Kurye Teslimattan Sonra Müşteriye Özel Mesaj Atarsa Kargo Şirketi Sorumlu mu? KVKK 2023/845
Kısa ve net cevap: Evet, somut koşullarda kargo şirketi kişisel veri güvenliği bakımından sorumlu tutulabilir. Kişisel Verileri Koruma Kurulunun 18 Mayıs 2023 tarihli ve 2023/845 sayılı kararında, teslimat sürecinde müşterinin telefon numarasına erişen geçici dağıtım görevlisinin teslimat sonrasında müşteriye kişisel/taciz içerikli mesaj göndermesi incelendi. Kurul, telefon numarasının 6698 sayılı Kanun m.5’teki işleme şartları dışında paylaşıldığı, veri sorumlusunun m.12/1-a kapsamında gerekli teknik ve idari tedbirleri almadığı sonucuna vardı ve m.18/1-b uyarınca kargo şirketi hakkında 250.000 TL idari para cezası uygulanmasına karar verdi.
KVKK 2023/845 Olayının Özeti
İlgili kişi bir çevrim içi alışveriş sitesinden ürün satın aldı. Ürün, ertesi gün veri sorumlusu kargo şirketinin dağıtım organizasyonu kapsamında teslim edildi. Teslimattan sonra ilgili kişinin cep telefonuna dağıtımda görev alan kişi tarafından taciz içerikli mesaj gönderildi. Kargo şirketi olayın kendi bilgisi ve onayı dışında gerçekleştiğini; mesajı gönderen kişinin doğrudan kendi personeli veya tedarikçisi olmadığını, yoğun dönemde dağıtıma destek veren üçüncü kişi olduğunu ileri sürdü.
Şirket, taşıma hizmetinin ifası için alıcının ad-soyad, adres ve iletişim bilgilerinin işlenmesinin zorunlu olduğunu, fatura ve irsaliye düzenleme/saklama yükümlülükleri bulunduğunu ve olay sonrasında dağıtım görevlilerinin telefon numarasına erişimini azaltmak amacıyla barkod üzerindeki numaraları maskelediğini savundu. Ayrıca söz konusu teslimatta asıl görevli tedarikçiyle çalışmanın sonlandırıldığını belirtti.
Kurul ise yalnız mesajı gönderen kişinin bireysel davranışına bakmadı. Veri sorumlusunun teslimat ekosistemini nasıl kurduğunu, geçici veya alt yüklenici personelin müşteri verisine hangi yetkiyle eriştiğini, eğitim ve gözetimin bulunup bulunmadığını ve telefon numarasının hizmet amacı dışına taşmasını önleyecek tedbirleri inceleyerek sorumluluğu veri güvenliği sistemi üzerinden değerlendirdi.
Kargo Şirketi Teslimat İçin Telefon Numarasını İşleyebilir mi?
Evet. Teslimatın yapılabilmesi için alıcıyla iletişim kurulması somut hizmetin ifasıyla doğrudan bağlantılı olabilir. 6698 sayılı Kanun m.5/2-c, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olmak kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olduğu hâllerde açık rıza aranmaksızın veri işlemeye imkân verir. Kargo şirketinin ayrıca taşıma, fatura ve ticari kayıt yükümlülükleri nedeniyle m.5/2-a veya m.5/2-ç kapsamındaki kanuni/hukuki yükümlülük sebepleri de somut veri alanına göre gündeme gelebilir.
Ancak bu hukuki dayanak yalnız hizmet için gerekli kullanımı kapsar. Kurye müşterinin numarasını teslimat noktasını bulmak, teslim saatini bildirmek veya alıcıya ulaşmak için kullanabiliyorsa bu yetki teslimat amacıyla sınırlıdır. Aynı numaranın daha sonra kişisel ilişki kurmak, taciz etmek, reklam yapmak veya başka amaçla kullanılması ilk işleme amacının devamı değildir.
Kanun m.4/2-c ve m.4/2-ç verilerin belirli, açık ve meşru amaçlarla; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olarak işlenmesini zorunlu kılar. Teslimat amacıyla erişilen numarayı kişisel iletişim amacıyla kullanmak, amaç sınırlılığı ilkesinin açık örneklerinden biridir.
Teslimat Sonrası Özel Mesaj Neden Hukuka Aykırıdır?
Telefon numarası, belirli kişiye bağlandığında 6698 sayılı Kanun m.3 anlamında kişisel veridir. Numaranın dağıtım ekranında görüntülenmesi, bir cihaza aktarılması, kopyalanması veya mesaj göndermek için kullanılması “kişisel veri işleme” kapsamındadır. Teslimat bittikten sonra kurye tarafından kişisel amaçla mesaj gönderilmesi, hizmetin ifası için gerekli olmayan yeni bir veri kullanım amacıdır.
Bu yeni kullanım için m.5’teki bir işleme şartı bulunmalıdır. Kişinin numarasını kargo teslimi için paylaşmış olması, kurye veya dağıtım çalışanıyla kişisel iletişim kurulmasına rıza verdiği anlamına gelmez. “Numara bana sistemde gösterildi” veya “müşteri zaten arandı” gerekçeleri de yeni amaca hukuki dayanak oluşturmaz.
Kurul 2023/845 kararında cep telefonu numarasının Kanun m.5’te öngörülen şartlara dayanmaksızın hukuka aykırı biçimde paylaşıldığını tespit etti. Bu tespit, veri güvenliğinin yalnız dışarıdan hacker saldırısını önlemekten ibaret olmadığını gösterir. Yetkili görünen bir saha çalışanının veriyi görev amacı dışında kullanması da m.12 kapsamında önlenmesi gereken risklerden biridir.
Kargo Şirketi “Mesajı Atan Bizim Çalışanımız Değildi” Diyerek Sorumluluktan Kurtulur mu?
2023/845 kararında şirket, olayın kendi bilgisi dışında ve doğrudan personeli olmayan bir kişinin eylemiyle gerçekleştiğini ileri sürdü. Kurul ise dağıtım faaliyeti için kullanılan tedarikçi ve geçici personel yapısını somut biçimde inceledi. Kararda Türk Borçlar Kanunu m.66’daki adam çalıştıranın sorumluluğu ile İş Kanunu m.2’deki asıl işveren-alt işveren ilişkisine ilişkin hükümler de değerlendirmeye alındı.
TBK m.66, adam çalıştıranın çalışanı seçerken, işiyle ilgili talimat verirken ve gözetim/denetimde zararı önlemek için gerekli özeni gösterdiğini ispat etmesi gerektiğini; işletme çalışma düzeninin zararı önlemeye elverişli olmamasının da sorumluluğa yol açabileceğini düzenler. Kurul bu özel hukuk hükümlerini veri sorumlusunun organizasyonel sorumluluğunu değerlendirirken dikkate aldı.
Kararda olay sırasında veri sorumlusu adına çalışan kişiye kişisel verilerin korunması ve veri güvenliği konusunda eğitim verilmediğinin ve gerekli bilgilendirmenin yapılmadığının anlaşıldığı belirtildi. Ceza yargılamasındaki beyanlar da kişinin fiilen veri sorumlusu bünyesinde geçici çalıştığı değerlendirmesinde dikkate alındı. Sonuç olarak veri sorumlusu, saha personelinin hukuki statüsünü ileri sürerek veri güvenliği organizasyonundan tamamen ayrılamadı.
KVKK m.12 Kargo ve Lojistik Operasyonlarında Hangi Tedbirleri Gerektirir?
Kanun m.12/1 veri sorumlusuna üç temel yükümlülük yükler: kişisel verilerin hukuka aykırı işlenmesini önlemek, hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak. Kargo sektöründe bu yükümlülükler merkez ofis sistemleri kadar saha cihazlarını, mobil uygulamaları, barkodları, taşeron erişimlerini ve geçici çalışan hesaplarını da kapsar.
İlk tedbir rol bazlı erişimdir. Kurye yalnız kendi teslimat rotasındaki ve görev süresi içindeki veriyi görebilmelidir. Tüm müşteri kayıtlarına veya geçmiş teslimat bilgilerine erişim verilmemelidir. Görev bitince erişim otomatik kapanmalıdır.
İkinci tedbir veri maskelemedir. Telefon numarasının barkod etiketinde veya teslimat belgesinde açık biçimde basılması yerine, operasyonun izin verdiği ölçüde kısmi maskeleme veya çağrı yönlendirme teknolojileri kullanılabilir. Böylece saha personelinin numarayı kendi cihazına kaydetmesi zorlaşır.
Üçüncü tedbir eğitim ve denetimdir. Yalnız kadrolu çalışanlara değil, alt yüklenici, geçici dağıtıcı, sürücü ve destek personele de kişisel veri eğitimleri verilmeli; iş sözleşmesi veya hizmet sözleşmesinde gizlilik ve amaç dışı kullanım yasağı açıkça düzenlenmelidir. Eğitim katılımı kayıt altında tutulmalıdır.
Dördüncü tedbir loglamadır. Hangi kullanıcının hangi müşteri kaydını ne zaman görüntülediği denetlenebilmelidir. Şikâyet geldiğinde “kim eriştiğini bilmiyoruz” cevabı veri güvenliği sisteminin zayıflığını gösterebilir.
Barkodda Telefon Numarasını Maskelemek Neden Önemlidir?
Kararda veri sorumlusu, olay sonrasında benzer riskleri azaltmak için barkod etiketindeki telefon numaralarının maskelendiğini bildirmiştir. Bu tedbir, “tasarımda veri koruma” yaklaşımının pratik bir örneğidir: kullanıcının ihtiyaç duymadığı tam veri ona hiç gösterilmez.
Maskeleme tek başına yeterli değildir. Kurye uygulamasında numara yine açık görünüyorsa barkodun maskelenmesi riski tamamen kaldırmaz. Sistem mimarisinde hangi personelin tam numaraya gerçekten ihtiyaç duyduğu belirlenmeli ve alternatif iletişim yöntemi kullanılabiliyorsa tam numara erişimi sınırlandırılmalıdır.
Örneğin uygulama içinden arama yapılırken gerçek numaranın ekrana düşmemesi, çağrının sanal numara veya merkezi sistem üzerinden yönlendirilmesi, teslimat tamamlanınca iletişim düğmesinin devre dışı kalması ve ekran görüntüsü/aktarımı riskine karşı uygun tedbirler değerlendirilmelidir.
Kargo Verileri Teslimattan Sonra Hemen Silinmek Zorunda mı?
Hayır. Teslimatın tamamlanması, bütün kargo verilerinin aynı anda silinmesini zorunlu kılmaz. 6698 sayılı Kanun m.7, işleme sebeplerinin ortadan kalkması hâlinde verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesini düzenler; diğer kanunlardaki saklama hükümlerini saklı tutar.
Kararda veri sorumlusu, fatura ve irsaliyelerin 6102 sayılı Türk Ticaret Kanunu uyarınca on yıl saklanması gerektiğini belirtmiştir. Somut veri alanının hangi belge içinde ve hangi mevzuat gereği saklandığı ayrı değerlendirilmelidir. “Yasal saklama süresi var” gerekçesi, tüm operasyonel ekranlarda telefon numarasının on yıl boyunca saha personeline açık tutulmasını gerektirmez.
Arşivde saklama ile aktif operasyonel erişim birbirinden ayrılmalıdır. Teslimat tamamlandığında saha erişimi kapatılabilir; yasal kayıtlar yalnız yetkili birimlerin eriştiği arşiv sisteminde saklanabilir. Bu ayrım amaçla sınırlılık ve veri minimizasyonunun temel sonucudur.
Müşteri Böyle Bir Olayda Ne Yapabilir?
İlgili kişi önce Kanun m.13 kapsamında veri sorumlusuna başvurarak telefon numarasına kimlerin eriştiğini, erişimin hangi hukuki sebebe dayandığını, numaranın hangi tedarikçilerle paylaşıldığını, hangi logların tutulduğunu ve olay sonrasında hangi tedbirlerin alındığını sorabilir. M.11 kapsamında işlenen veriler hakkında bilgi, aktarım yapılan üçüncü kişileri öğrenme, düzeltme ve şartları varsa silme/yok etme talepleri ileri sürülebilir.
Delil olarak mesaj ekran görüntüsü, gönderen numara, tarih-saat, kargo takip numarası, teslimat bilgisi ve şirketin olayı teyit eden cevabı saklanmalıdır. Mesaj taciz, tehdit veya başka bir suç iddiası içeriyorsa ceza hukuku yolları KVKK sürecinden bağımsız olarak ayrıca gündeme gelir. Nitekim 2023/845 kararında eylemi gerçekleştiren kişi hakkında ceza yargılaması yapıldığı ve şahsın cezalandırıldığı belirtilmiştir.
Kargo tesliminde fotoğraf çekilmesine ilişkin farklı veri işleme sorunu için kargo tesliminde kapı fotoğrafı ve KVKK yazımız; referans üzerinden telefon numarası alınarak pazarlama yapılması bakımından KVKK 2026/1183 kararı incelenebilir.
Kargo ve Lojistik Şirketleri İçin Uyum Modeli
Dağıtım zincirindeki bütün aktörler envantere alınmalıdır: kadrolu kurye, alt yüklenici şirket, parça başı dağıtıcı, geçici sürücü, depo personeli ve çağrı merkezi. “Bizim bordromuzda değil” yaklaşımı yerine veriye fiilen kimin eriştiği esas alınmalıdır.
Her rol için erişim matrisi hazırlanmalı; ad-soyad, adres, telefon, sipariş içeriği, teslimat notu ve kimlik verisi ayrı ayrı yetkilendirilmelidir. Tedarikçi sözleşmelerinde 6698 sayılı Kanun m.12 çerçevesindeki güvenlik yükümlülükleri, denetim hakkı ve ihlal bildirimi süreçleri bulunmalıdır.
Saha uygulaması, teslimat tamamlandıktan sonra kişisel veriyi gereksiz biçimde göstermemelidir. Etiket, ekran ve bildirimlerde veri minimizasyonu uygulanmalı; personelin kendi telefonuna müşteri numarası kopyalamasını teşvik eden iş akışları kaldırılmalıdır.
Şikâyet yönetimi de teknik güvenliğin parçasıdır. Müşteri bir kurye tarafından özel mesaj aldığını bildirdiğinde erişim logları korunmalı, ilgili hesaplar incelenmeli, gerekli yetkiler askıya alınmalı ve olayın Kanun m.12/5 kapsamında veri ihlali bildirimi gerektirip gerektirmediği gecikmeden değerlendirilmelidir.
Sık Yapılan Hatalar
- Kurye numarayı teslimat için gördüyse her amaçla kullanabilir sanmak: İşleme amacı teslimatla sınırlıdır.
- Taşeron personeli KVKK kapsamı dışında görmek: Veri sorumlusu tedarik zincirindeki erişimleri de yönetmek zorundadır.
- Eğitimi yalnız kadrolu personele vermek: Veriye erişen geçici ve alt yüklenici personel de bilgilendirilmelidir.
- Telefon numarasını barkodda açık bırakmak: Gereksiz tam görünürlük veri minimizasyonuna aykırı risk yaratır.
- Yasal saklama süresini aktif erişim süresi sanmak: Arşivleme ile operasyonel erişim farklıdır.
- Şikâyeti yalnız çalışan disiplini olarak görmek: Olay, veri güvenliği ve gerekirse veri ihlali prosedürü açısından da incelenmelidir.
Resmî Kaynaklar
- KVKK 18.05.2023 tarihli ve 2023/845 sayılı karar özeti
- 6698 sayılı Kişisel Verilerin Korunması Kanunu – m.3, m.4, m.5, m.7, m.11, m.12, m.13, m.18
- 6098 sayılı Türk Borçlar Kanunu – m.66
- 4857 sayılı İş Kanunu – m.2
- 6102 sayılı Türk Ticaret Kanunu – ticari kayıt ve saklama hükümleri
Sık Sorulan Sorular
1. Kurye teslimat sonrası müşteriye kendi telefonundan mesaj atabilir mi?
Teslimat için erişilen telefon numarasının kişisel amaçla kullanılması için Kanun m.5 kapsamında ayrıca hukuki dayanak gerekir; teslimat yetkisi bunu kapsamaz.
2. Kargo şirketi taşeron kurye yüzünden sorumlu olur mu?
Somut organizasyona göre evet. 2023/845 kararında veri sorumlusunun tedarik ve geçici personel yapısındaki veri güvenliği eksikleri sorumluluk değerlendirmesine alındı.
3. Karardaki idari para cezası ne kadardı?
Kurul veri sorumlusu hakkında 250.000 TL idari para cezası uygulanmasına karar verdi.
4. Telefon numarasını teslimat için işlemek hukuka uygun mu?
Teslimatın ifası için gerekli ve uygun bir m.5 işleme şartına dayanan kullanım hukuka uygun olabilir; kullanım amaçla sınırlı olmalıdır.
5. Barkodda numara maskeleme zorunlu mu?
Her sistem için tek bir teknik yöntem zorunlu değildir; ancak Kurul kararında şirketin olay sonrasında aldığı maskeleme tedbirine yer verilmiştir ve veri minimizasyonu bakımından önemli bir yöntemdir.
6. Geçici kurye KVKK eğitimi almalı mı?
Veriye erişiyorsa gerekli bilgilendirme, eğitim ve yetki kuralları kapsamına alınmalıdır.
7. Mesaj taciz içeriyorsa yalnız KVKK başvurusu mu yapılır?
Hayır. Fiilin içeriğine göre ceza hukuku ve diğer hukuk yolları ayrıca değerlendirilebilir.
8. Kargo kayıtları teslimattan sonra silinmeli mi?
Yasal saklama yükümlülüğü bulunan kayıtlar gerekli süre boyunca tutulabilir; ancak saha erişimi ve aktif kullanım gereklilik ortadan kalkınca sınırlandırılmalıdır.
9. KVKK başvurusunda hangi deliller eklenmelidir?
Mesaj, tarih-saat, gönderen numara, kargo takip bilgisi ve şirket cevabı gibi kayıtlar somutlaştırma sağlar.
10. Karar tüm kuryelerin müşteri numarasına erişmesini yasaklıyor mu?
Hayır. Karar, erişimin hizmet amacıyla sınırlı, güvenli ve denetimli kurulması gerektiğini gösterir; teslimat için gerekli erişim ile kişisel amaçlı kullanım birbirinden ayrılır.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
