Web scraping yasal mı? RODO, TDM ve veri tabanı hakları

👁 114 okunma

Web scraping, veri toplama yöntemlerinden biridir; hukuka uygunluğu ise nasıl kullanıldığına bağlıdır. Aşağıda kişisel veriler, içerik hakları, veri tabanları ve erişim koşulları ayrı ayrı ele alınıyor. AB ve Polonya için genel çerçeve, Ekim 2026 itibarıyla.

Önce süreci tanımlayın, sonra hukuki dayanağı değerlendirin

“İnternetten veri kazımak yasal mı?” sorusu fazla genel kalır. Kendi dokümantasyonunuzu indirmek, herkese açık fiyatları analiz etmek, başkasının kataloğunu kopyalamak veya kişi profillerinden oluşan bir veri kümesi hazırlamak birbirinden farklıdır. Kaynağın, erişim yönteminin, veri kapsamının, amacın ve sonuçların nasıl kullanılacağının önemi vardır. Kullanılan kütüphane bu unsurların hiçbirini tek başına açıklığa kavuşturmaz.

Süreci basit cümlelerle tarif edin: Hangi adresler okunacak, hangi alanlar tutulacak, sonuçları kim alacak ve veriler ne kadar süre saklanacak? Böyle bir açıklama, teknik olarak veri çekme işlemini analiz, paylaşım ve yayımlama aşamalarından ayırmaya yardımcı olur. Her aşama ayrı değerlendirme gerektirebilir. Bir belgeyi okuyabilmek, ondan herkese açık bir arşiv oluşturma hakkınız olduğu anlamına gelmez.

Yapay zekâ modellerinde içeriğin kullanım şekli de önem kazanır. Bir soruya yanıt vermek için tek seferlik okuma, arama dizini oluşturma ve model eğitimi aynı süreç değildir. Projeye RAG veya TDM adını vermenin hukuki sorunu kendiliğinden çözdüğünü varsaymayın. Etiketlerden çok, sürecin fiilî özellikleri önemlidir.

Aşağıdaki ilkeler değerlendirmeyi düzenlemeye yardımcı olur ancak belirli bir web sitesi için kesin sonuç garanti etmez. Ölçeği büyük veya ticari açıdan önemli bir proje için kaynakların gerçek kapsamını ve koşullarını değerlendirmeye sunmanız yararlı olabilir. Bu bilgiler olmadan verilen genel bir yanıt, hukuka uygunluğun güvenilir teyidi sayılmaz.

RODO: herkese açık kişisel veriler de korunur

Bir kişinin adı, kimliği belirlenebilir profili, belirli bir kişiye ait iş e-posta adresi veya yazarıyla ilişkilendirilmiş bir değerlendirme kişisel veri olabilir. Bu bilgilerin internette görünür olması RODO’yu devre dışı bırakmaz. Bu tür bilgileri indirmek ve düzenlemek de veri işlemenin parçasıdır. Veri sorumlusunun hukuki dayanağı değerlendirmesi ve amaç belirleme, yalnızca gerekli verileri kullanma gibi ilkelere uyması gerekir.

RODO’nun 5. maddesi veri işleme ilkelerini, 6. maddesi ise hukuka uygunluk dayanaklarını açıklar. Meşru menfaate dayanmak, her scraper’a otomatik olarak eklenebilecek hazır bir cümle değildir. Gerçek menfaatin, gerekliliğin ve kişilerin haklarının değerlendirilmesini gerektirir. Her süreçte tek seçenek açık rıza değildir; ancak başka bir dayanak seçiliyorsa bunun belirli kullanım için gerekçelendirilmesi gerekir.

İşe, tasarım aşamasında veri kapsamını sınırlayarak başlayabilirsiniz. Amaç şehirlerdeki hizmetlerin kullanılabilirliğini karşılaştırmaksa değerlendirmeleri yazan kişilerin adlarını toplamak gereksiz olabilir. Analiz toplu sonuçlar üretecekse kişilerin kimliğini belirlemek her zaman şart değildir. Daha küçük bir veri kümesini denetlemek, güncellemek ve artık gerekli olmayan bilgileri silmek daha kolaydır.

Sonuçları harici bir yapay zekâ aracına göndermek de veri akışının bir parçasıdır. İçeriğin nereye gittiğini ve ne amaçla kullanıldığını bilmeniz gerekir. Scraper’ın yerel ortamda çalışması, kaydedilen materyal daha sonra bir model hizmetine gönderiliyorsa sürecin tamamının yerel olduğu anlamına gelmez. Altyapı seçimi yalnızca entegrasyon kolaylığına değil, belirlenen amaca ve veri işleme ilkelerine uygun olmalıdır.

Veri tabanı hakları: yalnızca tek tek kayıtlar değil, koleksiyon da önemlidir

Veri tabanlarının korunması, tek bir bilginin telif hakkından ibaret değildir. 96/9/EC sayılı Direktif, içeriğin elde edilmesi, doğrulanması veya sunulması için yapılan önemli yatırımla bağlantılı sui generis bir hak öngörür. 7. madde, bu tür bir veri tabanının tamamının veya önemli bir bölümünün alınması ya da yeniden kullanılmasıyla ilgilidir. Bu konu, tek bir bilginin eser sayılıp sayılmadığından ayrıdır.

Veriyi küçük parçalar hâlinde almak her zaman yeterli olmaz. Normal kullanımı engellediğinde veya veri tabanı üreticisinin meşru menfaatlerine haksız biçimde zarar verdiğinde, önemsiz bölümlerin tekrarlanan ve sistematik şekilde alınması ya da kullanılması da kapsamda olabilir. Dolayısıyla değerlendirme, tek bir API çağrısındaki kayıt sayısıyla sınırlı kalmamalıdır.

Öte yandan her derlemeyi otomatik olarak korunan bir veri tabanı saymamak, her bilginin de münhasır bir sahibinin olduğunu varsaymamak gerekir. Korumanın varlığı ve kapsamı belirli koşulların karşılanmasına bağlıdır. Proje açısından, planlanan veri kümesinin kaynağın önemli bir bölümünü yeniden oluşturup oluşturmadığını ve hazırlık için yapılan yatırımın rolünü belirlemek gerekir.

Örneğin seçilmiş bilgileri karşılaştıran bir sistemle düzenli olarak tüm kataloğu kopyalayan bir sistem benzer kod kullanabilir, ancak hukuki kapsamları farklı olabilir. Sürecin sonucu ve tekrarlanma biçimi önemlidir. Her işlemi ayrı bir sorgu olarak adlandırmak, projenin genel niteliğini kendiliğinden değiştirmez.

TDM ve opt-out: DSM Direktifi’nin 4. maddesi

DSM olarak bilinen 2019/790 sayılı Direktif’in 4. maddesi, metin ve veri madenciliğine ilişkin bir istisna öngörür. Başlangıç noktası, içeriğe hukuka uygun erişimdir; hak sahibi de haklarını uygun bir yöntemle saklı tutabilir. İnternette herkese açık içeriklerde makine tarafından okunabilir bir hak saklı tutma bildirimi önem taşır. Bu hüküm, kaynağın tüm koşullarını yok sayma izni vermez.

TDM, metin ve verilerin analiz edilmesiyle ilgilidir. Analiz için gereken kopyayı oluşturma yetkisi, başkasına ait makalelerin tamamını ürün kullanıcılarına sunma hakkıyla karıştırılmamalıdır. Benzer şekilde, bir projede model kullanılması her aşamanın istisna kapsamına girdiğini göstermez. Veriyi elde etme, saklama, analiz etme ve sonuçları sonradan sunma aşamaları ayrı ayrı değerlendirilmelidir.

Uygulamada, kaynağın içerdiği hak saklı tutma bildirimlerini ve bunları ne zaman kontrol ettiğinizi kaydedin. Ekranda kolayca görünen bir bildirim olmamasını, sayfanın verilerinde böyle bir bildirimin bulunmadığının kanıtı saymayın. Bununla birlikte, her teknik kısıtlamanın hukuken aynı sonucu doğurduğu da varsayılmamalıdır. Bildirimin biçimi ve istisnanın kapsamı, belirli kaynak dikkate alınarak değerlendirilmelidir.

robots.txt ve kullanım koşulları: farklı işlevlere sahip belgeler

RFC 9309, robots.txt protokolünü tanımlar ve bunun erişim yetkilendirmesinden farklı olduğunu açıkça belirtir. Dosya, botlara hangi kaynakları ziyaret edeceklerine ilişkin kurallar bildirebilir; lisans verme sistemi değildir. Bir yolun ziyarete açık olması, içeriğin her şekilde kullanılabileceği anlamına gelmez. Dosyanın bulunmaması da telif haklarını veya kişisel verilerle ilgili yükümlülükleri ortadan kaldırmaz.

Öte yandan, bir robota getirilen yasak da diğer koşullar incelenmeden tüm hukuki sorulara verilmiş eksiksiz bir yanıt olarak yorumlanmamalıdır. TDM açısından hakların saklı tutulup tutulmadığı ve bunun nasıl yapıldığı değerlendirilmelidir. Erişim bakımından hizmet koşulları ve uygulanan kısıtlamalar önem taşıyabilir. Teknik sinyallerle hukuki değerlendirme bağlantılıdır, ancak birbirinin yerine geçmez.

Kullanım koşulları da önemlidir. C-30/14 sayılı Ryanair ve PR Aviation davasında Avrupa Birliği Adalet Divanı, veri tabanı direktifinde belirtilen haklarla korunmayan bir veri tabanına ilişkin sözleşmesel kısıtlamaları ele aldı. Karar, bu tür bir korumanın bulunmamasının sözleşme koşulları konusunu otomatik olarak kapatmadığını ve ulusal hukukun önem taşıdığını gösterir. Ancak her kullanım koşulundaki her hükmün her zaman geçerli olduğu sonucuna varılamaz.

Bu nedenle uygulamaya geçmeden önce kaynağın güncel koşullarını, erişim biçimini ve kullanım planını bir araya getirin. Bir web sitesinin isteğinize teknik olarak yanıt verdiğini belirten mesaj, bu çalışmanın yerini tutmaz. Teknik başarı veriye erişildiğini gösterir; sonraki tüm işlemler için hakkınız olduğunu değil.

AI Act: model sağlayıcılarının yükümlülükleri veri lisansı değildir

AB AI Office’in yayımladığı materyaller, genel amaçlı model sağlayıcılarının yükümlülüklerini açıklar. AI Act’in 53. maddesi, diğerlerinin yanı sıra, AB telif hakkı hukukuna uyum politikası ve eğitimde kullanılan içeriklere ilişkin kamuya açık bir özet yükümlülüğü içerir. Bu yükümlülükler, yapay zekâ tedarik zincirindeki belirli rollere yöneliktir; scraper kullanan veya hazır bir modelden yararlanan herkese otomatik olarak uygulanmaz.

AI Act, RODO’nun, telif haklarının veya veri tabanı korumasına ilişkin kuralların yerini almaz. Veri indirmek için genel bir lisans oluşturmaz. Projenizi değerlendirirken önce rolünüzü ve materyalle ne yaptığınızı belirleyin. Kaynakları okumak için hazır bir modelden mi yararlanıyorsunuz, yoksa kendi modelinizi mi geliştirip sunuyorsunuz? Yanıt, değerlendirmenin kapsamını etkiler.

Scraper’ı çalıştırmadan önce kontrol listesi

• Amacı tek cümleyle yazın ve veri aldığınız alan adlarını listeleyin.
• robots.txt dosyasını, kullanım koşullarını ve makine tarafından okunabilir TDM hak saklı tutma bildirimini kontrol edin; kontrol tarihini kaydedin.
• Gerçekten gerekli alanları belirleyin; ad, e-posta ve kişi profillerini yalnızca RODO’nun 6. maddesine dayanan belirli bir hukuki gerekçeyle toplayın.
• Veri kümesinin başkasına ait bir veri tabanının önemli bir bölümünü yeniden oluşturup oluşturmadığını değerlendirin.
• Web sayfası kopyalarını ne kadar süre sakladığınızı belirleyin; TDM için yalnızca analiz amacıyla gereken süre boyunca saklayın.
• İndirilen metinleri bütünüyle yayımlamayın; analiz sonuçlarını, kısa alıntıları ve kaynak bağlantılarını paylaşın.
• İçeriğin indirildikten sonra nereye gittiğini kontrol edin; harici model, verilerin yeni bir alıcısıdır.
• Sorgu sıklığını sınırlayın ve belirli bir kaynaktan gelen verileri hızla silmenin bir yolunu belirleyin.

Projenin makul bir açıklaması, kaynakları, amaçları, hukuki dayanakları ve saklama süresini birlikte ele alır. Ayrıca değerlendirme için hangi bilgilerin eksik olduğunu da gösterir. “Web scraping kesinlikle yasaldır” demek yerine, belirli süreçle ilgili bir gerekçe sunmak gerekir. Bu yaklaşım verileri kendi komut dosyanızla, hazır bir Actor’la veya MCP üzerinden bağlı bir ajanla toplasanız da geçerlidir.

Araç örnekleri için yapay zekâ için web verileri rehberine, hazır scraper örnekleri için Apify hakkındaki yazıya göz atabilirsiniz.

Sık sorulan sorular

Herkese açık bir web sitesi scraping izni verir mi?

Hayır. Herkese açık olması, istediğiniz kapsam ve amaçla kullanma izni vermez. Erişimi, materyal üzerindeki hakları, veri tabanı korumasını, sözleşme koşullarını ve kişisel verileri ayrı ayrı değerlendirmeniz gerekir.

Opt-out yalnızca model eğitimi için mi geçerlidir?

Yasa hükmünü ve süreci incelemeden genel TDM mekanizmasını bu şekilde daraltmamak gerekir. Hangi işlemlerin yapıldığı ve projenin hangi hukuki dayanağa dayanmak istediği önemlidir.

Yerel scraper kullanmak RODO sorununu çözer mi?

Hayır. Yerel çalışma teknik bir özelliktir. Amaç, hukuki dayanak, veri kapsamı ve saklama süresi önemini korur. Ayrıca içerik daha sonra harici bir hizmete gönderilebilir.

robots.txt, hukuka uygunluğu kontrol etmek için yeterli mi?

Hayır. robots.txt, botlara kuralları bildirme standardıdır; haklar ve koşullar hakkında kapsamlı bir değerlendirme değildir. İlgili diğer belgeleri ve verilerin gerçekte nasıl kullanılacağını da kontrol etmelisiniz.

// okumaya devamAI için web scraping: Firecrawl, Crawl4AI ve arama araçlarıGenelGPT-6.1 Terra yasal düzenlemeleri uyduruyor mu? Test sonuçlarıKarşılaştırmalarCapCut bilgisayara nasıl indirilir? Windows ve Mac kurulumuGenel