diye sorabilir ve büro bu soruya otuz gün içinde cevap vermek zorundadır. İkincisi, müvekkil "ham görüntülerin hepsini istiyorum" dediğinde bu talep KVKK'dan değil sözleşmeden doğar; ham görüntülerde kadraja girmiş ilgisiz kişilerin verileri de bulunduğu için büronun bu talebi ölçülülük ilkesiyle tartması meşrudur.

Ön görüşmede ne kadar bilgi vermelisiniz?

İlk görüşmede büronun talebin hukuka uygunluğunu değerlendirebileceği kadar bilgi yeterlidir: dosyanın sorusu, gözlem konusu kişiyle ilişkiniz, şehir ve kabaca zaman aralığı. Kimlik numarası, banka bilgisi, sağlık raporları veya çocuklara ait belgeler bu aşamada gerekmez. İlk görüşmede sizden gereğinden fazla belge isteyen bir büro, veri minimizasyonunu kendi dosyasında bile uygulamıyor demektir.

Aynı ölçü sizin için de geçerlidir. Gözlem konusu kişinin sağlık durumu, geçmiş ilişkileri ya da çocukların okul bilgileri dosyanın sorusuyla ilgili değilse büroya iletmeniz gerekmez. Büroya verdiğiniz her bilgi, büronun korumak zorunda olduğu bir veriye dönüşür; gereksiz veri ise yalnızca riski büyütür.

Veri güvenliği: KVKK m.12'nin büro içindeki karşılığı

KVKK m.12/1, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin edecek her türlü teknik ve idari tedbiri almasını zorunlu tutar. Bir dedektiflik bürosunda bu yükümlülüğün ağırlığı işlenen verinin niteliğinden gelir: Tek bir sızıntı müvekkilin özel hayatını, gözlenen kişinin hareketlerini ve çoğu zaman bir aile krizini aynı anda açığa çıkarır.

Kanun'un iki fıkrası bürolar için özellikle önemlidir. m.12/3, veri sorumlusunun kendi kurumunda Kanun hükümlerinin uygulanmasını sağlamak için gerekli denetimleri yapmasını veya yaptırmasını ister. m.12/4 ise veri sorumluları ile veri işleyenlerin öğrendikleri kişisel verileri Kanun'a aykırı biçimde başkasına açıklayamayacağını ve işleme amacı dışında kullanamayacağını, bu yükümlülüğün görevden ayrılmalarından sonra da süreceğini düzenler. Büroda çalışmış bir saha görevlisinin işten ayrıldıktan sonra bir dosyayı anlatması bu hükmün doğrudan konusudur.

Yurt dışındaki bulut hizmetleri

Büroların sık gözden kaçırdığı nokta, raporları ve görüntüleri saklamak için kullanılan bulut hizmetinin sunucularının yurt dışında olabilmesidir. 2024 değişikliğiyle yeniden düzenlenen KVKK m.9, yurt dışına aktarımı yeterlilik kararına, yoksa Kurul'un ilan ettiği standart sözleşme gibi uygun güvencelere ve bunlar da yoksa yalnızca arızi nitelikteki sınırlı hâllere bağlar. Standart sözleşme kullanılırsa, imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilmesi gerekir ve bildirimin yapılmaması ayrı bir idari para cezası sebebidir. Özel nitelikli veri içeren dosyalar için en sade çözüm, verinin hangi ülkede saklandığını bilmek ve gerekmedikçe yurt dışına çıkarmamaktır.

İdari ve cezai sorumluluk

KVKK m.18, aydınlatma yükümlülüğüne, veri güvenliği yükümlülüklerine, Kurul kararlarına ve sicil yükümlülüğüne aykırılık için ayrı ayrı idari para cezaları öngörür; tutarlar her yıl yeniden değerleme oranında güncellenir. Kurul'un verdiği idari para cezalarına karşı idare mahkemesinde dava açılabilir.

Cezai sorumluluk ise ayrı bir katmandır. KVKK m.17, kişisel verilere ilişkin suçlar bakımından TCK m.135–140'a gönderme yapar. TCK m.135 hukuka aykırı olarak kişisel verileri kaydetmeyi bir yıldan üç yıla kadar, m.136 kişisel verileri hukuka aykırı olarak bir başkasına vermeyi, yaymayı veya ele geçirmeyi iki yıldan dört yıla kadar hapis cezasıyla yaptırıma bağlar. TCK m.137 bu suçların belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesini nitelikli hâl sayar ve cezayı yarı oranında artırır; m.140 tüzel kişiler hakkında güvenlik tedbirlerini öngörür. Kayıt, verme-ele geçirme ve yok etmeme suçlarının soruşturulması şikâyete bağlı değildir.

Saklama ve imha: Dosya kapandıktan sonra veriler ne olur?

Kişisel veriler ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar saklanır (m.4/2-d); işlenmesini gerektiren sebepler ortadan kalktığında resen veya ilgili kişinin talebiyle silinir, yok edilir veya anonim hâle getirilir (m.7/1). Bir dedektiflik dosyasında bu "sebep" çoğu zaman davadır: Dava ve olası kanun yolu süreçleri sürerken delil korunur; bu süreçler bittiğinde ya da dava açılmayacağı kesinleştiğinde imha edilir.

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik bu genel kuralı somut sürelere bağlar. Veri Sorumluları Siciline kayıt yükümlüsü olanlar bir kişisel veri saklama ve imha politikası hazırlamak zorundadır (m.5). Politika hazırlayan veri sorumlusu, silme yükümlülüğünün doğduğu tarihi izleyen ilk periyodik imhada verileri imha eder ve periyodik imhanın aralığı her hâlde altı ayı geçemez (m.11/2). Politika yükümlülüğü olmayan veri sorumlusu ise yükümlülüğün doğduğu tarihi izleyen üç ay içinde imha eder (m.11/3). İlgili kişi silme talebinde bulunur ve işleme şartlarının tamamı ortadan kalkmışsa talep en geç otuz gün içinde sonuçlandırılır (m.12). Silme, yok etme ve anonimleştirme işlemlerinin tamamı kayda alınır ve bu kayıtlar en az üç yıl saklanır (m.7/3).

İmha etmemenin sonucu yalnızca idari değildir. KVKK m.17/2'ye göre m.7'ye aykırı olarak kişisel verileri silmeyen veya anonim hâle getirmeyenler TCK m.138 uyarınca cezalandırılır; bu suçun yaptırımı bir yıldan iki yıla kadar hapis cezasıdır. "Silmeyi unuttuk" savunması, bir büro için düşünüldüğünden çok daha pahalı olabilir.

Delil zinciri ile veri minimizasyonu çatışır mı?

İlk bakışta çatışıyor gibi görünür: Delil zinciri orijinallerin değiştirilmeden ve uzun süre korunmasını isterken, KVKK verinin gerekenden fazla saklanmamasını ister. Çatışma, saklamanın süresini dosyanın hukuki takvimine bağlayarak çözülür. Dava sürerken orijinaller korunur, çünkü bilirkişi incelemesi her an gündeme gelebilir; bu süreç bittiğinde aynı orijinaller tutanakla imha edilir.

Bu yüzden sözleşmede iki model arasında bilinçli bir seçim yapılmalıdır. "Teslim et ve sil" modelinde büro, Delil Dosyası'nı orijinaller ve hash listesiyle birlikte müvekkile veya avukatına teslim eder ve kendi kopyasını kısa bir itiraz süresinden sonra imha eder; delil zincirinin sonraki halkasını avukat sürdürür. "Emanet" modelinde büro orijinalleri dava boyunca kendisi saklar ve davanın bittiğinin bildirilmesini bekler. İkinci model daha ağır bir güvenlik yükü taşır ve davanın bittiğinin büroya bildirilmesi unutulduğunda kolayca süresiz saklamaya dönüşür.

Hangi model seçilirse seçilsin, belirleyici olan sürenin yazılı olmasıdır. "Dava bitince imha" ifadesi, davanın bittiğini kimin, ne zaman ve hangi belgeyle bildireceği yazılmadıkça uygulanabilir bir kural değildir.

Veri ihlali olursa: KVKK m.12/5 ve 72 saat kuralı

KVKK m.12/5'e göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurul'a bildirir. Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarihli ve 2019/10 sayılı kararı, "en kısa süre" ifadesini Kurul'a bildirim bakımından ihlalin öğrenilmesinden itibaren 72 saat olarak yorumlar. İlgili kişilere ise etkilenen kişiler tespit edildikten sonra makul en kısa sürede, doğrudan ulaşılabiliyorsa doğrudan, ulaşılamıyorsa internet sitesinde yayın gibi uygun yöntemlerle bildirim yapılır.

Aynı karar, 72 saat içinde bildirim yapılamazsa gecikmenin gerekçesinin bildirimle birlikte açıklanmasını, ihlale ilişkin bilgilerin, etkilerinin ve alınan önlemlerin kayıt altında tutulmasını ve bir ihlal müdahale planı hazırlanmasını öngörür. Veri işleyen bir ihlali öğrendiğinde bunu gecikmeksizin veri sorumlusuna bildirir. Kurul, ilgili kişiye yapılacak bildirimde bulunması gereken asgari unsurları da 18.09.2019 tarihli ve 2019/271 sayılı kararıyla ayrıca belirlemiştir.

İhlal bildirimi kimleri kapsar?

Dedektiflik bürosunda yaşanan bir ihlalin ayırt edici yanı, "ilgili kişiler" listesinin kime kadar uzandığıdır. Çalınan bir dizüstü bilgisayarda müvekkillerin kimlik bilgileri, gözlem konusu kişilerin fotoğrafları ve tesadüfen kadraja girenlerin görüntüleri bir arada olabilir. Kanun ilgili kişiler arasında ayrım yapmaz; bildirim, kimliği belirlenebilen ve ihlalden etkilenen herkese yöneliktir.

Bu, bir büronun karşılaşabileceği en ağır sonuçlardan biridir: Gözlem konusu kişi, izlendiğini büronun ihlal bildiriminden öğrenebilir. Müvekkilin dosyası açığa çıkar ve aile içindeki gerilim bambaşka bir boyut kazanabilir. Bu yüzden ihlal bildirimini yönetmenin en etkili yolu, bildirilecek verinin baştan az olmasıdır. Dosyası kapanmış ve verisi imha edilmiş bir müvekkil hiçbir ihlal bildiriminin konusu olmaz.

Kontrol listesi: Büronuzdan bir ihlal bildirimi alırsanız

• [ ] Bildirimde ihlalin ne zaman gerçekleştiği ve ne zaman fark edildiği yazıyor mu?
• [ ] Hangi veri kategorilerinizin, örneğin kimlik, olay anlatımı, rapor veya görüntülerin etkilendiği belirtilmiş mi?
• [ ] Olası sonuçlar ve büronun aldığı önlemler açıklanmış mı?
• [ ] Bilgi alabileceğiniz bir irtibat kişisi veya kanal gösterilmiş mi?
• [ ] Büroyla iletişimde kullandığınız e-posta ve mesajlaşma hesaplarınızın şifrelerini ve güvenliğini gözden geçirdiniz mi?
• [ ] Dosyanız devam eden bir davayla ilgiliyse avukatınızı bilgilendirdiniz mi?
• [ ] Zarara uğradığınızı düşünüyorsanız zararın giderilmesi talebini ve Kurul'a şikâyet yolunu avukatınızla değerlendirdiniz mi?

Sık yapılan hatalar

KVKK konusundaki hataların çoğu kötü niyetten değil, dedektifliğin "gizli iş" olduğu ve bu yüzden veri kurallarının işlemediği yanılgısından kaynaklanır. Aşağıdaki hatalar hem büroların hem de müvekkillerin en sık düştüğü tuzaklardır.

1. KVKK'nın dedektifliğe uygulanmadığını sanmak. Kanun'da dedektifliğe özgü bir istisna yoktur; büro veri sorumlusudur.
2. Açık rızayı tek işleme şartı sanmak. Gözlem konusu kişiden rıza alınamaz; dosya m.5/2-e veya f gibi başka şartlara dayanır ve bu dayanak yazılı olarak değerlendirilmelidir.
3. Hukuki sebebi yöntem izni sanmak. "Hakkımı koruyorum" gerekçesi telefon dinlemeyi, hesaba girmeyi ya da özel alanı görüntülemeyi hukuka uygun yapmaz.
4. Herkese açık olanı aleni sanmak. Bir verinin internette görülebilmesi, sahibinin onu her amaçla kullanılabilir kıldığı anlamına gelmez.
5. Dosyanın sorusunu yazmamak. Amaç yazılı değilse ölçülülük de denetlenemez ve kapsam sessizce genişler.
6. Özel nitelikli veriyi ayırmamak. Sağlık, inanç veya cinsel hayata ilişkin kayıtlar diğer verilerle aynı klasörde ve aynı süreyle tutulur.
7. Kadraja girenleri unutmak. Rapor kopyalarında ilgisiz kişilerin yüzleri ve plakaları maskelenmez.
8. Kişisel cihaz kullanmak. Saha görüntüleri çalışanın kişisel telefonunda ve bulut hesabında birikir.
9. Raporu mesajlaşma uygulamasıyla göndermek. Delil dosyası birden fazla cihaza ve sohbet yedeğine dağılır.
10. Süresiz saklamak. "Belki lazım olur" diye tutulan arşiv hem m.7'ye aykırıdır hem de olası bir ihlalin etki alanını büyütür.
11. İmhayı belgelememek. Tutanaksız imha, imhanın yapıldığını ispat edemez.
12. Gözlenen kişinin başvurusunu cevapsız bırakmak. Otuz gün içinde cevap verilmeyen başvuru Kurul şikâyetine dönüşebilir.

Büro seçerken sorulacak KVKK soruları

Bir büronun kişisel verilere nasıl yaklaştığını anlamanın en hızlı yolu, ilk görüşmede birkaç somut soru sormaktır. Bu sorular hukuki bilgi gerektirmez; cevapların açık, yazılı ve tutarlı olup olmadığına bakmanız yeterlidir. Bir büroyu yöntem, sözleşme ve rapor kalitesi açısından bütünüyle değerlendirmek için özel dedektif nasıl seçilir rehberimize de bakabilirsiniz; aşağıdaki liste yalnızca veri koruma boyutuna odaklanır.

Kontrol listesi: İlk görüşmede sorulacak KVKK soruları

• [ ] Size yazılı bir KVKK aydınlatma metni veriliyor mu ve büronun unvanı bu metinde açıkça yazıyor mu?
• [ ] Verilerinizin hangi hukuki sebebe dayanılarak işlendiği metinde belirtilmiş mi?
• [ ] Dosya açılmazsa ön görüşmede paylaştığınız bilgilerin ne olacağı söylendi mi?
• [ ] Gözlem konusu kişinin verileri için hangi hukuki sebebe dayanıldığı ve bunun nasıl belgelendiği açıklanabiliyor mu?
• [ ] Yasak yöntemler sözleşmede yazılı olarak sayılıyor mu?
• [ ] Saha görevlileri göreve özel cihaz mı, kişisel telefon mu kullanıyor?
• [ ] Rapor ve görüntüler hangi ortamda ve hangi ülkedeki sunucularda saklanıyor?
• [ ] Rapor size hangi kanalla ve nasıl korunarak teslim ediliyor?
• [ ] Rapordaki ilgisiz kişilerin yüzleri ve plakaları maskeleniyor mu; orijinaller nasıl saklanıyor?
• [ ] Dosya kapandıktan sonra verilerin ne kadar süre saklanacağı ve nasıl imha edileceği sözleşmede yazıyor mu?
• [ ] İmha yapıldığında tutanak düzenleniyor ve size yazılı teyit veriliyor mu?
• [ ] Büronun bir veri ihlali durumunda size nasıl ve ne kadar sürede ulaşacağına dair bir planı var mı?
• [ ] Başka şehirde çalışacak ekip veya alt yükleniciyle yazılı gizlilik sözleşmesi yapılıyor mu?

Son satır özellikle önemlidir. "Kimse öğrenmez" cevabı, büronun gözlenen kişinin haklarını yok saydığını gösterir; aynı büronun sizin haklarınıza nasıl yaklaşacağını tahmin etmek de zor değildir.

Kanıt Dedektiflik bu süreçte ne yapar?

Kanıt Dedektiflik kişisel veri korumasını dosyanın sonuna eklenen bir uyum işi olarak değil, Kanıt Yöntemi'nin ilk adımından itibaren işleyen bir çalışma kuralı olarak ele alır. Hukuka Uygunluk Ön Testi'nde talebin amacı, gözlem konusu kişiyle ilişkiniz ve verinin hangi hukuki sebebe dayanacağı birlikte değerlendirilir. Yazılı kapsamda dosyanın sorusu, gözlem süresi ve kullanılmayacak yöntemler açıkça yer alır. Talep hukuka uygun değilse ya da veri işleme için meşru bir dayanak bulunmuyorsa dosya kabul edilmez.

Ön görüşme kayıt altına alınmaz ve dosya açılmazsa paylaştığınız bilgiler saklanmaz. Özel nitelikli kişisel veri talep etmeyiz; bir dosyada zorunlu olarak gündeme gelirse KVKK m.6'daki şartlar ve ek güvenlik önlemleri dışında işlenmez. Sahada kayıt yalnızca kamuya açık alanda yapılır. Delil Dosyası'nda ilgisiz kişilerin yüzleri ve plakaları maskelenir; orijinaller hash listesiyle birlikte ayrı ve erişimi sınırlı biçimde tutulur.

Delil Dosyası müvekkile veya yetkilendirdiği avukata tutanakla teslim edilir. Saklama süresi sözleşmede yazılıdır; süre dolduğunda veriler silinir veya yok edilir ve imha tutanağı düzenlenir. Müvekkil olarak ya da hakkında veri işlendiğini düşünen biri olarak yapacağınız başvurular, KVKK m.13'teki süre içinde yazılı olarak cevaplanır.

Dosya açmadan önce yazılı bir veri planı isteyin

KVKK, dedektiflik dosyalarında bir engel değil, iyi çalışmanın ölçüsüdür. Dosyanın sorusunu dar tutan, yalnızca gerekeni kaydeden, ilgisiz kişileri maskeleyen ve işi bitince veriyi imha eden bir büro hem gözlem konusu kişinin haklarına saygı gösterir hem de sizin dosyanızı daha savunulabilir kılar. Ölçüsüz toplanmış, kötü saklanmış ya da yıllarca unutulmuş bir arşiv ise en çok müvekkil için risktir.

Bir büroyla çalışmaya karar vermeden önce üç belge isteyin: yazılı aydınlatma metni, kapsamı ve yasak yöntemleri gösteren sözleşme taslağı ve saklama-imha süresini belirten madde. Bu üç belgeyi vermekte zorlanan bir büro verinizi korumakta da zorlanacaktır. Dosyanız kurumsal bir soruşturmaysa şirketinizin çalışan aydınlatma metinlerini ve cihaz kullanım politikalarını da ilk görüşmeye getirin; büronun değerlendirmesi bu belgelerle başlar.

Dosyanın sonunda da bir adım kalır: Delil Dosyası'nı teslim aldığınızda saklama süresinin ne zaman dolacağını takviminize not edin ve dava bittiğinde bunu büroya ya da avukatınıza yazılı olarak bildirin. Dosyanızın veri planını birlikte kurmak isterseniz, ücretsiz bir ön görüşme için iletişim sayfasından bize ulaşabilirsiniz.