Karara Konu Olayın Özeti
İlgili kişinin bir pazarlama şirketinin Trabzon bölge müdürlüğü yetkilileri tarafından bir market adına düzenlenmiş e-faturaları kullanmakta olduğu e-posta adresine 13/01/2020 tarihinden 20/04/2020 tarihine kadar 15 kez gönderildiği, kendi adına fatura düzenlenen market ile bir ilgisinin bulunmadığı ve bu durum çeşitli iletişim kanalları üzerinden söz konusu şirkete bildirilmesine rağmen faturaların tarafına iletilmeye devam ettiği yönündeki iddialarını içeren şikayeti üzerine başlatılan inceleme çerçevesinde Kurul tarafından pazarlama şirketinin ve Trabzon baş bayisi olan fatura düzenleyen şahsın savunması istenmiştir.
Pazarlama şirketinin savunması kapsamında (i) faturaları gönderen yetkililerden birinin önceden şirketlerinin Trabzon eski baş bayisi olduğu ancak Kasım 2018 itibariyle ilişiklerinin kesildiği, (ii) ilgili kişinin başvurusunu yönelttiği e-posta adreslerinin bir kısmının domain'inin aktif olmadığı ve name server bilgilerinin şirketlerine ait olmadığı, (iii) sistemlerinde ilgili kişinin e-posta adresine rastlanmadığı ve bu nedenle herhangi bir ilişkileri bulunmayan işletme adına düzenlenen ve gerçek kişiye ait herhangi bir bilgi içermemesi nedeniyle kişisel veri ihlali teşkil etmeyecek fatura paylaşımının şirketleri tarafından gerçekleştirilmesinin mümkün olmadığı ve (iv) şirketlerinde herhangi bir üyelik sistemi bulunmadığından, doğrudan e-posta adresi ile başvuru yönteminin açık olmadığı ve ilgili kişi tarafından şirketlerine yapılan usulüne uygun bir başvuru tespit edilemediği ifade edilmiştir.
Şirketin daha önce Trabzon baş bayisi olan fatura düzenleyen şahsın savunması kapsamında ise (i) taraflarının adı geçen şirketin bayisi iken başka bir pazarlama şirketine devir teslim işlemi yapılmasının ardından yeni şirket ile bayilik sözleşmesi (yetkili satıcı) imzalandığı, (ii) e-fatura sistemine geçildiğinden dolayı, gazete dağıtımı yapan son satıcılardan e-posta ve telefon bilgilerinin güncellenmesinin talep edildiği, bunun üzerine bahsi geçen market tarafından güncellenmesi istenen e-posta adresinin taraflarına ilgili kişinin adı ile soyadı arasına nokta konulmuş şekliyle (ad.soyad@... şeklinde) iletildiği, (iii) ancak e-posta adresinin el yazısıyla taraflarına iletilmesi nedeniyle sistem üzerinde e-posta adresi kaydı yapılırken bahse konu adresin ad ve soyadı arasına nokta işareti konulmadan (adsoyad@... şeklinde) kaydedildiği ve söz konusu durumun tamamen yanlışlıkla meydana geldiği ve (iv) şikayet konusu olaya ilişkin olarak ilgili kişinin taraflarına ulaşmasının ardından sistemleri üzerinde düzeltme işlemi yapıldığı ve ilgili kişiye e-posta gitmesinin önlendiği ifade edilmiştir.
Söz konusu savunma incelendiğinde, son satıcı olan bayi bilgilerinin kaydedildiği sistemin yeni sözleşme imzalanan pazarlama şirketine ait olduğunun anlaşılması üzerine anılan şirketten de savunması istenilmiş olup, şirketin savunması kapsamında (i) şirketlerinin Türkiye'deki yazılı basın sektörünün tamamına hizmet vermek üzere Türkiye genelinde genel müdürlüğe bağlı bölge müdürlükleri ve bölge temsilcilikleri, bölge müdürlüklerine / temsilciliklerine bağlı yetkili satıcılar ile yetkili satıcılara bağlı son satıcılardan oluşan bir dağıtım ağı oluşturduğu, (ii) şirketleri ile şikayete konu fatura düzenleyen kişi arasında Temmuz 2018'de dağıtım yetkili satıcı sözleşmesi imzalandığı, söz konusu kişinin yetkili satıcı olarak atandığı ve adına fatura düzenlenen marketin ise söz konusu yetkili satıcının yayınlarının pazarlama, dağıtım ve satışını yaptığı son satıcılardan biri olduğu, (iii) bu ilişkide şirketlerinin yayınları okuyuculara ulaştıran son satıcılar ile herhangi bir sözleşmesel ilişki içerisine girmediği ve son satıcılara yönelik herhangi bir dağıtım, pazarlama ve satış faaliyeti yürütülmediği, bu faaliyetlerin yürütülmesinin yetkili satıcıların uhdesine bırakıldığı, (iv) atanan yetkili satıcılar tarafından yayınların Türkiye geneline dağıtımı, pazarlanması ve satış süreçlerinin sağlanması adına Dağıtım Bilgi Sistemi'nin ("DBS") kullanıldığı, yetkili satıcıların DBS'ye tanımlanması ile erişim / kullanım hakkı tanındığı, yetkili satıcının yetkili olduğu il dahilinde yer alan son satıcıları kendi inisiyatifinde olmak üzere belirleyip anlaşma yaptığı ve son satıcılardan elde edilen bilgilerin DBS'ye girilmesi suretiyle son satıcı kayıtlarının yapıldığı, (v) yetkili satıcıların yalnızca kendileri tarafından kaydedilen bilgilere erişim imkanının bulunduğu ve son satıcıların DBS'ye herhangi bir erişiminin bulunmadığı, (vi) DBS'ye kaydedilen son satıcı bilgilerinin şirketlerinden bağımsız bir şekilde ve herhangi bir emir veya talimat almadan ya da şirketleri tarafından herhangi bir yönlendirmede bulunulmadan elde edildiği, (vii) yetkili satıcıların söz konusu veriler üzerinde tam bir hakimiyete sahip oldukları, bu bilgileri kendi inisiyatif ve kararları doğrultusunda kendilerine ait süreçler / faaliyetler dahilinde belirledikleri amaçlar ile işledikleri ve gerek gördüklerinde diledikleri gibi değiştirebildikleri ve silebildikleri, (viii) şirketlerinin gerek DBS gerek başka bir vasıtayla yetkili satıcılara ve mevcut ya da potansiyel son satıcılara ilişkin herhangi bir bilgi toplamadığı ve aktarmadığı ve dolayısıyla son satıcılara ait herhangi bir iletişim bilgisinin yetkili satıcılara sağlanması gibi bir uygulama bulunmadığı, (ix) DBS'ye girilen bilgilerin doğru, güncel ve eksiksiz olma sorumluluğunun son satıcılar ile doğrudan hukuki / ticari ilişki içerisinde bulunan yetkili satıcılara ait olduğu, zira DBS'ye şirket yetkilileri dışında yalnızca yetkili satıcıların doğrudan erişiminin olduğu, DBS'nin sistem üzerinden son satıcılara ulaşılarak bilgi doğrulaması yapılmasına imkan sağlayacak bir alt yapıda kurulmadığı ve ayrıca şirketlerinin yetkili satıcı sözleşmesi ile ilgili mevzuat hükümlerine uygun faaliyette bulunulması ve bu kapsamda gereken tedbirlerin alınması konusunda yetkili satıcılara sorumluluk yüklediği, (x) DBS'nin sunduğu raporlama imkanı ile yetkili satıcının planlama, dağıtım ve iade operasyonlarını yürütebilmesi bakımından kolaylık sağlandığı ancak yetkili satıcının doğrudan DBS üzerinden resmi bir irsaliye / fatura oluşturmasının mümkün olmadığı, DBS'nin irsaliyeye / faturaya konu satışın icmalini rapor olarak dökümünü ve resmi irsaliyeye / faturaya ticari içerik oluşturulmasını sağladığı ve bu hususların DBS üzerinden yürütülmesi gibi bir zorunluluğun bulunmadığı, (xi) DBS üzerinden doğrudan son satıcılar ile iletişime geçilmesini sağlayan (e-mail gönderimi, fatura gönderimi, irsaliye gönderimi gibi) herhangi bir hizmetin de sunulmadığı ve herhangi bir üçüncü parti yazılımı (e-fatura, e-arşiv sistemleri, CRM gibi) ile entegrasyonun da bulunmadığı, (xii) şirketlerinin yetkili satıcıların son satıcılar nezdinde yapmış olduğu planlama, dağıtım ve iade operasyonlarını DBS üzerinden takip ettiği, bu operasyonlar dahilinde sisteme girilen satış bilgileri dikkate alınarak tiraj tahminlerini yaptığı ve basım, üretim ve planlama süreçlerini yönettiği, (xiii) somut olayda da yetkili satıcının markete ilişkin kendi fatura süreçleri dahilinde ve veri sorumlusu olarak işlediği e-posta verisini yaptığı hata sonucu e-fatura hizmeti sistemine hatalı şekilde aktardığı, zira son satıcı bilgilerinin kaydedildiği DBS üzerinden yalnızca ön muhasebe işlemlerinin yapılabildiği, e-fatura işlemlerinin üçüncü taraflara ait sistemler üzerinden gerçekleştirildiği, e-posta adresinin DBS'de girilmesi zorunlu bir alan olmadığı ve faturalama sistemine hatalı şekilde girilen kaydın DBS'ye yapılan hatalı kayıttan ve DBS'nin tetiklediği herhangi bir gönderimden kaynaklanmadığı ve (xiv) yetkili satıcının yayınların son satıcılar nezdindeki planlama, dağıtım ve iade operasyonlarını yürütmesi kapsamındaki faturalama süreçlerinde ve dolayısıyla şikayete konu olay özelinde e-posta verisinin işlenmesi faaliyeti bakımından şirketlerinden bağımsız şekilde ayrı bir veri sorumlusu sıfatı ile hareket ettiği, işlenecek kişisel veriler bakımından emir veya talimat almadığı ve e-posta verisinin DBS dahilinde kaydedilmesi gereken zorunlu bir veri dahi olmadığı ifade edilmiştir.
Kurul Kararı ve Yaptırımı
Kurul tarafından gerçekleştirilen inceleme kapsamında (i) ilgili kişi tarafından yetkili satıcının ilk sözleşme imzaladığı pazarlama şirketi hakkında Kurul'a şikayette bulunmuş olmakla birlikte şikayete konu faturayı düzenleyen kişi ile Kasım 2018 tarihi itibariyle ilişiklerinin kesildiği ve fatura tarihinin Şubat 2020 olduğu göz önünde bulundurulduğunda, ilk sözleşme imzalanan pazarlama şirketinin veri sorumlusu sıfatını haiz olmadığı, (ii) ikinci sözleşme imzalanan pazarlama şirketi tarafından oluşturulan dağıtım ağında ilgili bölgelerde dağıtım, pazarlama ve satış hizmetlerinin sunulması adına aralarındaki sözleşme ile fatura gönderimi yapan kişinin yetkili satıcı olarak yetkilendirildiği ve satıcının da bu yetkiye istinaden tüketiciye doğrudan satış ve pazarlama yapılması adına son satıcı olan market ile sözleşme kurduğunun anlaşıldığı, (iii) yetkili satıcı sözleşmesi incelendiğinde yetkili satıcıların; son satıcıların açık isim ve adreslerinin yetkili satıcı dağıtım bilgi sistemine kaydedilmesi, son satıcılara teslim edilen ürünler için fatura düzenlenmesi ve tebliğ edilmesi, dağıtım, pazarlama ve bütün muhasebe işlemlerinde bilgisayar, modem ve benzeri araçlar ile ikinci pazarlama şirketinin gerekli gördüğü bilgisayar programlarının kullanılması ve bu bilgilerin tümünün şirketin kullanımına ve denetimine açık tutulması ile yükümlü olduğunun görüldüğü, (iv) fatura işlemlerinin yetkili satıcı tarafından gerçekleştirildiği belirtilmekle birlikte söz konusu işlemlerin ikinci pazarlama şirketi ile yetkili satıcı aralarındaki sözleşmenin yerine getirilmesi amacıyla gerçekleştirildiği, DBS'ye hangi verilerin girişinin yapılacağına ikinci pazarlama şirketi tarafından karar verildiği, şirketin fatura düzenlenmesi ve tebliğ edilmesi sürecinde hangi teknik ve organizasyonel araçların kullanılacağını yetkili satıcının takdirine bırakmış olmasının yetkili satıcı bakımından ayrı bir veri sorumluluğu doğurmayacağı ve yetkili satıcının fatura süreçleri kapsamında gerçekleştirdiği işlemlerde sözleşme maddelerinin dışına çıkarak kendi işleme amaçlarını belirlemediği dikkate alındığında, ikinci pazarlama şirketinin veri sorumlusu, yetkili satıcının ise bu şirket adına veri işleyen olarak kişisel veri işlediğinin tespit edildiği, (v) son satıcılara yönelik bilgilerin kaydedildiği DBS'ye veri işleyen tarafından hizmet verdikleri bir marketin e-posta adresinin sehven ilgili kişinin e-posta adresi olarak kaydedildiği, bu sebeple son satıcı adına düzenlenen faturaların da ilgili kişiye gönderildiği ve bu hususta e-posta adresi düzeltilerek ilgili kişiye fatura gönderiminin durdurulduğunun anlaşıldığı ve (vi) veri sorumluları tarafından kişilerin telefon numarası, e-posta adresi gibi iletişim kanallarına KVKK'ya aykırı şekilde gönderilen üçüncü kişilere ait kişisel veriler hakkında Kurul'un 22/12/2020 tarih ve 2020/966 sayılı ilke kararı kapsamında e-posta gönderilmesi hususunda gerekli teyit mekanizmalarının kurulmasının uygun olacağı değerlendirmelerinde bulunulmuştur.
Söz konusu değerlendirmeler ışığında;
- şikayette bulunulan ilk pazarlama şirketinin ilgili kişiye tarafı olmayan faturaların gönderilmesi faaliyetinde herhangi bir ilgisi ve sorumluluğunun bulunmadığı kanaatine varıldığından hakkında yapılacak bir işlem olmadığına,
- son satıcı olan market sahibi ile ilgili kişinin e-posta adresi benzerliği sebebiyle veri işleyen yetkili satıcı tarafından sehven ilgili kişinin e-posta adresinin sisteme kayıt edilerek herhangi bir kasıt bulunmaksızın işlendiği ve ilgili kişinin faturaların tarafına gönderilmemesi yönündeki talebinin gerekli düzeltme yapılarak yerine getirildiği dikkate alındığında, veri sorumlusu ikinci pazarlama şirketi hakkında KVKK kapsamında yapılacak bir işlem bulunmadığına ve
- veri sorumluları tarafından kişilerin telefon numarası, e-posta adresi gibi iletişim kanallarına KVKK'ya aykırı şekilde gönderilen üçüncü kişilere ait kişisel veriler hakkında Kurul'un 22/12/2020 tarih ve 2020/966 sayılı ilke kararı kapsamında e-posta gönderilmesi hususunda gerekli teyit mekanizmalarının kurulmasının uygun olacağının veri sorumlusu ikinci pazarlama şirketine hatırlatılmasına
karar verilmiştir.
Söz konusu kararın tam metnine buradan ulaşabilirsiniz.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
