Karara Konu Olayin Özeti
Ilgili kisinin kulakligini onarim yapilmasi için bir elektronik perakende zincirinin AVM'de-ki subesine teslim ettigi, magaza yetkililerinin de kulakligi distribütör firmaya iletilmek üzere kargo sirketine teslim ettigi ancak kargonun distribütör firma yerine konuyla ilgisiz üçüncü bir sahsa teslim edildigi, kargonun teslim edildigi üçüncü sahsin kendisine ulas-masi üzerine konudan haberdar oldugu, elektronik perakende zinciri yetkilileri tarafin-dan konu kapsaminda herhangi bir suçlarinin olmadiginin ve hatanin tamamen kargo sirketinde oldugunun ileri sürüldügü, ancak tasinan kargonun içine kendisine ait isim, soy isim, cep telefonu numarasi, e-posta adresi, ikamet ettigi il ve ilçe ile ödeme yapti-gi kredi kartinin ilk alti hanesi gibi bilgileri haiz belgelerin koyuldugu, böylece rahatça kötüye kullanilabilecek mezkûr bilgilerin konuyla ilgisiz üçüncü bir sahsin eline geçtigi, elektronik perakende zinciri yetkilileri tarafindan bu durumun tamamen prosedür gere-gince yapildiginin beyan edildigi ve hatanin mesuliyetinin kabul edilmedigi yönündeki iddialarini içeren sikayeti üzerine baslatilan inceleme çerçevesinde Kurul tarafindan veri sorumlularinin savunmalari istenmistir.
Elektronik perakende zincirinin savunmasi kapsaminda (i) kargonun söz konusu onarim isleminin yapilabilmesi için gerekli olan belgelerle birlikte distribütör firmaya gönderimi nin saglanmasi amaciyla alicinin adres bilgisi ile unvani dogru bir sekilde girilerek kapali ve paketlenmis olarak kargo sirketine 31/08/2021 tarihinde teslim edildigi, (ii) Kurum'un Veri Isleyen ve Veri Sorumlusu Rehberi'nde de belirtildigi gibi kargo sirketlerinin sevki yati yönetmek için elde ettigi kisisel veriler bakimindan KVKK uyarinca veri sorumlusu olduklari ve (iii) ilgili kisinin kisisel verilerinin üçüncü bir kisinin eline geçmesinin kargo sirketinin teslimati gönderim formunda veri sorumlusu tarafindan alici olarak gösterilen tarafa yapmamasi nedeniyle ortaya çikan bir durum oldugu, yasanan olayda taraflarinin kisisel verilerin korunmasi mevzuatini ihlal edecek herhangi bir uygulamada ve isleme faaliyetinde bulunmadigi ve dolayisiyla ilgili kisinin iddia ettigi gibi somut olayda gerçekesen isleme faaliyetine iliskin herhangi bir hukuka aykiriligin söz konusu olmadigi ifade edilmistir.
Kargo sirketinin savunmasi kapsaminda ise (i) sikayete konu kargonun sehven üçüncü bir kisiye teslim edildigi ve durumun kargonun teslim edildigi üçüncü kisinin bilgi ver mesiyle anlasildigi, (ii) akdettikleri acentelik sözlesmesi ile tasimacilik faaliyeti kapsa minda kendi nam ve hesabina tasitlarin yükleme, bosaltma, gümrükleme ve pazarlama islemleri ile diger acentelik hizmetlerini acenteleri vasitasiyla yürüttügü ve nitekim sika yete konu gönderinin varis biriminin de acentesi oldugu ve olayin yasandigi tarihte islemi gerçeklestiren personelin söz konusu acentede istihdam edildiginin tespit edildigi, (iii) acentelik iliskisine istinaden imzalanan acentelik sözlesmesinin ve güvenlik tedbirlerine iliskin protokollerin yazilari ekinde, sirketleri tarafindan kisisel verilerin korunmasina yö nelik bilgilendirmelerin ve aydinlatmalarin yerine getirildigi, (iv) teslime iliskin bilginin alinmasiyla birlikte varis birimi / acente tarafindan derhal teslim edilen adrese gidilerek kargonun alindigi ve ayni gün gönderici müsteri olan veri sorumlusuna iade edildigi ve acentenin teslimatta görevli personelinin Eylül 2021'in sonlarinda ayrildigi bildirildigin den teslimatin detaylari hakkinda bilgi temin edilemedigi, (v) hizmetlerinin güvenligi ko nusunda oldukça hassas davrandigi, insani bir hata olarak yapilan islemle ilgili kasitli bir eyleminin söz konusu olmadigi ve kargo dagitim süreçlerindeki yogunluk nedeniyle istemeden de olsa yasanan bu gibi aksakliklarin önüne geçilebilmesi için personele gerekli bildirimlerin siklikla gerçeklestirildigi, (vi) acentenin islemi yapan personeli ile acente arasinda akdedilen hizmet sözlesmesinde kisisel verilerin güvenligi, korunmasi ve gizlilik ile ilgili yükümlülükleri hakkinda bilgilendirme yapilmakta oldugu, (vii) tüm sirket çalisanlarina ve tedarikçi / acente çalisanlarina kisisel verilerin gizliligi ve bilgi gü venligi alanlarinda hizmet öncesi egitim verildigi ve ilgili personele Nisan 2021 içerisinde toplam 32 saatlik hizmet öncesi egitim ile Mayis 2021 ve Temmuz 2021 içerisinde iki kez olmak üzere birer saatlik kisisel verilerin korunmasi ve bilgi güvenligi egitimlerinin ve rildigi, (viii) gönderi içeriginin kayitlarda yer almadigi ve bu yüzden ilgili kisinin kisisel bilgilerinin gönderi içeriginde bulunduguna dair taraflarinin hiçbir bilgisinin bulunma digi, (ix) gönderici sirketin kargonun kaybi veya zayiati risklerini basiretli bir tacir olarak öngörmesi ve önlemlerini almis olmasi gerektigi ve (x) kargonun sehven teslim edildigi ilgisiz üçüncü kisinin ise kendisine ait olmadigini bilmesine ve kargo paketinde alici ol madigini görmüs olmasina ragmen paketi hangi sebeple açtiginin anlasilamadigi ve söz konusu sahsin kendisine ait olmadigini gördügü anda kargo paketini açmadan taraflari ya da gönderici ile iletisime geçmis olmasi durumunda bu olayin meydana gelmeyecegi nin açik oldugu ifade edilmistir
Kurul Karari ve Yaptirimi
Kurul tarafindan gerçeklestirilen inceleme kapsaminda (i) ilgili kisiye ait kulakligin distribütör firma tarafindan onarilabilmesi için kargo paketi içine konulduklari ifade edilen kisisel veriler "bir sözlesmenin kurulmasi veya ifasiyla dogrudan dogruya ilgili olmasi kaydiyla, sözlesmenin taraflarina ait kisisel verilerin islenmesinin gerekli olmasi" ve "veri sorumlusunun hukuki yükümlülügünü yerine getirebilmesi için zorunlu olmasi" isleme sartlarina dayandigi, (ii) veri sorumlusunca bir onarim isleminin yapilabilmesi için dist ribütör firmaya gönderilen belgelerde yer alan ilgili kisiye ait kisisel verilerin mahiyetleri ile ticari hayatin dinamik yapisi ve sartlari dikkate alindiginda, hayatin olagan akisina uygun oldugunun rahatlikla savunulabilecegi düsünülen söz konusu kisisel veri isleme / ak tarim faaliyeti bakimindan genel ilkelere açik bir aykiriligin tespit edilemedigi, bununla beraber gelecekte ürün onarimi amaciyla veri sorumlusu tarafindan onarim firmalarina iletilebilecek kargo paketleri içindeki formlarda minimum düzeyde kisisel veri paylasil masini ve paylasilan kisisel verilerin de mümkün oldugunca maskelenmesini teminen gerekli önlemlerin alinmasi gerektigi, (iii) kargo paketinin kargo sirketi tarafindan hatali bir sekilde teslim edilmis olmasindan dolayi ilgili kisinin kisisel verilerinin kanuni olma yan bir sekilde üçüncü bir sahis tarafindan elde edildigini ögrenmesini müteakip veri so rumlusunun konu hakkinda ilgili kisiye ve Kurul'a bildirimde bulunma yükümlülügünün dogdugu, (iv) ilgili kisinin kisisel verilerinin kanuni olmayan bir sekilde üçüncü bir sahis tarafindan elde edildigini ögrenmesinin üzerinden ortalama 72 saat geçmemisken – ilgili kisi tarafindan yapilan basvuruya cevaben de olsa – ilgili kisiye bilgi verildigi, yasanan hatali kargo teslimatindan ilgili kisi disinda herhangi bir kisinin etkilenme ihtimalinin bulunmadigi ve konu hakkinda veri sorumlusunca Kurul'a bildirim yapilmamis olmasi nin ilgili kisinin kisisel verilerinin korunmasi baglaminda somut nitelikte bir tehlikeye yol açmayabilecegi hususlari göz önünde bulunduruldugunda gelecekte yasanabilecek benzer olaylar için ilgilisine ve Kurul'a bildirimde bulunmasi konusunda veri sorumlu sunun talimatlandirilmasinin uygun olacagi, (v) kargo içerigini bilmesinin kendisinden beklenmeyen kargo sirketinin ilgili kisi hakkinda veri sorumlusu veya veri isleyen sifatiyla yürüttügü herhangi bir kisisel veri isleme faaliyetinin bulunmadigi ve (vi) kargo gönderim islemi özelinde ilgili kisi hakkinda dogrudan bir kisisel veri isleme faaliyeti yürütmedigi anlasilan kargo sirketi hakkinda KVKK hükümleri uyarinca yapilabilecek herhangi bir is lemin bulunmadigi degerlendirmelerinde bulunulmustur.
Söz konusu degerlendirmeler isiginda;
- ili kisiye ait bazi kisisel verileri içeren belgelerin veri sorumlusunca bir onarim isleminin yapilabilmesi için distribütör firmaya gönderilmesinden ibaret olan kisisel veri isleme / aktarim faaliyetinin hukuka uygun oldugu dikkate alindiginda, anilan faaliyetten ötürü veri sorumlusu hakkinda Kurul tarafindan KVKK kapsaminda yapilacak herhangi bir islemin bulunmadigina,
- ecekte onarim amaciyla veri sorumlusu tarafindan onarim firmalarina iletilebilecek kargo paketleri içindeki formlarda minimum düzeyde kisisel veri paylasilmasi ve paylasilan kisisel verilerin de mümkün oldugunca maskelenmesini teminen gerekli önlemlerin alinmasi hususunda veri sorumlusunun uyarilmasina,
- argo paketinin konudan bagimsiz üçüncü bir sahsa teslim edilmesi neticesinde kisisel verilerin kanuni olmayan bir yolla elde edilmis oldugu anlasilmakla birlikte, olayin tüm sartlari ve KVKK'nin 12. maddesinin (5) numarali fikrasinin amaci ve konuya iliskin ilgili kisinin bilgisi oldugu dikkate alindiginda veri sorumlusu hakkinda KVKK hükümleri dahilinde yapilacak herhangi bir islemin bulunmadigina ve ancak gelecekte yasanabilecek benzer olaylar için en kisa sürede hem ilgilisine hem de Kurul'a bildirimde bulunmasi konusunda veri sorumlusunun talimatlandirilmasina
- ilgili kisinin sikayetine esas olaylar ve bu olaylardaki rolü ile KVKK'nin "Kapsam" baslikli 2. maddesi dikkate alindiginda, kargo içerigine hakim olmasi kendisinden beklenemeyecek kargo sirketinin kargo içerigi açisindan veri sorumlusu veya veri isleyen sifatlarini haiz olmayacagi ve bu yüzden somut olayda KVKK hükümlerine istinaden herhangi bir sorumlulugunun ve Kurul tarafindan yapilacak herhangi bir islemin bulunmadigina ve
- ilgili kisinin hak magduriyeti yasamasina neden olabilecek hatali bir kargo teslim isleminin bulundugu göz önüne alindiginda, anilan hatali islemden kaynaklanabilecek hukuki ve/veya cezai sorumlulugun takibi için yargi mercileri nezdinde girisimde bulunabilecegi hususunda ilgili kisinin bilgilendirilmesine
karar verilmistir
Söz konusu kararin tam metnine buradan ulasabilirsiniz.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
