Kurye Aracılığıyla Taciz Mesajı ve Veri Güvenliği İhlali: 2023/845 Sayılı Karar Analizi

Kişisel Verileri Koruma Kurulu (Kurul), 18/05/2023 tarihli ve 2023/845 sayılı kararı ile kargo sektöründe sıkça rastlanan “kurye tarafından kişisel numaranın taciz amaçlı kullanılması” vakasını karara bağlamıştır. Bu karar, veri sorumlusu olan şirketin sadece kendi kadrolu çalışanlarından değil, “tedarikçi” veya “parça başı çalışan” olarak adlandırılan tüm alt işveren personeli tarafından gerçekleştirilen ihlallerden de sorumlu olduğunu tescillemiştir.

Olayın Özeti: Kargo Teslimatından Sonra Gelen Taciz Mesajı

İlgili kişi, online alışverişi sonrası kargosunu teslim eden kurye tarafından cep telefonuna taciz içerikli mesajlar gönderildiğini belirterek şikayetçi olmuştur.

• Şirketin Savunması: Veri sorumlusu kargo şirketi, mesajı atan şahsın kendi personeli olmadığını, taşıma işinin yoğun olduğu dönemlerde dışarıdan hizmet alınan “parça başı” bir kurye olduğunu, olayın tamamen şahsın kendi kusuruyla ve şirket dışı gerçekleştiğini savunmuştur. Şirket ayrıca, bu olaydan sonra telefon numaralarını maskeleme (gizleme) sistemine geçtiklerini belirtmiştir.

Kurulun Hukuki Değerlendirmesi: “Adam Çalıştıranın Sorumluluğu”

Kurul, kargo şirketinin “o bizim çalışanımız değil” savunmasını Türk Borçlar Kanunu ve İş Kanunu çerçevesinde reddederek şu saptamalarda bulunmuştur:

1. Adam Çalıştıranın Sorumluluğu: Türk Borçlar Kanunu (Md. 66) uyarınca, bir işletme sahibi, çalışanının işini yaparken başkasına verdiği zararı gidermekle yükümlüdür. Kurye kadrolu olmasa bile, veri sorumlusu adına o işi yaptığı için sorumluluk şirkete aittir.
2. Eğitim ve Denetim Eksikliği: Şirketin, geçici veya dışarıdan hizmet aldığı personele kişisel verilerin korunması ve gizlilik konusunda herhangi bir eğitim vermediği, denetim mekanizmalarının yetersiz olduğu tespit edilmiştir.
3. Teknik Tedbirlerin Geç Alınması: Şirketin ihlalden sonra uygulamaya koyduğu “numara maskeleme” sistemi, aslında ihlalden önce alınması gereken bir teknik tedbirdir. Bu sistemin yokluğu, veri güvenliği yükümlülüğünün (Md. 12) ihmal edildiğini kanıtlamaktadır.

Karar Sonucu: 250.000 TL İdari Para Cezası

Kurul inceleme neticesinde;

• Veri sorumlusunun, kişisel verilerin hukuka aykırı işlenmesini önlemek adına uygun güvenlik düzeyini temin edemediği,
• Personelini yeterince eğitmediği ve denetlemediği gerekçeleriyle,Kargo şirketine 250.000 TL idari para cezası uygulanmasına karar vermiştir.

Özgür Eralp Perspektifi: “Taşeron Kullanmak Sorumluluğu Devretmek Değildir”

Bilişim hukuku alanındaki 25 yıllık tecrübemizde, lojistik sektöründe “numara maskeleme” sisteminin hayati bir zorunluluk olduğunu her platformda dile getirdik. Bir kuryenin, alıcının telefon numarasını kendi rehberine kaydedebiliyor olması, o şirketin veri güvenliği sınavından kaldığını gösterir.

Bir yatırımcı avukat vizyonuyla uyarım şudur: Şirketler işlerini alt yüklenicilere devredebilirler ancak hukuki sorumluluklarını devredemezler. “Parça başı kurye” veya “geçici personel” savunması KVKK nezdinde geçerli bir mazeret değildir. Şirketler kuryelerin telefonlarına yüklenen aplikasyonlar üzerinden veri erişimini kısıtlamalı ve teslimat biter bitmez verinin cihazdan silinmesini sağlayan teknik altyapıları kurmalıdır. Tüketiciler için ise tavsiyem; benzer bir durumla karşılaştıklarında sadece Kurul’a değil, TCK kapsamında “Kişisel Verileri Hukuka Aykırı Yayma veya Ele Geçirme” suçundan savcılığa da suç duyurusunda bulunmalarıdır.

---

Sıkça Sorulan Sorular

1. Kargo kuryesi numaramı iade/teslimat için aramak dışında kullanabilir mi?

Kesinlikle hayır. Kuryenin numaranıza erişim yetkisi sadece “teslimatın gerçekleştirilmesi” amacı ile sınırlıdır. Bu amaç dışında atılan her mesaj (reklam, kişisel tanışma, taciz vb.) bir veri ihlalidir.

2. Şirket “kurye benim personelim değil” diyerek cezadan kurtulabilir mi?

Hayır. Kurul’un bu kararı net bir emsaldir; kurye kimin adına hizmet veriyorsa (üzerindeki yelek, elindeki cihaz, taşıdığı paket kime aitse), asıl sorumlu o veri sorumlusu şirkettir.

3. Numara maskeleme sistemi nedir?

Kuryenin ekranında müşterinin gerçek numarası yerine, sistem tarafından atanan geçici bir numaranın görünmesidir. Kurye bu numarayı aradığında sistem üzerinden müşteriye ulaşır ancak gerçek numarayı göremez ve kaydedemez.

4. Kurye hakkında hapis cezası verilebilir mi?

Evet. Bu tür taciz veya veriyi hukuka aykırı kullanma eylemleri Türk Ceza Kanunu kapsamında suçtur. Nitekim bu olayda da şahıs ceza mahkemesinde yargılanmış ve cezalandırılmıştır.

5. KVKK cezası benim cebime mi girer?

Hayır. Kurul’un verdiği idari para cezaları devlet hazinesine gelir kaydedilir. Sizin yaşadığınız manevi zarar için kargo şirketine karşı ayrıca “Manevi Tazminat” davası açmanız gerekir.

---

Kaynaklar

• KVKK Kurumu – 2023/845 Sayılı Karar Özeti
• 6698 Sayılı KVKK (Madde 5, 12, 18)
• Türk Borçlar Kanunu (Madde 66 – Adam Çalıştıranın Sorumluluğu)
• 4857 Sayılı İş Kanunu