İspanyol YouTuber Carles Tamayo, her zamanki samimi, eğlenceli ve iğneleyici üslubuyla yine bir damara bastı. Nisan 2026’da İspanyol kamu televizyonunda yayınlanmaya başlayan belgesel dizisi Se nos ha ido de las manos (“İşler kontrolden çıktı”) dizisinin son bölümünde, şirketlerin kişisel verileri nasıl alıp sattığına bakıyor.

El activo eres tú (“Varlık sensin”) adlı bölüm, rahatsız edici bir soruyu ortaya atıyor: Verilerimiz kimde ve onlara ne yapılıyor? Peki ücretsiz bir şey vaadi karşılığında nelerden vazgeçmeye hazırız? Hakkında fazla şey bilen şirketlerden istenmeyen aramalar aldıktan sonra Tamayo, kişisel verilerin nasıl toplandığını ve alınıp satıldığını içeriden görmek için kendi prodüksiyon şirketini bir veri simsarına dönüştürdü.

Veri simsarlığı işinin nasıl işlediğini ve GDPR’ın (Genel Veri Koruma Tüzüğü) size hangi hakları tanıdığını anlatıyoruz.

Veri simsarı nedir ve nasıl para kazanırlar

Veri simsarı, kişiler ve kuruluşlar hakkında bilgi toplayan, analiz eden ve satan bir şirkettir. Bu bilgileri alıcılar için değerli kılan şey, nasıl birleştirilip analiz edilebildiğidir. Alışkanlıklar, ilgi alanları, konum verileri ve diğer sinyaller, giderek daha fazla yapay zekâ yardımıyla, kullanılabilir bir şeye dönüştürülebilir. Veri simsarları, neredeyse herkesin profilini oluşturmayı mümkün kılan ham maddeyi satar.

Örneğin Tamayo’nun haberinde bir veri simsarı ona yakın zamanda bebek sahibi olan kişiler hakkında bilgi teklif ediyor. Bu yeni ebeveynler, yenidoğan ürünleri için düzenlenen bir çekilişe katılmak karşılığında ayrıntılarını hastanede vermişti.

Veri simsarları genellikle e-posta adreslerini, IP adreslerini(yeni pencere), yaklaşık konumu, çevrim içi alışverişleri, internet aramalarını, bir uygulama içinde seçilen ilgi alanlarını ve kişinin kullandığı aygıtları toplar.

Hiç bir telefon şirketinden (ya da herhangi bir şirketten) arama alıp numaranızı nereden bulduklarını merak ettiniz mi? Düşündüğünüzden daha basit. Tanımlama bilgileri, mobil uygulamalar ve çevrim içi formlar bilgilerinizi toplayıp veri simsarlarına aktarabilir. Sadakat kartları, çekilişler ve kamuya açık kayıtlar gibi çevrim dışı kaynaklar da aynısını yapabilir.

Tanımlama bilgileri nedir ve ne işe yarar

Girdiğiniz her sitede onları görüyorsunuz: tanımlama bilgilerini kabul etmenizi ya da reddetmenizi isteyen küçük bir açılan pencere. Muhtemelen üstünkörü bakıp tanımlama bilgilerini kabul ediyor(yeni pencere) ve yolunuza devam ediyorsunuz; tanımlama bilgilerinin aslında ne olduğunu(yeni pencere) ya da şirketlerin verilerinizle ne yapmasına izin verdiğinizi hiç sorgulamadan.

Tanımlama bilgileri, bir sitenin ziyaretinizle ilgili bilgileri hatırlamak için tarayıcınızda sakladığı küçük dosyalardır. Veri simsarlarının önemsediği tür, davranışsal profiller oluşturmak ve kişiselleştirilmiş reklamlar sunmak için tasarlanan reklam tanımlama bilgileridir.

Ancak artık tanımlama bilgilerinin çok ötesine geçen yöntemlerle izlenebilirsiniz. Örneğin tarayıcı parmak izi, aygıtınızın özelliklerinden benzersiz bir imza oluşturur; siteler arası izleme ise siteler arasında gezinirken etkinliğinizi takip eder. Mobilde reklam kimlikleri de davranışınızı kalıcı bir tanımlayıcıya bağlayarak benzer bir işlev görür.

Tanımlama bilgilerini reddetmek gizliliğinizi artırır ama tamamen garanti etmez. Verilerinizin nereye gittiğini, kimin elinde olduğunu ve nasıl kullanıldığını sorgulamaya başladığınızda ise kaçınılmaz olarak şu soruyla karşılaşırsınız: Verilerinizin alınıp satılması yasal mı?

GDPR sizi nasıl korur

GDPR, kuruluşların ve şirketlerin AB’deki herkesin kişisel verilerini nasıl topladığını, kullandığını, paylaştığını ve sakladığını düzenleyen Avrupa Birliği kural kitabıdır. AB dışında merkezi bulunup AB’deki kişileri hedefleyen şirketler için de geçerlidir. İspanya’da uyum, İspanyol Veri Koruma Ajansı (AEPD) tarafından denetlenir; ajans aynı zamanda bir şirketin bu hakları ihlal ettiği durumlardaki şikâyetleri de ele alır.

GDPR çeşitli temel haklar tanımlar:

Erişim hakkı: Bir şirketin sizinle ilgili hangi kişisel verileri tuttuğunu, bunları ne için kullandığını, kimlerle paylaştığını ve bunları nereden aldığını öğrenin. Ayrıca bir kopyasını da talep edebilirsiniz.

Düzeltme hakkı: Yanlış veya güncelliğini yitirmiş bilgilerin düzeltilmesini sağlayın.

Silme hakkı: “Unutulma hakkı” olarak da bilinen bu hak, şirketin verilerinize artık ihtiyaç duymadığı, rızanızı geri çektiğiniz veya kullanımına itiraz ettiğiniz ya da veriler hukuka aykırı olarak işlendiği durumlarda silinmesini talep etmenizi sağlar.

İtiraz hakkı: Verilerinizin reklam amaçlı kullanılması gibi belirli işleme türlerini reddedin. Doğrudan pazarlama söz konusu olduğunda bu hak mutlaktır: İtiraz ettiğinizde şirket durmak zorundadır.

Veri taşınabilirliği hakkı: Bir şirkete verdiğiniz kişisel verileri yapılandırılmış, yaygın olarak kullanılan ve makine tarafından okunabilir bir biçimde alın, böylece bunları başka bir hizmet sağlayıcıya taşıyabilirsiniz. Bu hak, şirketin verilerinizi rızanıza veya bir sözleşmeye dayanarak otomatik yollarla işlemesi durumunda geçerlidir.

GDPR, insanlara para cezalarıyla desteklenen uygulanabilir haklar tanır; ancak pek çok kişi bu haklarını ücretsiz olarak kullanabileceğinin farkında değil. Bir şirket ancak talep açıkça dayanaksız veya aşırı olduğunda ücret talep edebilir ya da talebi reddedebilir.

Tamayo’nun haberi, yasanın sunduğu güvenceler ile ortalama bir vatandaşın kişisel bilgilerini koruma konusunda bildikleri arasında büyük bir uçurum olduğunu gösteriyor. Bu uçurum, insanların elindeki yasal araçları kullanmasını ve verilerinin kontrolünü geri almasını zorlaştırıyor.

Veri simsarlarına karşı GDPR haklarınızı nasıl kullanacaksınız

Yukarıdaki haklar yalnızca onları kullandığınızda işe yarar. Hiçbiri bir avukat ya da özel bir form gerektirmez: şirketin gizlilik iletişim adresine bir e-posta göndermeniz yeterli.

Verilerinizin nereden geldiğini sorun. Bir şirket sizinle iletişime geçerse ve siz ona ayrıntılarınızı hiç vermediyseniz, kaynağını sorun. Erişim hakkı kapsamında bunu size söylemek zorundadır ve bu yanıt çoğu zaman doğrudan bir veri simsarına çıkar.

Bir erişim talebi gönderin. Şirkete veya simsara sizinle ilgili hangi verileri tuttuğunu, bunları ne için kullandığını ve kimlerle paylaştığını sorun; bir kopyasını isteyin. Talep ücretsizdir ve şirket bir ay içinde yanıt vermek zorundadır. Karmaşık taleplerde bu süreyi iki ay daha uzatabilir, ancak bunu size bildirmesi gerekir.

İtiraz edin ve silinmesini isteyin. Aynı e-postada verilerinizin pazarlama amacıyla kullanılmasına itiraz edebilir ve silinmesini talep edebilirsiniz. Şirket, silme talebini verilerinizi paylaştığı herkese iletmek zorundadır; ancak bunun imkânsız olması veya orantısız bir çaba gerektirmesi durumu hariç.

Lista Robinson’a kaydolun. İspanya’da doğrudan pazarlama yapan şirketler sizinle iletişime geçmeden önce bu reklamdan çıkma listesini kontrol etmek zorundadır. Kaydolmak ücretsizdir.

AEPD’ye şikâyette bulunun. Bir şirket sizi görmezden gelirse, geçerli bir neden olmadan talebinizi reddederse veya süreyi kaçırırsa, İspanyol Veri Koruma Ajansı’na ücretsiz şikâyette bulunabilirsiniz.

Veri simsarlarının baştan toplayabileceği verileri sınırlayın

GDPR haklarınız hâlihazırda ortalıkta olan verileri temizler. Birkaç basit alışkanlık, simsarlara ulaşan yeni veri miktarını azaltır.

Uygulama izinlerinizi gözden geçirin ve bir uygulamanın çalışmak için ihtiyaç duymadığı tüm erişimleri kapatın; özellikle konumunuza, kişilerinize veya fotoğraflarınıza erişimi olanları.

Zorunlu olmayan tanımlama bilgilerini reddedin. AB sitelerinde reddetmek, kabul etmek kadar kolay olmalıdır; bu, davranışsal profilleri besleyen reklam tanımlama bilgilerini engeller.

Yalnızca gezinirken sitelerde ve hizmetlerde oturum açmamış halde kalın. Google, YouTube, Amazon ya da bir haber sitesinde oturum açtığınızda, aradığınız, izlediğiniz, okuduğunuz veya satın aldığınız her şey hesabınıza bağlanır. Oturum açmadan gezinmek, şirketlerin sizinle ilişkilendirebileceği veriyi azaltır.

Gizlilik odaklı bir tarayıcı kullanın; Firefox veya Brave gibi tarayıcılar birçok izleyiciyi varsayılan olarak engeller. Gizliliğe odaklanan Avrupalı alternatif web tarayıcılarını da inceleyebilirsiniz.

Proton Mail’e geçin; e-postalarınızı okuyamayan ve gelen kutunuzu reklam, izleme veya gözetim amacıyla taramayan gizli ve güvenli e-posta hizmetimiz. Ayrıca pazarlamacıların genellikle bir iletiyi ne zaman açtığınızı (ve diğer göstergeleri) görmek için kullandığı izleme piksellerini de engeller.

IP adresinizi sitelerden, uygulamalardan ve reklam ağlarından gizlemek için bir VPN(yeni pencere) kullanın; böylece konumunuzu tahmin etmek veya etkinliğinizi siteler arasında ilişkilendirmek için IP adresinizi kullanamazlar. Proton VPN’in ayrıca NetShield adlı, reklamları ve izleyicileri yüklenmeden önce engelleyen bir özelliği vardır. Bağımsız olarak denetlenmiş bir kayıt tutmama ilkesi(yeni pencere) vardır, yani çevrim içi neler yaptığınızın kaydını tutmaz.

Güçlü ve benzersiz parolalar oluşturmak için şifrelenmiş bir parola yöneticisi kullanın; böylece ele geçirilen tek bir hesap diğerlerini açığa çıkarmaz. Proton Pass ayrıca bültenler, çekilişler ve çevrim içi mağazalar için hide-my-email takma adları sunar. Bunlardan biri istenmeyen e-posta almaya başlarsa, kimin paylaşmış veya sızdırmış olabileceğini görebilir ve takma adı kapatabilirsiniz.

Tamayo’nun haberi, veri simsarlarının verilerimiz üzerine kurulu bir iş modelinin parçası olduğunu açıkça ortaya koyuyor. Ancak GDPR ve gizliliğimizi koruyan araçlar, kontrolü geri almanın yollarını sunuyor. Amaç internetten kaybolmak değil, verilerimize kimin ve hangi amaçla erişmesine izin verildiği konusunda bilinçli olmak.