İflas masasındaki dijital miras: Bir şirket öldüğünde verilerine ne olur?

Bir şirket kapandığında ya da iflas ettiğinde geriye ne kalır? Boşaltılmış ofisler, ödenmemiş borçlar, işsiz kalan çalışanlar, patentler ve satışa çıkarılan varlıklar… Fakat esasında miras bununla bitmiyor.

Bugün artık şirketler, faaliyet gösterdikleri süre boyunca müşterilerinden çalışanlarına, iş ortaklarından tedarikçilerine kadar milyonlarca kişi ve kuruma ait veri topluyor. Şirket kapandığında ise bu devasa dijital arşiv bir anda ortadan kaybolmuyor. Verilerin bir bölümü yasal yükümlülükler nedeniyle saklanmaya devam ederken bazıları, başka şirketlere devredilebiliyor ve hatta iflas sürecinde satışa çıkarılan varlıklar arasında yer alabiliyor. 

Kişisel verilerin ekonomik değerinin giderek arttığı yapay zeka çağında, şirketlerin dijital mirasının nasıl yönetildiği ve bu mirasın sorumluluğunun kime ait olduğu soruları da gündeme taşınıyor. 

Perde arkası: Şirketler, faaliyetlerini sonlandırdıklarında geriye fiziksel varlıkların yanı sıra, yıllar boyunca biriktirilen büyük bir dijital miras da kalıyor. Bu mirasın içinde müşteri isimleri, adresleri, telefon numaraları, ödeme bilgileri ve alışveriş geçmişleri gibi kişisel veriler, özlük dosyaları, çalışan kayıtları, maaş bilgileri, e-postalar ve şirket içi yazışmalar da yer alıyor. 

Benzer şekilde kullanıcıların platform üzerinden gönderdiği mesajlar, internet sitesindeki hareketleri ve tüketim alışkanlıklarına ilişkin davranışsal veriler de dijital mirasın önemli bir parçasını oluşturuyor. 

Öte yandan: Şirketlerin dijital mirası, yalnızca kişisel verilerden ibaret değil. Ticari sırlar, müşteri ilişkileri yönetimi (CRM) sistemleri, tedarikçi sözleşmeleri, finansal kayıtlar, yazılım kodları ve operasyonel süreçlere ilişkin belgeler de bu kapsamda değerlendiriliyor. 

Fakat şirketlerin sahip olduğu ticari veriler ile bireylere ait kişisel veriler aynı kurallara tâbi olmuyor. Ticari veriler, belirli koşullarda şirketin ekonomik varlıkları arasında değerlendirilip devredilebilirken kişisel verilerin toplanması, saklanması, kullanılması ve başka kuruluşlara aktarılması veri koruma mevzuatı çerçevesinde ele alınıyor. 

• Dolayısıyla bir şirketin kapanması veya el değiştirmesi, bünyesinde tuttuğu kişisel veriler üzerinde sınırsız tasarruf hakkı doğurmuyor.

Geniş açı: Son yıllarda yaşanan bazı iflas vakaları, müşterilere ait son derece hassas verilerin nasıl ekonomik bir varlığa dönüşebildiğini ortaya koydu. 23andMe, bu alandaki en dikkat çeken örneklerden biriydi. 

ABD merkezli şirket, müşterilerine gönderdiği DNA test kitleri üzerinden tükürük örneği topluyor ve bu örnekleri analiz ederek genetik köken ve yatkın olunan hastalıklara ilişkin ayrıntılı bir rapor sunuyordu. Yaşam süresi boyunca 15 milyon kişiden genetik veri toplayan şirket, yaşadığı mâli sorunların ardından 2025’in Mart ayında iflas koruma başvurusunda bulundu. İflas sürecinde gündeme gelen en büyük tartışmalardan biri, şirketin fiziksel ve ticari varlıklarından ziyade, yıllar boyunca topladığı genetik veriler oldu. 

• Şirketin varlıklarının satışa çıkarılması, müşterilerin DNA bilgilerinin de yeni bir işletmenin eline geçebileceğine yönelik bir endişe doğurdu. 

• Geçen yılın Haziran ayında ABD'deki 28 eyaletin başsavcısı, müşterilerin genetik bilgilerinin açık rızaları olmadan devredilmesine karşı yasal işlem başlattı. Bazı eyalet yetkilileri ise kullanıcılara verilerini sildirmelerini tavsiye etti.

İlk etapta ilaç şirketi Regeneron Pharmaceuticals, 23andMe’yi 256 milyon dolara satın almak üzere anlaşmaya vardığını açıkladı. Fakat yeniden açılan ihale sonucunda şirketin kurucu ortağı Anne Wojcicki'nin yönettiği kâr amacı gütmeyen TTAM Research Institute, 305 milyon dolarlık bir teklif sunarak kazanan taraf oldu. Satın alma işlemleri, 14 Temmuz 2025'te tamamlandı. 

• TTAM Research Institute, müşterilerin genetik verilerini silme, araştırmalara katılım izinlerini geri çekme haklarını koruma, mevcut gizlilik politikalarına uyma ve ek veri güvenliği önlemleri alma gibi bir dizi taahhütte bulundu.

• Bu vaka, bir şirkete belirli bir amaç için emanet edilen verilerin şirketin finansal geleceğinden bağımsız düşünülemeyeceğini de kanıtlamış oldu.

Benzer şekilde: ABD merkezli elektronik perakende zinciri RadioShack de 2015 yılında iflas ettiğinde 117 milyon müşterisine ait kişisel verileri satışa çıkarmayı planladı. Fakat şirketin gizlilik politikasında müşteri bilgilerinin satılmayacağına dair bir taahhüt bulunması, 38 eyaletin başsavcısının itirazına yol açtı. 

Varılan anlaşma sonucunda verilerin büyük bir bölümünün imha edilmesine ve yalnızca belirli müşteri bilgilerinin sınırlı koşullarla yeni alıcıya devredilmesine karar verildi. Ayrıca kredi kartı bilgileri, telefon numaraları ve doğum tarihleri gibi hassas bilgilerin alıcı tarafa aktarılması yasaklandı. 

AI, kapanan şirketlerin verilerine yönelik talebi hızlandırdı

OpenAI’ın 2022 sonunda ChatGPT’yi kullanıma sunmasıyla fitili ateşlenen yapay zeka patlaması, kaliteli eğitim verisine ihtiyacı artırdığı için kapanan şirketlerin verilerine yönelik talebi de hızlandırdı. Örneğin bu yıl Google, Mayıs ayında faaliyetlerini durdurduktan sonra iflas sürecini başlatan havayolu şirketi Spirit Airlines’ın şirket verilerini 10 milyon dolara satın aldı. 

Önemli ayrıntı: Satın alınan veriler arasında Spirit Airlines çalışanlarının e-postaları, Microsoft Teams mesajları, elektronik tabloları ve takvimlerinin yanı sıra pazarlama ve verimlilik gibi alanlardaki operasyonel veriler de yer alıyor. Google, bu verileri ürün geliştirmek ve yapay zeka modellerini eğitmek için kullanmayı planlıyor. 

• Satış tamamlanmadan önce verilerin anonimleştirileceği ve hiçbir müşteri bilgisi veya kişisel olarak tanımlanabilir bilginin satılan veriler arasında yer almayacağı ifade ediliyor. 

Bir adım geriden: Spirit Airlines, çalışan verileri için yapay zeka odaklı veri şirketi Mercor’dan da 7,5 milyon dolarlık bir teklif almıştı. 

Diğer yandan Google’ın 10 milyon dolarlık anlaşması, pek çok tarafta veri gizliliğine yönelik endişelere yol açtı. ABD’de 120’den fazla milletvekili, anlaşmaya ilişkin endişelerini dile getirdi. Senatör Elizabeth Warren ve temsilci Steven Horsford liderliğindeki vekiller, satışın 100 milyon e-posta, 500 milyon Microsoft Teams mesajı ve binlerce çalışan kaydının devrini içereceğini belirtti.

• Ayrıca şirketten, çalışan bilgilerinin “mümkün olduğu kadar çok” devir işleminde yer almamasını sağlaması istendi.

• Milletvekilleri, itirazlarında “Çalışanların özel hayatının gizliliği ve işleri gereği paylaşmak zorunda kaldıkları bilgilerin korunması, inovasyon uğruna göz ardı edilmemeli” ifadelerine yer verdi. 

Benzer şekilde sendika liderleri de satışla ilgili endişelerini dile getirdi. Uçuş Görevlileri Birliği-CWA Başkanı Sara Nelson, “Google’a yapılması planlanan bu satışın hangi koşullarda tamamlanacağı, tüm sektörlerdeki çalışanlar açısından son derece önemli sonuçlar doğuracak” dedi. 

Veri devri bir iş koluna dönüşüyor

Talep hızlandıkça iflas eden veya kapanan şirketlerin verilerini devralarak yapay zeka için bir eğitim verisine dönüştürmek, bazı şirketler için potansiyel bir iş fırsatı hâline de geldi. Eylül ayında Bloomberg, Elon Musk’ın yapay zeka girişimi xAI’ı da satın alan SpaceX’in finansal sorunlar yaşayan veya faaliyetlerini sonlandırmış girişimlerin müşteri bilgilerini ve operasyonel verilerini satın alma olasılığını değerlendirdiğini bildirdi. 

Arka plan: SpaceX tarafından satın alınmasının ardından adı SpaceXAI olarak değişen xAI da diğer yapay zeka şirketleri gibi modellerinin farklı alanlardaki performansını iyileştirmek için yüksek kaliteli verilere ihtiyaç duyuyor. Kaynaklar, şirketin satın alacağı veri setlerini Grok’un eğitiminde kullanacağına işaret ediyor. 

Bunun yanında bir şirket, faaliyetlerini sonlandırdığında sahip olduğu tüm veriler otomatik olarak silinmiyor. Üstelik şirketin kendi sistemlerinde tuttuğu bilgiler üzerindeki ticari hakları ile kullanıcıların kişisel verileri üzerindeki hakları birbirinden kalın çizgilerle ayrılıyor. 

• Şirketin yazılım kodları, ticari sırları veya operasyonel kayıtları, belirli koşullarda başka bir kuruluşa devredilebilirken kişisel verilerin aktarılması ve işlenmesi, veri koruma mevzuatına tâbi olmaya devam ediyor. Dolayısıyla şirketin iflas etmesi, müşterilerinin veya çalışanlarının kişisel bilgilerini herhangi bir kısıtlama olmaksızın satabileceği anlamına gelmiyor.

Öte yandan: Verilerin tamamen ortadan kaldırılması, teknik açıdan sanıldığı kadar kolay değil. Bir internet sitesinin erişime kapatılması veya bir uygulamanın kullanımdan kaldırılması, arka planda saklanan tüm bilgilerin silinmesi anlamına gelmiyor. Veriler, şirketin kendi sunucularının yanı sıra bulut depolama platformlarında, yedekleme altyapılarında ve üçüncü taraf hizmet sağlayıcılarının sistemlerinde tutulmaya devam edilebiliyor. 

Bu nedenle şirketin ana veri tabanından silinen bilgiler, farklı sistemlerdeki kopyalarında varlığını sürdürebiliyor. Güvenli bir veri imha süreci, yalnızca dosyaların silinmesini değil; yedeklerin, erişim yetkilerinin ve üçüncü taraflarla paylaşılan verilerin de değerlendirilmesini gerektiriyor.

• Bu durum, faaliyetlerini sonlandıran şirketlerin geride bıraktığı dijital mirasın yönetimini hem teknik hem de hukuki açıdan karmaşık bir hâle getiriyor. 

Mevzuat ne diyor? 

Türkiye'de yürürlükte olan Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği'nin Genel Veri Koruma Yönetmeliği (GDPR), kişisel verilerin hangi koşullarda saklanabileceğine, işlenebileceğine ve başka kuruluşlara aktarılabileceğine ilişkin kuralları düzenliyor. Her iki düzenleme de kişisel verilerin yalnızca belirli ve meşru amaçlarla, gerekli olduğu süre boyunca saklanmasını şart koşuyor. Dolayısıyla bir şirketin kapanması veya satılması, topladığı kişisel verilerin sınırsız bir süre boyunca kullanılabileceği anlamına gelmiyor. 

KVKK: KVKK'ya göre kişisel verilerin işlenmesini gerektiren nedenler ortadan kalktığında bu bilgilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekiyor. Ayrıca yönetmelik, kullanıcıların kendileri hakkında hangi verilerin işlendiğini ve bunların kimlerle paylaşıldığını öğrenme ve gerekli koşullar oluştuğunda silinmelerini talep etme hakkına sahip olduğunu söylüyor. 

Ancak şirketin faaliyetlerini durdurması, bütün verilerin derhâl silinmesini gerektirmiyor. Örneğin belirli durumlarda yasal yükümlülükler nedeniyle bazı kayıtların belirli bir süre korunması gerekebiliyor. 

GDPR: GDPR ise benzer yükümlülüklerin yanı sıra kullanıcılara belirli koşullarda “unutulma hakkı” tanıyor. Bu hak, kişilerin artık gerekli olmayan veya hukuka aykırı biçimde işlenen verilerinin silinmesini talep edebilmesini mümkün kılıyor. Ancak yönetmelik, bu hakkın da mutlak olmadığına işaret ediyor. Yasal yükümlülükler ve hukuki talepler gibi gerekçelerle bazı veriler saklanmaya devam edebiliyor. 

Kısacası bir şirketin ekonomik varlığı sona erdiğinde kişisel veriler üzerindeki hukuki sorumlulukları, otomatik olarak ortadan kalkmıyor. Ancak iflas veya şirket devri süreçlerinde bu sorumlulukların kime geçtiği ve kullanıcıların kişisel verileri üzerindeki haklarını nasıl kullanabileceği daha fazla önem kazanıyor. 

Perspektif: Yapay zeka patlaması, şirketlerin geride bıraktığı dijital mirasın ekonomik değerini de artırıyor. Geçmişte yalnızca arşiv niteliği taşıyan e-postalar, belgeler, müşteri kayıtları ve çalışan yazışmaları, bugün yapay zeka modellerinin eğitiminde kullanılabilecek değerli veri setlerine dönüşebiliyor. Bu durum, iflas eden şirketlerin verilerini potansiyel alıcılar için daha cazip hâle getirirken bu verilerin hangi amaçlarla kullanılabileceğine ilişkin tartışmaları da derinleştiriyor. 

Diğer tarafta kullanıcılar, kişisel verilerini bir şirkete belirli hizmetlerden yararlanmak amacıyla emanet ediyor. Ancak bu bilgilerin yıllar sonra farklı bir kuruluşun eline geçmesi ve başlangıçta öngörülmeyen amaçlarla kullanılması, veri gizliliği açısından oldukça kritik soru işaretleri doğuruyor. Zira kullanıcılar, verilerini bir şirkete emanet ederken yıllar sonra bu bilgilerin farklı bir kuruluşun eline geçmesi olasılığını otomatik olarak kabul etmiş olmuyor.

Şirketlerin ekonomik ömrü ile topladıkları verilerin ömrü arasındaki fark açılırken bu verilerin ekonomik değerinden kimlerin yararlanacağı kadar, onları koruma sorumluluğunu kimin üstleneceği de önemli hâle geliyor.