Bot kullanmak tek başına suç değildir, ama sınırsız da değildir. Site kuralları, hız limitleri ve KVKK açısından nelere dikkat etmeniz gerektiğini dürüstçe anlatıyoruz.
Bot kullanmayı düşünen hemen herkesin aklına gelen ilk soru budur ve internette bulunan cevaplar genellikle iki uçta toplanır: ya “tamamen serbest” denir ya da “kesinlikle yasak” diye korkutulur. Gerçek ikisi de değildir. Bot kullanmak Türkiye de tek başına suç teşkil eden bir faaliyet değildir; belirleyici olan botun ne yaptığı, nereye eriştiği ve hangi veriyi işlediğidir. Bu yazıda konuyu üç ayrı katmanda ele alacağız: platformların kendi kuralları, teknik sınırlar ve kişisel verilerle ilgili yükümlülükler. Bu bir hukuki görüş değildir, ancak karar vermeden önce hangi soruları sormanız gerektiğini netleştirmeyi amaçlar. Üç ayrı katman: kural, teknik, hukuk En sık yapılan hata bu üç katmanı birbirine karıştırmaktır. Bir sitenin sizi teknik olarak engellememesi, o sitenin kurallarına uygun davrandığınız anlamına gelmez. Kurallara uygun davranmanız da kişisel verilerle ilgili yükümlülüklerinizi ortadan kaldırmaz. Üç katman birbirinden bağımsız işler ve her biri ayrı ayrı değerlendirilmelidir. Birinci katman sözleşmeseldir: siteye üye olurken ya da kullanırken kabul ettiğiniz şartlar. İkinci katman tekniktir: hız sınırları, doğrulama ekranları, engelleme mekanizmaları. Üçüncü katman ise mevzuattır ve en ağır sonuçları bu katman doğurur. Aşağıdaki tablo hangi durumda hangi katmanın devreye girdiğini özetliyor. Durum Hangi katman Olası sonuç Kullanım şartları otomatik erişimi yasaklıyor Sözleşmesel Hesap kapatma, erişim engeli Çok hızlı istek gönderiliyor Teknik Geçici engel, IP kısıtlaması Giriş korumalı alana izinsiz erişim Hukuki (ceza) Ciddi hukuki sorumluluk Kişisel veri toplanıyor ve saklanıyor Hukuki (KVKK) İdari yaptırım, veri silme yükümlülüğü Toplanan veri yeniden yayımlanıyor Hukuki (telif/veritabanı) Tazminat ve kaldırma talebi Platformların kendi kuralları Her sitenin bir kullanım şartları metni vardır ve bunların çoğu otomatik erişim konusunda açık bir hüküm içerir. Bazıları tamamen yasaklar, bazıları belirli koşullarla izin verir, bazıları da resmî bir arayüz sunarak “otomasyon istiyorsanız buradan geçin” der. Bu metinleri okumak sıkıcıdır ama kurulum yapmadan önce ilgili bölümü bulup okumak on dakikanızı alır ve sonradan yaşanacak sürprizlerin büyük kısmını önler. Yanına robots dosyasını da eklemek gerekir; bu dosya teknik bir engel değildir ama sitenin otomatik erişimden beklentisini açıkça yazar ve buna uymak tutumunuzu savunulabilir kılar. Burada dikkat edilmesi gereken bir ayrım daha var: kuralların ihlali her zaman bir suç değildir, ama sözleşmeye aykırılıktır ve karşı taraf buna dayanarak hizmeti kesebilir. Yani en olası sonuç ceza değil, hesabınızın kapanmasıdır. Bu sonuç önemsiz görünebilir ancak işinizin bir kısmı o platform üzerinden yürüyorsa etkisi ağır olur. Bu yüzden risk değerlendirmesini “yasal mı” sorusuyla sınırlamayın; “bu hesabı kaybedersem ne olur” sorusunu da sorun. Çoğu kullanıcı için asıl belirleyici olan ikinci sorunun cevabıdır. Giriş korumalı alan tamamen farklı bir konudur Herkese açık bir sayfayı okumakla, giriş gerektiren bir alana izinsiz erişmek arasında hem ahlaki hem hukuki olarak büyük fark vardır. Size ait olmayan bir hesaba erişmek, doğrulama mekanizmalarını aşmaya çalışmak ya da yetkiniz olmayan bir alandan veri almak ayrı bir kategoridir ve ciddi sonuçlar doğurabilir. Bu sınır asla bulanıklaştırılmamalıdır. KVKK ve kişisel veri Türkiye de kişisel verilerin işlenmesi Kişisel Verilerin Korunması Kanunu kapsamındadır ve verinin herkese açık bir yerde bulunuyor olması, onu serbestçe toplayıp saklayabileceğiniz anlamına gelmez. Bir ilanda yazan telefon numarası, ad soyad ya da kimliği belirlenebilir kılan herhangi bir bilgi kişisel veridir. Bunları toplayıp bir dosyada biriktirdiğinizde veri işleyen taraf konumuna gelirsiniz ve bununla birlikte bir dizi yükümlülük doğar: hangi amaçla topladığınızı açıklayabilmek, gereğinden fazla veri toplamamak, saklama süresi belirlemek ve veriyi güvenli tutmak. Bu yükümlülükler botun kullandığı teknolojiden bağımsızdır. Amaç belirleyin: veriyi neden topladığınızı tek cümleyle yazabiliyor olun. En az veriyi toplayın: işinize yaramayan alanları hiç almayın. Süre koyun: veriyi süresiz saklamayın, silme takvimi belirleyin. Güvenli tutun: kişisel veri içeren dosyaları herkese açık klasörlerde bırakmayın. Paylaşmayın: topladığınız kişisel veriyi üçüncü kişilere aktarmak ayrı bir yükümlülük doğurur. Pratik bir öneri: bir bot kurmadan önce topladığı alanların listesini çıkarın ve her satır için “bu bilgi bir kişiyi belirlenebilir kılıyor mu?” sorusunu sorun. Cevabı evet olan alanları gerçekten kullanacak mısınız, buna karar verin. Kullanmayacaksanız hiç toplamayın; bu tek adım, sorumluluğunuzun büyük kısmını ortadan kaldırır. Fiyat, tarih, kategori ve stok gibi alanlarla çalışan bir kurulum ile iletişim bilgisi biriktiren bir kurulum tamamen farklı iki dünyadır ve çoğu iş ihtiyacı aslında birincisiyle karşılanabilir. Sorumluluk kimde? Bu sorunun cevabı nettir: botu kuran ve çalıştıran kişide. Bir bot yazılımını satın almış olmanız sorumluluğu satıcıya devretmez, tıpkı bir aracı satın almanın trafik kurallarına uyma sorumluluğunu üreticiye devretmemesi gibi. Yazılım sağlayıcısı aracın güvenli ve belgelenmiş olmasından sorumludur; onunla neyi, nerede ve hangi hızda yaptığınızdan ise siz sorumlusunuz. Kurumsal ortamlarda bu daha da önemlidir, çünkü bir çalışanın kendi başına kurduğu bot şirketi bağlayabilir. Bu yüzden kurum içinde çalışan botların kayıt altında olması, kimin neyi hangi amaçla topladığının yazılı olması gerekir. Bir botun yaptığı her şeyi siz yapmış sayılırsınız. Bu cümleyi kabul edebiliyorsanız kurulumu yapın; kabul edemiyorsanız kurulumu değiştirin. Sorumluluğu yönetmenin en pratik yolu görünürlüktür. Botun ne zaman çalıştığını, hangi kaynaklara eriştiğini ve ne topladığını gösteren bir kayıt tutun. Bu kayıt hem bir sorun çıktığında ne olduğunu anlamanızı sağlar hem de iyi niyetinizi göstermenin en somut yoludur. Ayrıca botunuzu tanınabilir kılın; kendinizi gizlemeye çalışmak, bir sorun anında en kötü konuma düşmenize sebep olur. Şeffaf çalışan bir kurulum, engellenme ihtimali olsa bile uzun vadede çok daha sürdürülebilirdir. Kurulumdan önce kontrol listesi Kararınızı vermeden önce şu beş soruyu yazılı olarak cevaplayın. Bu, hukuki bir denetim yerine geçmez ama riskli kurulumların çoğunu daha başlamadan eler. Cevaplardan herhangi biri sizi rahatsız ediyorsa, kurulumu değiştirmek her zaman sonradan geri almaktan kolaydır. Özellikle kişisel veri ve giriş gerektiren alan konularında tereddüt varsa, konuyu bir hukukçuya danışmak en doğrusudur; bu yazı o danışmanın yerini tutmaz, yalnızca doğru soruları hazırlamanıza yardımcı olur. Eriştiğim içerik herkese açık mı, yoksa giriş mi gerektiriyor? Sitenin kullanım şartları otomatik erişim hakkında ne diyor? Topladığım alanlar arasında kişisel veri var mı, varsa neden gerekli? Bu veriyi ne kadar süre saklayacağım ve kim erişebilecek? Botun bir hafta boyunca sessizce yanlış çalıştığını nasıl fark ederim? Son olarak dürüst bir uyarı: bu alanda kesin ve her duruma uyan bir cevap yoktur. Aynı teknik yöntem, bir sitede tamamen kabul edilirken başka bir sitede açıkça yasaklanmış olabilir. Mevzuat da zaman içinde değişir. Bu yüzden bir kez karar verip unutmak yerine, yılda bir kez kurulumunuzu gözden geçirmek makul bir alışkanlıktır. Neyin değiştiğini kontrol edin, artık kullanmadığınız verileri silin ve gereksiz hale gelmiş botları kapatın. Çalışmaya devam eden ama kimsenin bakmadığı bir bot, hem teknik hem hukuki açıdan en riskli durumdur.
Bot kullanmanın kendisi suç olarak tanımlanmış değildir. Suç oluşturan şey botun yaptığı belirli eylemlerdir: yetkisiz sisteme erişim, verileri hukuka aykırı biçimde ele geçirmek ya da kişisel verileri usulsüz işlemek gibi. Yani soru “bot yasal mı” değil, “bu bot ne yapıyor” olarak sorulmalıdır. Aynı yazılım bir kullanımda tamamen meşruyken başka bir kullanımda sorun doğurabilir.
Erişimin açık olması, verinin serbestçe toplanıp saklanabileceği anlamına gelmez. Veri kişisel nitelikteyse KVKK yükümlülükleri erişim biçiminden bağımsız olarak devreye girer. Ayrıca sitenin kullanım şartları otomatik toplamayı yasaklamış olabilir ve toplanan içerik telif ya da veritabanı hakkı kapsamında korunuyor olabilir. Her üç boyutun ayrı ayrı değerlendirilmesi gerekir.
Hayır, engellenme öncelikle teknik bir tepkidir. Çoğu zaman istek hızınızın yüksek olmasından ya da olağandışı bir erişim örüntüsünden kaynaklanır. Ancak engellenmeyi bir uyarı olarak okumak doğru olur: karşı taraf bu erişimi istemediğini göstermiştir. Engeli aşmaya çalışmak yerine hızı düşürmek, sıklığı azaltmak ya da resmî bir erişim yolu olup olmadığını araştırmak daha sağlıklıdır.
Hukuki sorumluluk genellikle veri işleyen tüzel kişide, yani şirkette doğar; çalışanın kendi inisiyatifiyle kurmuş olması bunu değiştirmez. Bu yüzden kurum içinde çalışan botların envanterinin tutulması, her biri için amacın ve saklama süresinin yazılı olması önerilir. Böyle bir kayıt hem iç denetimi kolaylaştırır hem de bir inceleme durumunda savunulabilir bir zemin sağlar.
Korumaz. Bir hizmeti kullanmaya başladığınızda şartları kabul etmiş sayılırsınız ve okumamış olmak geçerli bir gerekçe oluşturmaz. İyi haber şu ki bu metinlerin tamamını okumanız gerekmez; otomatik erişim, veri kullanımı ve hesap kapatma başlıklarını bulup okumak çoğu durumda yeterli bir fikir verir ve genellikle on dakikadan az sürer.
Kişisel veri işleyen, ticari ölçekte çalışan ya da başka bir şirketin verisine dokunan kurulumlarda danışmak yerinde olur. Kendi işinizde fiyat ve stok gibi kişisel olmayan verileri makul hızda takip eden basit bir kurulum için genellikle gerekmez. Belirleyici ölçüt, bir sorun çıktığında etkilenecek üçüncü kişi olup olmadığıdır.