Güncellendi: 2 Kasım 2026. Metin, kaynağın desteklediği uzunluğa indirildi ve KVKK'nın paylaşımına doğrudan bağlantı verildi. KVKK bu uygulamaların biyometrik verilerin işlenmesine "neden olabileceğini" söyledi; hiçbir uygulama hakkında karar vermedi. Yurt dışındaki bir uygulamaya fotoğraf yüklemenin genellikle yurt dışına aktarım olduğu yönündeki önceki ifade düzeltildi; KVKK'nın aktarım rehberi, kişinin verisini doğrudan vermesini farklı değerlendiriyor. Uygulamaların nasıl çalıştığına dair doğrulanmamış ifadeler ve yabancı dava listesi çıkarıldı.
Düzeltme (19 Ekim 2026): Yazının önceki sürümünde KVKK'nın kullanıcıların verilerin hangi amaçlarla kullanılacağı konusunda bilgilendirilmediğini tespit ettiği belirtiliyordu (Kurum'un paylaşımı aslında kullanıcıları uygulamaların hangi verilere eriştiğini ve verilerin hangi amaçlarla kullanılabileceğini öğrenmeye çağırıyordu) ve Facebook BIPA uzlaşmasının tarihi yanlış verilmişti; her iki nokta düzeltildi, yayından kaldırılan iki yazıya verilen bağlantılar da çıkarıldı.
Kişisel Verileri Koruma Kurumu (KVKK), 10 Eylül 2026'da X hesabından, fotoğrafları 1980'ler tarzı görsellere dönüştüren "#80lerchallenge" akımının arkasındaki yapay zekâ uygulamaları konusunda kullanıcıları uyardı. Kurum, bu uygulamaların biyometrik verilerin işlenmesine neden olabileceğini söyledi. Uyarı kısa bir sosyal medya paylaşımıdır; karar değildir ve hiçbir uygulamanın adını anmıyor.
KVKK 80'ler akımı hakkında ne dedi?
KVKK'nın paylaşımı şöyle: "Yapay zekâ uygulamalarıyla fotoğraflarınızı nostaljik karelere dönüştürmeden önce dijital mahremiyetinizi de düşününüz. Çünkü #80lerchallenge gibi sosyal medya akımlarında kullanılan uygulamalar, fotoğraflarınız üzerinden biyometrik verilerinizin işlenmesine neden olabilir." Ardından iki öneri geliyor: uygulamaların hangi verilerinize eriştiğini kontrol edin ve verilerinizin hangi amaçlarla kullanılabileceği hakkında bilgi edinin. Paylaşım "Hatıralar yaşasın, size ait olan sizde kalsın" sözleriyle bitiyor.
Kurum'un söylediği bu kadar. Hiçbir uygulamayı yasaklamadı, ihlal tespit etmedi, belirli bir uygulamanın nasıl çalıştığını da söylemedi.
Her selfie biyometrik veri midir?
Hayır. Bir fotoğraf yalnızca yüz gösterdiği için biyometrik veri olmaz. 6698 sayılı Kanun'un 6. maddesi biyometrik veriyi özel nitelikli veriler arasında sayıyor, ancak orada tanımlamıyor. KVKK'nın biyometrik veri rehberi (Mart 2025) AB'deki tanımdan yararlanıyor: ayırt edici özelliklerin veri işleme sonucunda ortaya çıkarılması ve kişinin kimliğini tanımlamaya veya doğrulamaya yaraması gerekir. GDPR da fotoğraflar için aynı noktaya işaret ediyor: 51. gerekçe, fotoğrafların ancak kişinin benzersiz biçimde tanınmasını veya doğrulanmasını sağlayan özel teknik yöntemlerle işlendiğinde bu kapsama girdiğini söylüyor.
Yani cevap, uygulamanın görüntüyle ne yaptığına bağlı; KVKK'nın "olabilir" demesi bu yüzden önemli. KVKK yüz verisini başka alanlarda ele aldı: biyometrik mesai takibi ve bir bankanın mobil uygulaması gibi. Bunlar filtre uygulaması değildi; böyle bir uygulamaya ilişkin KVKK kararı bildiğimiz kadarıyla yok.
Hangi KVKK kuralları uygulanır?
Uygulama gerçekten biyometrik veri işliyorsa, özel nitelikli verilere ilişkin daha sıkı kurallar devreye girer.
- Hukuki sebep. 7499 sayılı Kanun'la değişen ve 1 Haziran 2024'ten beri uygulanan 6. maddenin üçüncü fıkrası, açık rıza gibi sayılan şartlardan biri yoksa işlemeyi yasaklıyor. Bize göre eğlence uygulamaları için gerçekçi şart açık rızadır.
- Rızanın niteliği. 3. madde açık rızayı belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlıyor. Bize göre "uygulamayı kullanarak koşulları kabul edersiniz" türü genel bir hüküm bununla bağdaşmakta zorlanır.
- Aydınlatma. 10. madde, veri sorumlusunun kimliğini, işleme amacını, alıcıları, toplama yöntemini ve hukuki sebebi bildirmeyi zorunlu kılıyor. KVKK'nın ikinci önerisi de kullanıcıyı aynı bilgilere yöneltiyor.
- Güvenlik. 12. madde uygun teknik ve idari tedbirleri arıyor.
Yurt dışındaki bir uygulamaya fotoğraf yüklemek yurt dışına aktarım mıdır?
Fotoğrafı kendiniz yüklediğinizde genellikle hayır. KVKK'nın Kişisel Verilerin Yurt Dışına Aktarılması Rehberi'nin çevrimiçi alışveriş örneğine göre Türkiye'deki bir kişinin verisini Türkiye pazarını hedefleyen yabancı bir şirkete doğrudan vermesi aktarım teşkil etmez, çünkü veriyi aktaran bir veri sorumlusu veya veri işleyen yoktur. Şirketin bu işleme faaliyeti yine Kanun'a tabidir. Şirket veriyi yurt dışındaki bir veri işleyene iletirse, bu adım aktarım hükümlerine girer.
Türkiye'deki bir markanın durumu farklıdır. Kampanya yürütüp müşterilerin fotoğraflarını yurt dışındaki bir sağlayıcıya gönderiyorsa 9. madde gündeme gelir. Tarafların rolü, saklama süresi ve model eğitiminde kullanım sözleşmede açıkça düzenlenmelidir. Yolları KVKK yurt dışı veri aktarımı rehberimiz anlatıyor.
Kullanıcı ne yapabilir?
KVKK'nın iki kontrolüyle başlanabilir. Bunların ötesinde genel önlemler makuldür: galerinin tamamı yerine seçilen tek fotoğrafa erişim vermek, görsellerin ne kadar saklandığını ve model eğitiminde kullanılıp kullanılmadığını okumak, çocukların veya başkalarının fotoğraflarını yüklemeden önce iki kez düşünmek.
11. madde, kişiye verisinin işlenip işlenmediğini ve neden işlendiğini öğrenme, kimlere aktarıldığını bilme ve silinmesini isteme hakkı veriyor. 13. maddeye göre veri sorumlusu en geç 30 gün içinde cevap vermeli. 14. maddeye göre kişi, cevabı öğrendiği tarihten itibaren 30 ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kurul'a şikâyette bulunabilir.
AB yapay zekâ hukuku bu konuda ne diyor?
Yalnızca kısmen bir şey söylüyor. EU AI Act, yüz tanıma veri tabanı oluşturmak için yüz görüntülerinin hedefsiz toplanmasını (m.5(1)(e)) ve belirli biyometrik sınıflandırmaları (m.5(1)(g)) yasaklıyor. M.50(4) ise deepfake'lerin açıklanmasını istiyor; bu konuyu yapay zekâ üretimi içeriği etiketleme notumuz ele alıyor. Bu kurallar bir filtre uygulamasını tek başına yasaklamaz. Türkiye'de yürürlükte bir yapay zekâ kanunu yok.
Sık sorulan sorular
KVKK 80'ler akımı uygulamalarını yasakladı mı?
Hayır. KVKK'nın 10 Eylül 2026 tarihli paylaşımı bir farkındalık mesajıdır. Kullanıcılara uygulamaların hangi verilere eriştiğini ve verilerinin hangi amaçlarla kullanılabileceğini kontrol etmelerini öneriyor. Hiçbir uygulamanın adını anmıyor ve ihlal tespit etmiyor.
KVKK fotoğrafımın biyometrik veri olduğunu mu söylüyor?
Bu ifadeyle değil. KVKK, bu uygulamaların fotoğraflar üzerinden biyometrik verilerin işlenmesine neden olabileceğini söylüyor. Belirli bir uygulamanın bunu yapıp yapmadığı görüntüyü nasıl işlediğine bağlıdır. GDPR'ın 51. gerekçesine göre fotoğraf ancak özel teknik yöntemlerle işlendiğinde bu kapsama girer.
KVKK yurt dışındaki bir uygulamaya uygulanır mı?
Uygulanabilir. KVKK'nın aktarım rehberine göre Türkiye pazarını hedefleyen ve Türkiye'deki kişilerden doğrudan veri toplayan yabancı bir şirket 6698 sayılı Kanun'a tabidir; bu doğrudan toplama ise yurt dışına aktarım sayılmaz. Yabancı bir şirkete karşı hakları kullanmak uygulamada daha zor olabilir.
Burhan Doğuş Ayparlar'ın Görüşü
Bu bölüm, sitenin kurucusu Av. Burhan Doğuş Ayparlar'ın kişisel değerlendirmesidir.
Bana göre KVKK'nın paylaşımı gerçek bir soruna dokunuyor: en büyük riskler en masum görünen etkileşimlerde saklı olabilir. Okunmamış ve hizmete bağlanmış bir onayın, 3. maddenin açık rıza için aradığı ölçütü karşıladığını da sanmıyorum.
Uyarıyı olumlu buluyorum, ancak farkındalık tek başına yeterli değil. Geliştiriciler ve bu filtreleri kullanan markalar için rehberlik ve gerektiğinde kararlar daha etkili olur. Kullanıcılar için basit bir benzetme işe yarar: parolanızı değiştirebilirsiniz, yüzünüzü değiştiremezsiniz.
Kaynaklar: KVKK'nın X paylaşımı (10 Eylül 2026, doğrudan okundu); mevzuat.gov.tr'de yayımlanan 6698 sayılı Kanun; KVKK'nın Kişisel Verilerin Yurt Dışına Aktarılması Rehberi (Ocak 2025) ve Biyometrik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlara İlişkin Rehberi (Yayın No: 55, Mart 2025); GDPR 51. gerekçe; (AB) 2024/1689 sayılı Tüzük. Tümü 1 Kasım 2026'da okundu. Belirli bir uygulamayı incelemedik. Genel bilgi niteliğindedir, hukuki görüş değildir.
