Çiçekçi Anonim Göndericinin Kimliğini Alıcıya Açıklayabilir mi?
Çiçekçinin veya sipariş platformunun, isminin alıcıya açıklanmamasını isteyen göndericinin kimliğini paylaşması için hukuka uygun bir dayanak gerekir. Alıcının merak edip sorması, tek başına göndericinin adını, telefonunu ve sipariş kayıtlarını sınırsız açıklama yetkisi vermez. Buna karşılık “anonim gönderim” seçeneği de kanuni yükümlülükleri, yetkili makamların taleplerini veya somut olayda uygulanacak diğer hukuki sebepleri ortadan kaldıran mutlak gizlilik anlaşması değildir.
Bu uyuşmazlıkta temel kurallar 6698 sayılı Kanun m.3, 4, 5, 8 ve 12 ile sözleşmenin açık gizlilik şartlarıdır. İnceleme; hangi bilginin, kim tarafından, kime, hangi amaçla ve hangi dayanakla verildiği üzerinden yapılır. Gönderi kartında isim bulunmaması, sipariş sistemindeki bütün bilgilerin silindiği anlamına gelmez. Çiçeği alan kişinin haklarıyla siparişi veren kişinin mahremiyeti birlikte değerlendirilir.
Anonim çiçek gönderimi hukuken ne anlama gelir?
Sipariş ekranındaki “gönderen adını gösterme” seçeneğinin kapsamını, sipariş anında sunulan açıklama ve kabul edilen sözleşme belirler. Kartın isimsiz hazırlanması taahhüdü ile müşteri hizmetlerinin gönderici kimliğini açıklamaması taahhüdü ayrı yükümlülüklerdir. İşletmenin hangi yükümlülüğü üstlendiği, tüketiciye gösterdiği metinden tespit edilir. Kullanıcıya gösterilen metnin tarihli kaydı, sonradan değişen internet sayfasından daha doğrudan delildir.
KVKK’daki anonim hâle getirme kavramı ise farklıdır. Gerçek anonimleştirmede veri, başka verilerle eşleştirilse bile belirli veya belirlenebilir kişiyle ilişkilendirilemez. Siparişin ödeme, fatura ve müşteri hesabıyla bağlantısı sürüyorsa platform bakımından anonim veri oluştuğu söylenemez. Alıcıya adın gösterilmemesi yalnız görünürlüğü sınırlar. İşletme kendi kayıtlarında kişiyi belirleyebildiği için bu kayıtlara ilişkin veri koruma yükümlülükleri devam eder.
Göndericinin takma isim kullanması veya kartı boş bırakması, işlemdeki gerçek kimlik ve ödeme kayıtlarının hiçbir koşulda açıklanamayacağı güvencesi değildir. Buna karşılık işletmenin bu bilgileri elinde bulundurması da alıcıya istediği anda verme hakkı sağlamaz. Verinin toplanması, işletme içinde kullanılması ve üçüncü kişiye aktarılması ayrı işlemlerdir. Her birinin amacı, kapsamı ve kanuni dayanağı belirlenmelidir. Gizlilik seçeneğinin anlamı bu aşamaların birbirine karıştırılmamasıyla açıklığa kavuşur.
Ad, telefon ve sipariş notu neden ayrı incelenir?
Göndericinin adı ve kişisel telefon numarası belirlenebilir gerçek kişiye ilişkin bilgilerdir. Sipariş tarihi, ürün, ödeme ve alıcıyla ilişki bilgisi de kişiyle bağlantısı kurulabildiğinde kişisel veri niteliği taşır. İsim tek başına yaygın bir ad olsa bile telefon veya sipariş hesabıyla birlikte belirleyici hâle gelebilir. Bu nedenle yalnız “kimlik numarası vermedik” açıklaması veri paylaşımı bulunmadığını göstermez. Açıklanan veri bütününün kişiyi belirleme etkisi incelenir.
Hediye kartına yazılması istenen mesajın alıcıya iletilmesi siparişin açık amacı olabilir. Ancak karta yazılacak metin ile işletmeye özel iletilen açıklama aynı değildir. Teslimatta aranacak kişinin numarası, fatura bilgisi veya müşteri hizmetlerine anlatılan özel durum kart metnine eklenmemelidir. Bir alanın sipariş sisteminde bulunması, o alanın alıcı ekranında gösterilmesi gerektiği anlamına gelmez. Alıcıya yönelik mesaj ile işletme içi talimat teknik olarak da ayrılmalıdır.
Çiçeğin alıcısının adresi ve telefonu da korunur. Gönderici bu bilgileri siparişe yazdığı için alıcıya ait bütün kayıtların sahibi hâline gelmez. Teslim teyidi için gereken sınırlı bilgi ile alıcının kimlerle bulunduğu, yeni adresi veya özel açıklamaları farklıdır. Bu yazının odağı gönderici kimliğinin açıklanması olsa da aynı işlemde iki ayrı kişinin verisi bulunur. İşletme bir tarafın talebini karşılarken diğer tarafın verilerini ölçüsüz biçimde açmamalıdır.
Alıcının istemesi açıklama için yeterli midir?
KVKK m.5 ve m.8, işleme ve yurt içi aktarım için hukuki şartları belirler. Açık rıza bunlardan biridir; ancak tek yol değildir. Kanunda öngörülme, hukuki yükümlülük, sözleşmenin ifası için gereklilik veya bir hakkın korunması gibi koşullar somut olayda değerlendirilir. İşletme yalnız “müşteri istedi” diyerek bu değerlendirmeyi atlayamaz. İsteğin hangi hakkı veya zorunluluğu karşıladığı ve hangi verinin gerçekten gerekli olduğu açıklanmalıdır.
Bir gönderinin alıcısı olmak, göndericinin bütün hesap bilgilerini öğrenme yetkisi sağlamaz. Teslimatı kabul etme veya reddetme için gereken bilgiyle göndericinin özel telefonu veya ödeme ayrıntıları aynı kapsamda değildir. Kimlik açıklaması gerektiren geçerli bir hukuki sebep bulunduğu ileri sürülüyorsa paylaşım bu sebebin sınırında kalır. Adın açıklanmasının gerekli görüldüğü bir işlem, telefonun, adresin ve önceki siparişlerin de açıklanmasını kendiliğinden haklı kılmaz.
Alıcı KVKK m.11 kapsamında kendi verileri hakkında bilgi isteyebilir. Bu başvuru, başkasının tüm kişisel verilerini edinmek için sınırsız araç değildir. Başvurunun kişinin kendi verileriyle ilişkisi, üçüncü kişinin hakları ve uygulanabilecek kanuni dayanaklar değerlendirilir. İşletme hak arama talebini yok saymamalı, fakat talebi karşılamak için gereksiz üçüncü kişi bilgilerini de aktarmamalıdır. Gerekçeli ve kapsamı belirlenmiş cevap, otomatik ret veya otomatik açıklamadan farklıdır.
Tehdit, ısrarlı takip veya resmî makam talebi varsa
Gönderi tehdit içeren bir notla birlikte gelmişse veya tekrar eden istenmeyen temasın parçasıysa alıcının güvenlik ve hak arama ihtiyacı somutlaştırılır. Çiçeği alan kişi sipariş numarasını, kartı, teslim tarihini ve ilgili mesajları koruyarak kolluk veya savcılığa başvurabilir. Acil tehlikede 112 aranır. İşletmenin anonim gönderim vaadi, hukuka uygun resmî araştırmaya karşı bilgi saklama gerekçesi olarak kullanılamaz. Yetkili makamın talebinin kapsamı ve hukuki dayanağı doğrulanır.
Bir kişinin telefonda kendisini polis, avukat veya alıcının yakını olarak tanıtması, resmî yetkinin varlığını tek başına göstermez. İşletme talebin kimden geldiğini ve hangi usulle yapıldığını doğrulamalıdır. Buna karşılık gerçekten yetkili makamdan gelen kanuni talep ile sıradan müşteri merakı aynı değildir. Hakların korunması amacıyla zorunlu veri işlemenin şartları da olayın gerçek riskine göre değerlendirilir. Hiçbir tarafın hakkı peşinen ve sınırsız kabul edilmez.
Gizlilik seçeneği göndericiyi hukuka aykırı davranışın sonuçlarından koruyan araç değildir. Alıcı, istemediği teslimatı kabul etmek veya rahatsız edici gönderilere katlanmak zorunda bırakılmamalıdır. İşletme, gerekli kayıtları koruyup resmî başvuruya cevap verecek düzeni kurmalıdır. Ancak güvenlik ihtiyacı ileri sürülmesi, tüm müşteri hesabının gelişigüzel açıklanmasını haklı kılmaz. Somut ihtiyaçla bağlantılı, ölçülü ve belgelenmiş işlem yapılması KVKK m.4 bakımından temel ölçüttür.
Platform, çiçekçi ve kurye bakımından sorumlu kim?
Sipariş platformu, yerel çiçekçi ve kurye aynı tüzel kişi olmayabilir. Her birinin veriyi hangi amaçla aldığı ve nasıl kullandığı incelenir. KVKK m.3 bakımından veri sorumlusu, işleme amaç ve vasıtalarını belirleyen kişidir. Sözleşmede kullanılan etiket tek başına fiilî rolü değiştirmez. Platformun açıklamayı yerel işletmeye yaptırması veya çiçekçinin bilgiyi platformdan alması, herkesin sorumsuz kaldığı bir alan oluşturmaz.
Kurye teslimat için gereken iletişim ve adres verisini görebilir; bütün ödeme veya hesap geçmişine erişmesi aynı ihtiyaçla açıklanamaz. Çiçekçinin hazırlama ekranında gönderici isminin görünmesiyle bu ismin alıcıya açıklanması da ayrı işlemlerdir. İşletmeler arasındaki erişim yetkileri ve personele verilen talimatlar önem taşır. KVKK m.12, hukuka aykırı işleme ve erişimi önleme ile verilerin korunması için uygun teknik ve idari tedbirleri gerektirir.
Kurumun yalnız “çalışanımız yanlışlıkla söyledi” açıklaması incelemeyi bitirmez. Çalışanın hangi kayda eriştiği, açıklama yetkisinin nasıl sınırlandığı ve müşteri gizlilik tercihinin ekrana nasıl yansıdığı araştırılır. Sözleşme sorumluluğunda TBK m.112 ve 116 ayrıca değerlendirilir. Buna karşılık çalışan, platform ve çiçekçinin her zarar için aynı sıfatla otomatik sorumlu olduğu da söylenemez. Somut işlem zinciri kurulmalıdır.
Sipariş bağlantısı, fatura ve otomatik bildirimler
Kimlik açıklaması yalnız telefon görüşmesinde gerçekleşmez. Alıcıya gönderilen takip bağlantısının sipariş sahibinin adını, telefonunu veya faturayı açması da değerlendirilir. Bağlantının teslim durumunu göstermesi için gerekli alanlar ile müşteri hesabının bütün ayrıntıları ayrılmalıdır. Kullanıcının bağlantıyı açmış olması, görünmemesi gereken kişisel verilerin açıklanmasına verilmiş rıza sayılmaz. Ekranın ne zaman ve hangi erişimle açıldığı delil bakımından kaydedilir.
Kurulun 3 Ağustos 2022 tarihli 2022/774 sayılı karar özeti, başka kişiye yanlış e-posta üzerinden sipariş bilgilerinin açılmasını inceler. Kurul, iletişim bilgisini teyit edecek tedbirlerin bulunmamasını veri güvenliği yükümlülüğü yönünden değerlendirmiştir. Bu karar anonim çiçek gönderimine ilişkin özel bir karar değildir. Burada gösterdiği ilke, otomatik sipariş mesajının yanlış muhataba gitmesinin yalnız “müşteri yanlış yazmış” açıklamasıyla güvenlik incelemesi dışında kalmamasıdır.
Fatura düzenleme ve saklama yükümlülükleri, faturanın her alıcıya verilmesini zorunlu kılan genel bir izin gibi yorumlanamaz. Hediye gönderisinde alıcı ile faturanın muhatabı farklı olabilir. Vergi ve muhasebe amacıyla tutulan kayıtların hangi kişiye sunulacağı ayrıca belirlenir. Gizlilik talebi, mevzuat gereğince tutulması gereken kaydın gerçeğe aykırı oluşturulmasını veya hemen yok edilmesini gerektirmez. Doğru çözüm kayıt tutma yükümlülüğüyle alıcıya gösterilecek bilgiyi ayırmaktır.
İhlal iddiası nasıl belgelenir?
Sipariş numarası, gizlilik seçeneği, onay ekranı, sipariş tarihindeki açıklama ve ödeme kaydı saklanır. Ardından açıklamanın nasıl öğrenildiği kayda bağlanır: alıcının ilettiği mesaj, müşteri hizmetlerinin cevabı, takip ekranı veya basılı belge olabilir. Göndericinin tahminine dayanan iddia ile doğrudan işletmeden gelen açıklama ayrılır. Alıcının göndericiyi bağımsız biçimde tahmin etmesi, işletmenin veri paylaştığını tek başına kanıtlamaz. Bilginin kaynağı somutlaştırılmalıdır.
Kayıtlar korunurken başka kişilerin verileri gereksiz biçimde yayılmamalıdır. Kamuya açık şikâyet sayfasında telefon, adres ve özel notların tamamını paylaşmak yeni ihlal yaratabilir. Başvuru için gereken belgelerin asılları güvenli tutulur; herkese açık örneklerde ilgisiz alanlar kapatılır. Telefon numarasının izinsiz paylaşılması ayrıca telefonun da açıklandığı dosyalar için tamamlayıcıdır. İsim açıklaması iddiası gereksiz ayrıntılarla genişletilmemelidir.
İşletmeden ilgili müşteri hizmetleri kaydını, açıklamanın tarihini, hangi veri alanlarının kime aktarıldığını ve dayanağını açıklaması istenir. Bu talep, çalışanların bütün kişisel dosyalarının müşteriye verilmesini gerektirmez. Olayın aydınlatılmasına yarayan kayıtların korunmasıyla ilgisiz verilerin ifşası ayrılır. Teknik kayıtların bulunmadığı cevabı alınırsa hangi sistem ve zaman aralığı için araştırma yapıldığı sorulur. Başvurunun teslimi ve verilen cevabın tarihi ayrıca muhafaza edilir.
KVKK başvurusu ve şikâyet süresi
İlgili kişi, KVKK m.11 ve 13 uyarınca veri sorumlusuna başvurarak verisinin işlenip işlenmediğini, amaç ve aktarım bilgilerini, düzeltme veya kanuni şartları varsa silme işlemlerini sorabilir. Başvuruda sipariş ilişkisi ve hangi verinin açıklanmış olduğu açık gösterilir. Veri sorumlusuna başvuru dilekçesi olayın somut bilgilerine göre düzenlenmelidir. Genel “tüm bilgilerimi silin” cümlesi açıklama olayını ve talep edilen incelemeyi yeterince tarif etmeyebilir.
Veri sorumlusu talebi en kısa sürede ve en geç otuz gün içinde sonuçlandırır. Kurumun süre açıklamasına göre, otuz gün içinde cevap verilirse yetersiz veya ret cevabının öğrenilmesinden itibaren otuz gün içinde Kurula şikâyet edilir. Cevap verilmezse ilk başvurudan itibaren altmış günlük üst süre izlenir; ilk otuz günlük cevap süresi beklenir. Otuz günden sonra gelen cevap altmış günlük üst süreyi yeniden başlatmaz.
Otuz ve altmış günlük şikâyet süreleri, çiçeğin tesliminden itibaren işleyen tek bir süre gibi hesaplanmamalıdır. Başlangıç, veri sorumlusuna yapılan başvuru ve cevabın öğrenilmesiyle ilişkilidir. Kurula şikâyette ilk başvuru, teslim kanıtı, cevap ve ihlali gösteren belgeler eklenir. Genel müşteri hizmetleri görüşmesinin usulüne uygun KVKK başvurusu olup olmadığı ayrıca kontrol edilir. Aynı konuyu tekrar sormak süreyi kendiliğinden yenilemez.
Gizlilik vaadinin ihlali ve tazminat
İşletme kimliği alıcıdan gizleme yükümlülüğünü açıkça kabul etmişse bunun hukuka uygun sınırlar içinde yerine getirilmemesi sözleşmeye aykırılık oluşturur. Hukuka uygun resmî açıklamayla gereksiz ticari açıklama ayrılmalıdır. Kişisel amaçla sipariş veren tüketicinin sözleşme talebinde 6502 sayılı Kanun, zararın gideriminde TBK m.112 incelenir. Gizlilik için ayrıca ücret alınmışsa bu kalem belirlenir. Çiçeğin teslim edilmiş olması, ayrı gizlilik borcunun gereği gibi ifa edildiğini tek başına göstermez.
Buna karşılık kimlik açıklaması iddiası bütün ürün bedelinin her olayda otomatik iadesi anlamına gelmez. Sözleşmede kabul edilen gizlilik, ihlalin niteliği, kullanılan hak ve kanıtlanmış zarar açıklanır. Kişilik hakkına hukuka aykırı saldırıda TMK m.24–25, manevi zarar bakımından TBK m.58 dikkate alınır. Sabit veya garantili manevi tazminat tutarı yoktur. Maddi kayıp isteniyorsa gerçek gider ve olayla nedensellik bağı belgelenir.
KVKK Kurulu özel hukuk tazminatına hükmeden mahkeme değildir. İdari para cezası uygulanması da ceza tutarının şikâyetçiye ödeneceği anlamına gelmez. Sözleşmeden veya kişilik hakkından doğan talebin görevli yargı yeri, tarafların sıfatı ve uyuşmazlığın temeline göre ayrıca belirlenir. Haksız fiil tazminatında TBK m.72’nin iki ve on yıllık çerçevesi ile daha uzun ceza zamanaşımı istisnası incelenir. Kurula başvuru bütün tazminat sürelerini kendiliğinden durdurmuş sayılmaz.
Gizlilik tercihi kaldırıldığında veya sipariş iptal edildiğinde
Gönderici daha sonra adının karta eklenmesini istediyse değişikliğin kim tarafından ve hangi kanaldan onaylandığı belirlenir. Önceki gizlilik tercihi ile sonraki geçerli talimatın zaman sırası dosyaya konulur. Kartta yalnız adın gösterilmesine verilen izin, telefonun paylaşılmasına genişletilmez. Aynı şekilde sipariş iptali, önceden hukuka uygun tutulmuş tüm işlem kayıtlarının anında silinmesini gerektirmez. Ancak iptal edilmiş siparişin gereksiz biçimde alıcıya bildirilmesi için ayrıca dayanak aranır.
İhlal öğrenildikten sonra işletme erişim bağlantısını kapatmış veya personeli uyarmışsa yapılan işlem kaydedilir. Düzeltme geçmiş açıklamayı hiç yaşanmamış hâle getirmez; devam eden riskin ve sonraki zararın değerlendirilmesinde önem taşır. KVKK m.12/5 kapsamında bildirim gerekip gerekmediği veri sorumlusu tarafından ayrıca incelenir. İlgili kişinin başvuru süresiyle işletmenin veri ihlali yükümlülükleri birbirine karıştırılmamalıdır. Dosya, paylaşılmış veri, dayanak, kapsam ve gerçek sonuç üzerinden tamamlanır.
Hesap sahibinin adı, ödemeyi yapan kişinin adı ve kartı yazan kişi her zaman aynı olmayabilir. İşletme yalnız ödeme kaydından hareketle bir kişiyi kesin gönderici ilan ederse doğruluk sorunu da doğar. KVKK m.4 gereğince kullanılan bilginin doğru ve gerektiğinde güncel olması gerekir. Yetkili mercie bilgi sunulurken de kayıt hangi olguyu gösteriyorsa o açıklanmalı; kayıtla kanıtlanmayan kişisel ilişki veya niyet hakkında sonuç üretilmemelidir.
Sık sorulan sorular
İsimsiz çiçek gönderince işletme kimliğimi tamamen siler mi?
Hayır. Alıcıya adın gösterilmemesi, kayıtların KVKK anlamında anonimleştiği veya silindiği anlamına gelmez. Sipariş, fatura ve ödeme verileri kanuni dayanaklarıyla tutulabilir.
Alıcı sorduğu için göndericinin telefonu verilebilir mi?
Alıcının sorması tek başına yeterli değildir. KVKK m.5 ve 8 uyarınca hukuki dayanak, amaç ve ölçülülük değerlendirilir. Gereksiz telefon veya hesap bilgisi açıklanamaz.
Çiçekçinin gönderici adını açıklaması her durumda yasak mı?
Hayır. Hukuka uygun kanuni yükümlülük, yetkili makam talebi veya uygulanabilir başka veri işleme şartı bulunabilir. Anonim gönderim vaadi bu şartları ortadan kaldırmaz.
Tehdit içeren anonim çiçek geldiğinde ne yapılır?
Kart, sipariş bilgisi ve teslim kaydı korunarak kolluk veya savcılığa başvurulur. Acil tehlikede 112 aranır. İşletmenin gizlilik vaadi hukuka uygun resmî araştırmayı engellemez.
Faturanın tutulması alıcıya gösterilmesini de gerektirir mi?
Her durumda gerektirmez. Faturanın muhatabı, kayıt tutma yükümlülüğü ve bilgi aktarımının dayanağı ayrı değerlendirilir. Hediye alıcısı ile faturanın muhatabı farklı olabilir.
Alıcı kim olduğumu tahmin ettiyse veri ihlali kanıtlanmış olur mu?
Hayır. Tahmin ile işletmenin açıklaması farklıdır. Bilginin kaynağı, mesajlar, müşteri hizmetleri cevabı veya takip ekranı gibi delillerle somutlaştırılır.
2022/774 sayılı karar anonim çiçek gönderimini mi düzenliyor?
Hayır. Karar yanlış e-posta adresine sipariş bilgilerinin gönderilmesini inceler. Burada iletişim teyidi ve veri güvenliği bakımından sınırlı açıklayıcı kaynak olarak kullanılmıştır.
KVKK başvurusuna kaç günde cevap verilmelidir?
En kısa sürede ve en geç otuz gün içinde. Süresinde verilen ret veya yetersiz cevaptan sonra otuz günlük şikâyet süresi; cevap yoksa ilk başvurudan itibaren altmış günlük üst süre takip edilir.
Kurulun para cezası bana ödenir mi?
Hayır. İdari para cezası özel hukuk tazminatı değildir. Zararın giderimi için talebin hukuki temeline uygun yargı yolu ayrıca değerlendirilir.
Kimlik açıklanırsa çiçeğin bütün bedeli kesin iade edilir mi?
Otomatik tam iade sonucu yoktur. Kabul edilen gizlilik yükümlülüğü, ihlal, kullanılan tüketici hakkı ve kanıtlanan zarar ayrı incelenir.
Resmî kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu: m.3–5, 8, 11–14.
- Kişisel Verileri Koruma Kurulu 03.08.2022, 2022/774 karar özeti: yanlış muhataba sipariş bilgisi ve iletişim teyidi.
- KVKK veri sorumlusuna başvuru ve şikâyet süreleri duyurusu: otuz ve altmış gün hesabı.
- 4721 sayılı Türk Medeni Kanunu: m.24–25.
- 6098 sayılı Türk Borçlar Kanunu: m.58, 72, 112, 116.
- 6502 sayılı Tüketicinin Korunması Hakkında Kanun: tüketici işlemi ve sözleşmenin niteliğine uygun haklar.
İstanbul ve Mersin ofisleri
İstanbul · Polaris Plaza
Maslak Ahi Evran Caddesi, Polaris Plaza No:21, Kat:9, 34475 Sarıyer/İstanbulMersin · Profit İş Merkezi
İhsaniye Mahallesi, 4903. Sokak, Profit İş Merkezi No:23, Kat:3, Daire:14, 33070 Akdeniz/MersinHukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
