Mobil Uygulamalarda Konum Verisi İşleme Rehberi: KVKK Şartları ve Kurul Kararları

Bir uygulamanın haritada en yakın aracı göstermesi ile kullanıcının konumunu arka planda sürekli takip etmesi aynı kapsamda değerlendirilmez. Konum verisi, tek başına kişinin günlük yaşamına ilişkin ayrıntılı bir hareket haritası çıkarabilir; yanlış tasarlanmış izin ekranları ve görünmeyen üçüncü taraf yazılım bileşenleri ise sıradan bir uygulama özelliğini ciddi bir KVKK riskine dönüştürebilir. Mobil uygulama sağlayıcıları bakımından hukuka uygun sürecin nasıl kurulacağını, kullanıcıların hangi haklara sahip olduğunu ve Kişisel Verileri Koruma Kurulunun konuya nasıl yaklaştığını birlikte inceleyelim.

Konum Verisi Özel Nitelikli Kişisel Veri midir? KVKK Kapsamı ve Riskler

Akıllı telefon veya tabletin GPS, Wi-Fi ve Bluetooth özelliklerinden üretilen bilgiler; kullanıcının anlık yerini, izlediği güzergâhı veya belirli bir alana girip girmediğini gösterebilir. Bu bilgiler, kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirildiğinde 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) anlamında kişisel veridir. Konumun cihazda kısa süreli kullanılması, sunucuya gönderilmesi, geçmiş hâlinde saklanması, üçüncü tarafla paylaşılması veya reklam profiline eklenmesi ayrı ayrı kişisel veri işleme faaliyetidir.

Konum bilgisi, KVKK’nin 6’ncı maddesinde sayılan özel nitelikli kişisel veri kategorilerinden biri değildir. Bununla birlikte düzenli konum geçmişi; kişinin evini ve iş yerini, sağlık kuruluşu ziyaretlerini, ibadet yerlerini, siyasi etkinliklerini, sendikal faaliyetlerini veya özel hayatına ilişkin başka ayrıntıları ortaya çıkarabilir. Bu nedenle verinin hukuki sınıfı kadar konum kayıtlarından hangi sonuçların çıkarılabildiği de risk değerlendirmesinde dikkate alınmalıdır.

Kişisel Verileri Koruma Kurumunun “Mobil Uygulamalarda Mahremiyetin Korunmasına Yönelik Tavsiyeler” (Tavsiyeler) dokümanında konum bilgisinin kullanıcıların etkinlik kalıplarını ve alışkanlıklarını ortaya çıkarabileceği, diğer verilerle birlikte kullanıcı hakkında ayrıntılı profiller oluşturulmasına imkân verebileceği belirtilmektedir. Bu yaklaşım, “Konum izni alındıysa her kullanım mümkündür.” düşüncesinin geçerli olmadığını açıkça gösterir.

Mobil Uygulamalarda Konum Verisi İşlemenin Hukuki Sebepleri

Her konum işleme amacı için KVKK’nin 5’inci maddesinde sayılan şartlardan biri belirlenmelidir. Hukuki sebep; uygulamanın tamamı için topluca değil, özelliğe, amaca ve veri akışına göre ayrı ayrı değerlendirilir.

Sözleşmenin İfası Kapsamında Anlık Konum Takibi

Kullanıcının açıkça talep ettiği hizmet konum olmadan sunulamıyorsa işlemenin sözleşmenin kurulması veya ifasıyla doğrudan ilgili ve gerekli olduğu değerlendirilebilir. Navigasyon uygulamasında rota oluşturulması, yolculuk uygulamasında aracın kullanıcıya yönlendirilmesi veya teslimatın belirtilen noktaya ulaştırılması bu kapsama girebilir. Yine de yalnızca hizmet için gerekli hassasiyet ve süre tercih edilmelidir; anlık konuma ihtiyaç varken bütün gün süren arka plan takibi kendiliğinden gerekli hâle gelmez.

Kişisel Verileri Koruma Kurulunun 2020/65 sayılı kararı, sözleşmenin ifası gerekçesinin geniş yorumlanamayacağını gösterir. Kurul, ulaşım hizmetindeki yolcu puanlamasını sözleşmenin ana kurucu unsuru veya ifasıyla doğrudan ilişkili kabul etmemiştir. Aynı değerlendirme mantığı konum verisine uygulandığında yolculuğu gerçekleştirmek için gerekli anlık konum ile sonradan reklam, davranış analizi ya da ayrıntılı profil oluşturmak amacıyla kullanılan konum geçmişi birbirinden ayrılmalıdır.

Meşru Menfaat Şartı ile Konum Verisi İşleme Sınırları

Dolandırıcılığın önlenmesi, hizmet güvenliğinin sağlanması veya yoğunluk planlaması gibi amaçlarda veri sorumlusunun meşru menfaati gündeme gelebilir. Ancak bu sebebe dayanılabilmesi için konum verisinin işlenmesinin meşru menfaat açısından zorunlu olması ve ilgili kişinin temel hak ve özgürlüklerine zarar verilmemesi gerekir. Aynı amaca daha az müdahaleci bir veriyle ulaşılabiliyorsa sürekli ya da hassas konum takibini meşru menfaatle açıklamak güçleşir.

Bu durumda amaç ile yöntem arasındaki zorunluluk gösterilmeli, ilgili kişinin makul beklentisi değerlendirilmeli ve veri sorumlusunun menfaati ile kullanıcının temel hakları arasında denge kurulmalıdır. Yaklaşık konum, toplulaştırılmış istatistik veya verinin yalnızca cihaz üzerinde işlenmesi yeterliyse daha geniş bir veri toplama yöntemi tercih edilmemelidir.

Pazarlama ve Profillemede Konum Verisi İçin Açık Rıza Şartı

KVKK’deki diğer işleme şartlarından hiçbiri uygulanamıyorsa konum verisinin işlenmesi için geçerli açık rıza alınmalıdır. Özellikle uygulamanın temel işlevi için gerekmeyen hedefli reklam, yakın mağaza kampanyası, pazarlama analitiği veya uygulamalar arası profil oluşturma amaçlarıyla konum verisi kullanılacaksa açık rıza çoğu durumda belirleyici hâle gelir.

Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir beyan olmalıdır. Kullanıcı, temel hizmeti kaybetme baskısı altında kalmadan seçim yapabilmeli; konumu reddettiğinde konumla ilgisi bulunmayan özellikleri kullanmaya devam edebilmelidir. Rızanın verilmesi kadar geri alınması da anlaşılır ve erişilebilir bir işlem olmalıdır.

İşletim Sistemi Konum İzni Açık Rıza Sayılır mı?

İşletim sisteminin “Uygulamayı kullanırken izin ver” veya “Her zaman izin ver” ekranı, uygulamanın cihazdaki konum kaynağına teknik erişimini yönetir. Bu seçim tek başına KVKK kapsamındaki bütün yükümlülükleri yerine getirmez. Kullanıcıya veri sorumlusunun kimliği, işleme amacı, hukuki sebep, aktarım yapılan taraflar ve hakları açıklanmamışsa yalnızca sistem iznine dayanılarak eksiksiz bir aydınlatma yapıldığı söylenemez.

Açık rızaya dayanılan hâllerde teknik izin ile hukuki rıza akışı birbiriyle uyumlu kurulmalıdır. Hassas ve yaklaşık konum, uygulama açıkken ve arka planda takip, temel işlev ve reklam amaçları aynı seçim altında birleştirilmemelidir. Kullanıcının aktif bir işlemle verdiği tercih; hangi amaç, kapsam ve sürüm için alındığını gösterecek şekilde kaydedilebilmelidir.

Kişisel Verileri Koruma Kurulunun 2026/347 sayılı İlke Kararı bu tasarım bakımından güncel ve açık bir ölçüt getirmiştir. Aydınlatma metni ile açık rıza metni ayrı düzenlenmeli; aynı sayfada sunuluyorsa farklı başlıklar ve ayrı beyanlar kullanılmalıdır. Açık rıza gerektirmeyen bir faaliyet için kullanıcıdan ayrıca rıza istenmemeli, aydınlatma metninin okunduğuna ilişkin geri bildirim de rıza beyanına dönüştürülmemelidir.

Mobil Uygulama Aydınlatma Metninde Konum Verisi Nasıl Gösterilir?

Aydınlatma, kişisel veri işlenmeye başlamadan önce ve kullanılan hukuki sebepten bağımsız olarak yapılır. Mobil ekranın sınırlı alanı, muğlak veya eksik bilgi vermeyi haklı kılmaz. Kısa bir ilk katmanda kritik bilgiler sunulabilir; kullanıcı isterse kolayca tam metne ulaşabilmelidir.

Konum verisine ilişkin aydınlatmada en az şu soruların açık cevapları bulunmalıdır:

• Veri sorumlusu kimdir?
• İşlemenin KVKK’deki hukuki sebebi nedir?
• Veri hangi özellik ve amaç için kullanılmaktadır?
• Hassas konum mu, yaklaşık konum mu işlenmektedir?
• Konum yalnızca uygulama kullanılırken mi, arka planda da mı alınmaktadır?
• Harita, analitik, reklam ağı veya bulut sağlayıcısı gibi hangi alıcı gruplarına hangi amaçla aktarım yapılmaktadır?
• Veri hangi yöntemle elde edilmekte ve kullanıcı KVKK’nin 11’inci maddesindeki haklarını nasıl kullanabilmektedir?

“Hizmet kalitesini artırmak” veya “KVKK’nin 5’inci maddesi kapsamında işlemek” gibi genel ifadeler tek başına yeterli değildir. Nitekim 2026/347 sayılı İlke Kararı; veri kategorisinin, amacın ve hukuki sebebin açıkça belirtilmesini, metinlerin sade ve faaliyete özgü olmasını ister. İşleme amacı sonradan değişirse yeni amaç başlamadan önce kullanıcı ayrıca bilgilendirilmelidir.

KVKK Ölçülülük İlkesi: Hassas Konum ve Sürekli Takip Ne Zaman Hukuka Aykırıdır?

Kurulun kararları, yalnızca bir hukuki sebep göstermenin yeterli olmadığını; seçilen verinin ve yöntemin de amaçla bağlantılı, sınırlı ve ölçülü olması gerektiğini ortaya koyar. Kurulun mobil yemek kartına ilişkin 2023/1430 sayılı kararında, doğrulamanın T.C. kimlik numarası yerine daha az müdahaleci bilgilerle yapılabilmesi önemli görülmüştür. Bu yaklaşım konum verisi bakımından da aynı soruyu doğurur: Amaç, daha dar kapsamlı bir konum bilgisi veya farklı bir yöntemle gerçekleştirilebilir mi?

Uygulama tasarımında şu tercihler ölçülülüğü güçlendirebilir:

• Arka plan erişimini varsayılan olarak kapalı tutmak
• Sürekli takip yerine kullanıcının özelliği çalıştırdığı anda konuma erişmek
• Hassas koordinat gerekmiyorsa şehir, ilçe veya yaklaşık konum kullanmak
• Saklama süresi sona erdiğinde veriyi silmek, yok etmek veya gerçekten anonim hâle getirmek
• Rota geçmişinin tamamı yerine yalnızca işlem için gerekli başlangıç ve varış bilgisini saklamak
• İşlem cihaz üzerinde tamamlanabiliyorsa konumu uygulama sağlayıcısının sunucusuna göndermemek

Kurumun Tavsiyeler dokümanında da bir temas takip uygulamasının amacına Bluetooth yakınlık verisiyle ulaşabildiği durumda kullanıcının tam konumunu ve hareketlerini izlemesinin ölçüsüz olabileceği belirtilmiştir. Teknolojik olarak mümkün olan en ayrıntılı veriyi toplamak yerine amaca yeten en az veri tercih edilmelidir.

Mobil SDK’lar, Üçüncü Taraf Entegrasyonları ve Yurt Dışı Konum Aktarımı

Bir mobil uygulamadaki konum akışı yalnızca uygulama sahibi ile kullanıcı arasında kalmayabilir. Harita hizmeti, reklam ağı, analitik aracı, hata izleme yazılımı, yazılım geliştirme kiti (SDK), uygulama geliştiricisi ve bulut sağlayıcısı konum verisine veya konumla ilişkilendirilebilen cihaz tanımlayıcılarına erişebilir.

Önce her aktörün fiilî rolü belirlenmelidir. Uygulama sağlayıcısının talimatıyla sınırlı kalan teknik hizmet sağlayıcı veri işleyen olabilir; veriyi kendi reklam veya ürün geliştirme amacı için kullanan bir taraf ise bu faaliyet yönünden veri sorumlusu hâline gelebilir. Sözleşmedeki unvan, tarafın gerçek karar yetkisini tek başına değiştirmez.

Kurumun Tavsiyeler dokümanına göre, entegre üçüncü tarafın veri işlemesi hakkında şeffaflık sağlanmalı; işleme için hukuki sebep bulunmuyorsa ilgili hizmet uygulamada kullanılmamalıdır. Bu nedenle SDK envanteri yalnızca teknik bir liste olarak görülmemeli; erişilen veri, amaç, rol, saklama süresi ve aktarım noktalarıyla birlikte düzenli olarak denetlenmelidir.

Konum verisinin yurt dışındaki sunucuya gönderilmesi veya yurt dışındaki bir hizmet sağlayıcının veriye erişebilmesi, KVKK’nin 9’uncu maddesi kapsamında yurt dışı aktarımını gündeme getirebilir. Bu durumda yeterlilik kararı, uygun güvence veya yalnızca arızi hâller için öngörülen istisnalardan hangisinin uygulanacağı ayrıca belirlenmelidir. Standart sözleşme kullanılacaksa doğru taraf rolleri seçilmeli ve sözleşme imzalandıktan sonra beş iş günü içinde Kuruma bildirim yapılmalıdır.

Konum Verisi Güvenliği: Teknik Tedbirler, Saklama ve İmha Süreçleri

Konum kayıtları, ele geçirildiğinde kişinin nerede yaşadığına, hangi saatlerde evde olmadığına ve kimlerle düzenli olarak aynı yerde bulunduğuna ilişkin sonuçlar doğurabilir. Veri sorumlusu bu nedenle hukuka aykırı işlemeyi ve erişimi önlemeye, veriyi güvenli biçimde muhafaza etmeye yönelik riskle orantılı teknik ve idari tedbirleri almakla yükümlüdür.

İletim ve depolama sırasında şifreleme, güvenli anahtar yönetimi, rol bazlı erişim, yönetici işlemlerinin kaydı, düzenli yetki kontrolü, güncel yazılım bileşenleri, güvenlik testleri ve olay müdahale süreci temel başlıklardır. Geliştirme ve test ortamlarında gerçek konum geçmişinin kullanılmaması; destek personelinin üretim verisine erişiminin sınırlandırılması da gereksiz ifşa riskini azaltır.

Saklama süresi “ileride gerekebilir” düşüncesiyle sınırsız belirlenemez. Her amaç için hukuki veya operasyonel gereklilik ayrı gösterilmeli; işlenmesini gerektiren sebepler ortadan kalktığında veriler resen veya ilgili kişinin talebi üzerine silinmeli, yok edilmeli veya anonim hâle getirilmelidir. Kullanıcı hesabının kapatılması, yedeklerde ve üçüncü taraf sistemlerde bulunan bütün konum kayıtlarının kendiliğinden silindiği anlamına gelmez; imha akışı tüm kopyaları kapsamalıdır.

Kullanıcıların Konum Verilerine İlişkin KVKK Hakları ve Başvuru Yolları

Kullanıcı, cihaz ayarlarından konum iznini “yalnızca uygulamayı kullanırken” seçeneğiyle sınırlandırabilir, yaklaşık konumu tercih edebilir veya izni kaldırabilir. Ancak cihaz ayarı, geçmişte toplanmış verilerin silinmesini tek başına sağlamaz. Kullanıcı ayrıca veri sorumlusuna başvurarak konum verisinin işlenip işlenmediğini, işlenmişse amacını, yurt içinde veya yurt dışında aktarıldığı tarafları öğrenebilir; şartları oluşmuşsa düzeltme, silme ya da yok etme talebinde bulunabilir.

Veri sorumlusu başvuruyu en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır. Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde ilgili kişi, cevabı öğrendiği tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilir.

Mobil Uygulama Geliştiricileri İçin Adım Adım KVKK Uyum Kontrol Listesi

Konum özelliği geliştirme aşamasındayken hukuk, ürün, yazılım, bilgi güvenliği ve pazarlama ekiplerinin aynı veri akışı üzerinde çalışması sonradan yapılacak düzeltmelerin maliyetini azaltır. Uyum süreci şu sırayla kurulabilir:

1. Konumun hangi sensör veya hizmetten, hangi sıklık ve hassasiyetle alındığını haritalayın.
2. Her özellik ve amaç için gereklilik testi yaparak hukuki sebebi ayrı belirleyin.
3. Hassas konum, arka plan erişimi ve saklama süresini mümkün olan en dar kapsamda tasarlayın.
4. Aydınlatma metni ile açık rıza akışını 2026/347 sayılı İlke Kararına uygun biçimde ayırın.
5. Reddetme ve rızayı geri alma seçeneklerini temel olmayan hizmetleri engellemeyecek şekilde kurun.
6. SDK, harita, reklam, analitik ve bulut sağlayıcılarının rollerini ve veri aktarımlarını inceleyin.
7. Yurt dışı aktarım mekanizmasını belirleyin ve gerekli sözleşme ile bildirim takvimini yönetin.
8. Saklama, silme, kullanıcı başvurusu, ihlal müdahalesi ve rıza kayıtlarını düzenli olarak test edin.

Bir metnin hukuken doğru olması kadar uygulamanın teknik davranışının o metinle gerçekten örtüşmesi de önemlidir.

Konum Verisi Riskini Tasarım Aşamasında Yönetin

Gereğinden geniş konum erişimi, belirsiz amaçlar ve denetlenmeyen üçüncü taraf bileşenleri; kullanıcı mahremiyetini, marka güvenini ve KVKK uyumunu aynı anda zedeleyebilir. Uygulama yayımlandıktan sonra yalnızca metinleri değiştirmek, teknik veri akışı aynı kaldığı sürece bu riski ortadan kaldırmaz.

Esenyel Partners; konum verisi envanterinin ve hukuki sebeplerin belirlenmesi, aydınlatma ve açık rıza akışlarının hazırlanması, SDK ve hizmet sağlayıcı sözleşmelerinin incelenmesi ile yurt dışı aktarım mekanizmalarının kurulması süreçlerinde hukuki destek sunmaktadır.

Yeni bir konum özelliğini kullanıma almadan veya mevcut uygulamanızdaki izin ve veri akışlarını gözden geçirirken hukuki uyumluluğu teknik tasarımla birlikte değerlendirmek için Esenyel Partners ile iletişime geçebilirsiniz.

İletişim