Veri kimde, sorumluluk kimde?
Bir okur sordu: “Paykwik PIN aldım, reseller TC kimlik bilgimi istedi. Bu yasal mı?” Cevap iki katmanlı bir hukuki değerlendirme gerektiriyor. KVKK kapsamında reseller’ın veri toplaması yasal olabilir, ama belirli koşullar altında. O koşulları sağlamadan veri istemek hukuki olarak savunulamaz.
Asıl önemli olan ayrım: veriyi kim topluyor, kim koruyor, kim sorumlu? Paykwik PIN’i ürün olarak Paysafe Holdings’in. Ama PIN’i size satan reseller ayrı bir tüzel kişilik. Reseller TC kimlik istediğinde bu veri Paysafe’e gitmiyor, reseller’ın kendi veritabanına gidiyor. Yani KVKK açısından muhatap reseller, Paysafe değil.
Toplanan veri tipleri
Reseller’ların PIN satışı sırasında istediği veriler kategori bazında değişiyor. Minimum kategori: ad-soyad ve telefon. Bu kategori en az veri talep eden reseller’larda görünüyor; pratikte gerekli minimum.
Orta kategori: ad-soyad, telefon, e-posta, TC kimlik numarası. Çoğu büyük reseller bu kategoride çalışıyor. Veriler hem ödeme süreci hem de aklama önleme amacıyla isteniyor.
Maksimum kategori: yukarıdakine ek olarak fotoğraflı kimlik (selfie veya kimlik fotoğrafı), ikametgah belgesi, banka hesap özeti. Bu kategori bozdurma reseller’larında — yani Paykwik bakiyesini nakte çevirme hizmeti verenlerde — yaygın. KYC süreçleri bu kategoride en sıkı.
Bir başka veri tipi: oturum verileri. Reseller siteyi ziyaret ettiğinizde tarayıcı parmak izi, IP adresi, çerez bilgileri, ziyaret saatleri otomatik olarak toplanıyor. Bu veriler “aydınlatma metnine” giriyor olsa da, çoğu kullanıcı bu kategoriyi farkına varmadan onaylıyor.
Paysafe Holdings 2025 üçüncü çeyrekte 433,8 milyon USD ciro yapan, 260 ödeme türü ve 48 para birimi destekleyen bir ölçekte iş yapıyor; 2024 cirosu 1,7048 milyar USD. Bu büyüklükteki bir ekosistemde tüketici verisi koruma standartları yüksek olmak zorunda — ama reseller seviyesinde bu standart düşebiliyor.
Aydınlatma yükümlülüğü ve uygulamada
KVKK uyarınca veri toplayan herhangi bir kuruluş, veri sahibini hangi verilerin hangi amaçla toplandığı, kimlerle paylaşılacağı, ne kadar süre saklanacağı, hangi haklarının olduğu konusunda aydınlatmak zorunda. Bu yükümlülük teorik olarak net, pratikte uygulanışı zayıf.
Reseller siteleri çoğunlukla bir “Aydınlatma Metni” sayfası içeriyor, ama metin standart kalıplarla yazılmış olabiliyor; spesifik veri kullanım amaçları belirsiz. KVKK Kurumu’nun şikayet incelemelerinde bu standart metinlerin yeterli sayılıp sayılmadığı tartışmalı.
2025 yılında yükümlülük denetimleri kapsamında 613 kurum ve kuruluş incelendi, 3,6 milyar TL idari para cezası kesildi. Bu denetimler Paykwik reseller’larını da kapsadı; ciddi miktarda cezalar verildi. Aydınlatma metninin yetersizliği veya uygulamada açıklananın aksine veri kullanımı, ceza nedenlerinden biriydi.
Aydınlatma metninin pratikte ne işe yarayıp yaramadığı bir başka soru. Çoğu kullanıcı sayfanın altındaki “Kabul ediyorum” kutusunu işaretlerken metni okumuyor. Bu davranış yasal olarak rıza sayılıyor ama etik açıdan tartışmalı. KVKK Kurumu’nun bazı kararlarında “anlamlı rıza” kavramı vurgulanmış — yani metnin gerçekten anlaşılabilir, fark edilir bir biçimde sunulması gerekli.
Reseller’ların aydınlatma uygulamalarında ortak bir zayıflık: veri saklama süresi belirsiz. “Yasal yükümlülük süresince” gibi muğlak ifadeler kullanılıyor; bu somut bir süre değil. KVKK uyarınca süre net olmalı — örneğin “5 yıl” veya “10 yıl” gibi.
KVKK hakları: silme, düzeltme, taşıma
KVKK kapsamında veri sahibi olarak birkaç temel hakkınız var. Bilgi edinme, veri toplandığı doğrulama, yanlış verinin düzeltilmesini isteme, silme talep etme, başka bir kuruluşa taşıma. Bu haklar reseller’larda nasıl uygulanıyor?
Pratikte zor. Reseller’lar veri silme taleplerine 30 gün içinde cevap vermek zorunda; ama çoğu bu süreyi kaçırıyor veya talebi kabul etmiyor. “Veri saklamak yasal yükümlülüğümüz” gerekçesiyle reddedilen talepler yaygın.
2025’te TCMB tarafından 6 ödeme ve elektronik para kuruluşunun faaliyetinin iptal edilmesi sürecinde, bu kuruluşların müşteri verilerinin akıbeti de tartışmalı oldu. İptal edilen kuruluş, müşteri verilerini ne yapıyor? KVKK uyarınca ya başka bir kuruluşa taşıyor ya da silinmesi gerekiyor; ama pratikte bu süreçler net değil.
KVKK Kurumu’na şikayet, hak arama yollarından en somut olanı. Şikayet süreci 6-9 ay sürüyor; sonuç bağlayıcı. Ama bireysel kullanıcının böyle bir süreci başlatması zaman ve kaynak gerektiriyor.
Veri sızdırılırsa: KVKK Kurumu süreci
Bir reseller’ın veritabanı sızdırılırsa — saldırı, çalınma, yanlış paylaşım — KVKK uyarınca veri sahiplerine bildirim yapma zorunluluğu var. Bu bildirim 72 saat içinde yapılmak zorunda; gecikme ek ceza nedeni.
Pratikte gerçekleşen sızdırma vakalarında bildirim genellikle gecikmeli yapılıyor veya hiç yapılmıyor. Reseller “olayı doğrulamamız gerekiyor” diyerek günler kaybediyor. Bu süre içinde sızdırılan veriler dark web’de satışa çıkmış olabiliyor.
Sızdırma fark ettiğinizde — bilgilerinizin başka bir yerde göründüğünü gördüğünüzde — yapılacak ilk şey KVKK Kurumu’na şikayet. İkinci adım, bilgileriniz finansal kurumlarda aktif kullanılmak üzereyse, bankalara ve kart sağlayıcılarına bilgi verme. Üçüncü adım, hukuki danışmanlık almak — özellikle veri sızdırma sonrası finansal zarar oluştuysa.
KVKK kapsamında hukuki yollar uzun ama somut. Sızdırma sonrası tazminat davası açabiliyorsunuz; KVKK Kurumu’nun cezası ayrı, sizin tazminatınız ayrı. İki ayrı süreç paralel ilerliyor. Daha geniş şüpheli işlem çerçevesi için Paykwik şüpheli işlem bildirimi rehberinde banka tarafı süreçlerini detaylandırdım.
Veri korunması açısından kullanıcının kendi tarafında alabileceği önlemler de var. PIN aldığınız reseller’ın aydınlatma metnini gerçekten okumak, kabul etmeden önce hangi verilerin toplandığını netleştirmek; sahte ya da geçici e-posta kullanmak; gerekmedikçe selfie vermemek. Bu önlemler veri sızdırma riskini azaltmaz ama veri toplanma yüzeyini daraltır.
Bir başka pratik: işlem sonrası reseller’a açık şekilde “verilerimi silmenizi istiyorum” yazılı talep göndermek. KVKK uyarınca reseller bu talebi 30 gün içinde değerlendirip cevaplamak zorunda. Cevap olumsuz olsa bile, bu yazışma ileride şikayet sürecinde kanıt olarak kullanılabilir.
Kullanıcı için pratik özet
Paykwik kullanan bir kişinin KVKK çerçevesindeki konumu hassas. Veri reseller’da kalıyor, koruma reseller’a bağlı, sızdırma riski mevcut. Bu yapı içinde haklarınızı bilmek ilk savunmanız; haklarınızı kullanma araçlarını bilmek ikinci savunmanız. Şikayet süreçleri uzun ama gerçek; ihmal ettiğinizde zarar büyüyor, yönettiğinizde sınırlanıyor.
