IP Adresi Kişisel Veri Midir?

Bireylerin sahip olduğu dijital cihazların IP adresleri birçok durumda kullanılmaktadır. Özellikle elektronik pazarlama faaliyetlerinde yaygın olarak kullanılan çerezler (cookies) ile IP adresleri kaydedilmektedir. Peki aslında herhangi bir isim ve soy isim içermeyen IP adresleri kişisel veri midir?

IP Adresi Nedir?

İnternet’e bağlanan her cihazın benzersiz bir IP adresi (Internet Protocol Address) bulunur. Cihazlar bu adres sayesinde birbiri ile iletişim kurar ve veri alışverişi gerçekleştirebilir. Bir cihazın IP adresine bakılarak cihazın bulunduğu ülke, şehir, enlem ve boylam tespit edilebilir. IP adresleri 78.191.93.182 gibi sadece rakamlardan oluşur. IP adreslerinin iki farklı türü bulunmaktadır: Statik IP Adresi ve Dinamik IP Adresi.

Statik IP adresi, internet servis sağlayıcısı tarafından bir cihaza kalıcı olarak sağlanan ve modemi açıp kapatmakla değişmeyen IP adresidir. Genellikle hosting, mail sunucuları gibi hizmetler için tercih edilir. İnternet sitelerinde de statik IP adresi kullanılmaktadır.

Dinamik IP adresi ise, internet servis sağlayıcısı tarafından abonenin her yeni internet bağlantısında geçici olarak cihazına atanan adrestir. Değişkendir. Her yeni bağlantıda internet servis sağlayıcının IP havuzunda müsait olan bir IP kullanıcının cihazına tayin edilir.

IP Adresleri Kişisel Veri Midir?

“Kişisel Veri Nedir?” başlıklı yazımızda detaylı olarak açıkladığımız üzere, bir bilginin kişisel veri sayılması için belirli ya da belirlenebilir bir gerçek kişiye ilişkin olması gerekir. Bir bilgi tek başına gerçek kişiyi işaret etmese de ilave veriler kullanılarak gerçek kişiye ulaşılmasının mümkün olması belirlenebilirlik için yeterlidir. “İlave veriler” ile kastedilen ise veri sorumlusunun makul çabası ile elde edebileceği verilerdir.

Makul çaba değerlendirmesi işgücü, harcanan zaman ve maliyet açısından yapılır. Bu kapsamda örneğin, küçük bir market işletmesi için kişisel veri sayılamayan bilgi, bir istihbarat teşkilatı için kişisel veri olarak kabul edilebilecektir. 

Peki yalnızca rakamlardan oluşan, esasen ad ve soyadı bilgisi içermeyen IP adreslerinin belirlenebilir bir kişiyi işaret etmesi mümkün müdür? İnternet servis sağlayıcılar açısından değerlendirilecek olursa, her iki IP adresi türünün de kişisel veri kabul edileceğinde şüphe yoktur. Zira İnternet servis sağlayıcılar statik IP adreslerini atadıkları kişiyi zaten bilmektedir. Dinamik IP adreslerini atadıkları cihazları da atama tarihi ve saati ile birlikte düzenli olarak kaydetmekle yükümlü olduklarından kişileri ayırt edebilmektedir. Bu nedenle internet servis sağlayıcıları için dinamik IP adresleri de kişisel veri olabilecektir.

Hatta Avrupa Adalet Divanı, Breyer kararında dinamik IP adresinin medya hizmet sağlayıcısı bakımından da kişisel veri niteliğinde olduğuna karar vermiştir. Mahkemenin bu değerlendirmesinde makul çaba kavramını oldukça geniş yorumladığını, medya servis sağlayıcısının yalnızca suç şüphesi durumunda yetkili otoriteler aracılığıyla dinamik IP adresinin atandığı cihaz ve kişi bilgilere ulaşabilmesini yeterli kabul ettiğini ifade etmeliyiz. 

Bunlara ilave olarak, kullanıcılarının üyelik bilgilerini edinerek hizmet veren e-ticaret sitesi ve oyun sitesi gibi internet sitelerini veya video platformlarını işletenlerin üyelerinden toplamış oldukları IP adresleri de  kişisel veri niteliğinde olabilecekleri gibi işlenmeleri Kişisel Verilerin Korunması Kanunu’nda düzenlenen usul ve esaslara tabidir. Ancak bunun mutlak bir kural olduğunuz söylemek güçtür zira VPN gibi araçlar ile farklı coğrafyalardaki IP’lerden giriş yapıldığı izlenimi verilebilmektedir.

Sonuç olarak, gerek statik gerekse dinamik IP adresleri belirli şartlar altında kişisel veri olarak kabul edilebilmektedir. Bu nedenle özellikle internet servis sağlayıcıları ve medya hizmet sağlayıcıları IP adreslerini (çerezler vb. aracılığıyla) kaydederek esasen kişisel veri işlemektedirler ve Kişisel Verilerin Korunması Kanunu ve ikincil mevzuata uymakla yükümlüdürler.