Kurye TC Kimlik Numaramı İsteyebilir mi? Kargo ve Lojistik Sektöründe KVKK
Kurye teslimde TC kimlik numarasını mevzuat gereği kaydeder, kimliğinizi fotoğraflaması ise bunun dışında. Kargo verisinde Kurul kararları ve saklama süreleri.
Kısa cevap: evet, isteyebilir, hatta kaydetmek zorunda. Posta gönderilerinin alıcıya tesliminde teslim alan kişinin adının, soyadının ve TC kimlik numarasının kayda geçirilmesi, Bilgi Teknolojileri ve İletişim Kurulu'nun 27.12.2016 tarihli ve 2016/DK-YED/517 sayılı kararıyla onaylanan Posta Gönderilerine İlişkin Güvenlik Tedbirlerine Yönelik Usul ve Esaslar'ın 4. maddesinde açıkça yazılı. Aynı hüküm, kimlik bilgisini vermek istemeyen alıcıya gönderinin teslim edilmeyeceğini, göndericisine iade edileceğini de söylüyor. Yani kurye bu bilgiyi 6698 sayılı Kanun'un 5. maddesinin ikinci fıkrasındaki hukuki yükümlülüğün yerine getirilmesi şartına dayanarak işler, açık rızanıza ihtiyacı yoktur. Sınır ise şurada: düzenleme kimliğin ibraz ettirilerek teyit edilmesini istiyor, kimliğin fotoğrafının çekilip sistemde tutulmasını değil. El terminalinin kamerasıyla kimlik kartınızı çeken kurye, yükümlülüğün gerektirdiğinden fazlasını işlemiş olur.
Kargo ve lojistik, kişisel veri açısından iki ayrı mevzuat katmanının üstünde çalışan bir sektör. Bir yanda 6698 sayılı Kanun, diğer yanda 6475 sayılı Posta Hizmetleri Kanunu ve BTK'nın ikincil düzenlemeleri var. Kabul aşamasında toplanacak veri seti bu ikinci katmanda kalem kalem sayılmış: göndericinin adı soyadı, TC kimlik numarası, açık adresi ve telefon numarası; gönderiyi şubeye getiren kişi göndericiden farklıysa onun da aynı bilgileri; alıcının adı soyadı ile açık adresi; gönderinin cinsi; hatta kabul sırasında kimlik ve içerik kontrolünü yapan şirket personelinin adı, soyadı ve TC kimlik numarası. Şubede size neden bu kadar çok soru sorulduğunun cevabı burada. Bu kayıtların gerektiğinde ilgili mercilere sunulmak üzere gizliliği sağlanarak en az iki yıl saklanması da aynı maddede yazıyor.
Saklama süresi, kargo şirketlerinin imha politikalarında en çok karıştırdığı başlık. Posta mevzuatının en az iki yıl demesi, iki yılın aynı zamanda tavan olduğu anlamına gelmez; gönderi faturaları bakımından Türk Ticaret Kanunu'nun ticari belgeler için aradığı on yıllık süre ayrıca işler. Tersi de doğru: mevzuat istiyor diye her veriyi süresiz tutmak savunulabilir bir gerekçe değil. Kabul merkezlerindeki kamera kayıtları için düzenleme en az bir aylık süre öngörüyor. Kurul, 25.06.2020 tarihli ve 2020/494 sayılı kararında bir kargo şirketinin işe iade davasında delil olarak sunduğu kamera görüntülerini hukuka uygun bulurken tam olarak bu bir aylık yükümlülüğe ve bir hakkın korunması şartına dayandı. Doğru yaklaşım, gönderi kaydı, fatura, kamera görüntüsü ve çağrı kaydı için ayrı ayrı süre ve ayrı ayrı gerekçe yazmak.
Sektörün en pahalı dersi alıcının telefon numarası üzerinden geldi. Kurul'un 18.05.2023 tarihli ve 2023/845 sayılı kararına konu olayda bir kurye, teslimin ardından müşterinin cep telefonuna taciz içerikli mesaj attı. Kurye ceza yargılaması sonucunda cezalandırıldı, ancak Kurul burada durmadı. Numaranın Kanun'un 5. maddesindeki işleme şartlarına dayanmaksızın paylaşıldığını ve şirketin hukuka aykırı işlemeyi önlemeye yönelik teknik ve idari tedbirleri almadığını tespit ederek veri sorumlusuna 250.000 TL idari para cezası verdi. Çalışanımızın kişisel kusuru savunması sonucu değiştirmedi. Alınabilecek tedbirler de aslında belli: kurye ekranında numaranın maskelenmesi, mümkün olan yerde sanal numara veya çağrı yönlendirme, teslim tamamlandıktan sonra erişimin kapanması, hangi gönderiyi kimin hangi saatte görüntülediğini gösteren kayıtlar ve gizlilik taahhüdüyle birlikte tekrarlanan eğitim.
Etiket hataları da veri ihlali sayılıyor, üstelik sanılandan sık yaşanıyor. 05.01.2023 tarihli ve 2023/4 sayılı kararda bir kargo firmasının çapraz barkodlama hatası nedeniyle iki gönderinin etiketi yer değiştirdi; isim benzerliği yüzünden karışan paketlerde ilgili kişinin adı, soyadı ve adresi üçüncü bir kişiye açılmış oldu. Firma savunmasında taşıma mevzuatındaki etiket zorunluluğunu gerekçe gösterdi. Kurul bunu kabul etmedi, çünkü o zorunluluk doğru etiketlemeyi kapsıyor, hatalı etiketlemeyi mazur göstermiyor. Karar hem işleme şartlarının hem veri güvenliği yükümlülüğünün ihlal edildiğini, ayrıca olayın Kuruma bildirilmediğini saptayarak 75.000 TL idari para cezası öngördü. Operasyonda zaten müşteri fark etti, çözdük diyerek kapatılan olayların bildirim yükümlülüğü doğurduğunu buradan okumak gerekiyor.
Kutunun içine ne koyduğunuz kargo şirketinin değil sizin sorununuz. 24.03.2022 tarihli ve 2022/277 sayılı kararda bir elektronik perakende zinciri, onarıma gönderilen kulaklıkla birlikte müşterinin adını, soyadını, cep telefonunu, e-postasını, il ve ilçe bilgisini ve kredi kartının ilk altı hanesini içeren belgeyi de paketin içine koymuş, paket ise yanlış kişiye teslim edilmişti. Kurul, kapalı bir paketin içeriğine hâkim olması kendisinden beklenemeyeceği için kargo firmasının o içerik bakımından ne veri sorumlusu ne de veri işleyen olduğunu belirtti. Sorumluluk paketi hazırlayan şirkette kaldı ve şirkete bundan sonra onarım amacıyla paylaşılan verileri asgariye indirmesi, gerektiğinde maskelemesi talimatı verildi. Teknik servise, tedarikçiye ya da iade adresine gönderdiğiniz formda gerçekten tam ada, telefona ve kart bilgisine ihtiyacınız var mı sorusunu bir kez daha sormakta fayda var.
E-ticaret satıcısı ile kargo firması arasındaki ilişki de sık yanlış kuruluyor. İkisi birbirinin veri işleyeni değil, kendi amaçları bakımından ayrı veri sorumlusudur. Satıcı, sözleşmenin ifası için alıcı bilgisini kargo firmasına aktarır; kargo firması aynı veriyi kendi taşıma faaliyeti ve posta mevzuatından doğan yükümlülükleri için işler. Bu yüzden satıcının aydınlatma metninde aktarımın yapıldığı alıcı gruplarını göstermesi, kargo firmasının da kabul ve teslim noktasında kendi aydınlatmasını yapması gerekir. Verinin nereden geldiği ayrı bir risk başlığı: Kurul 30.09.2021 tarihli ve 2021/993 sayılı kararında, bir meslek kuruluşuyla yapılan indirim protokolü kapsamında elde edilen bilgilerle hizmet almamış bir kişi adına fatura düzenlenmesini hukuka aykırı veri işleme saydı ve idari para cezası uyguladı. Elinizdeki listeyi nereden aldığınızı ve hangi işleme şartına oturttuğunuzu yazılı gösteremiyorsanız o listeyi kullanmayın.
Kargo ağlarının önemli bölümü acente ve franchise şubeler üzerinden döndüğü için sorumluluk haritası da burada bulanıklaşıyor. Acentelik sözleşmesinde faaliyetin veri sorumlusunun nam ve hesabına yürütüldüğü açıkça düzenlenmişse acente, Kanun'un 3. maddesi anlamında veri işleyen sıfatını taşır. Bu, sorumluluğun devri değil paylaşımı. 12. madde veri sorumlusundan, işleyenle birlikte gerekli tedbirleri alma ve denetim yükümlülüğü bekliyor. Yazılı sözleşme, gizlilik taahhütleri, yetki matrisi, şubeye açılan ekranın kapsamı ve dönemsel denetim kayıtları dosyada bulunmalı. Şube personelinin sisteme ortak bir kullanıcı adıyla girdiği yapılarda hangi gönderiyi kimin görüntülediğini kanıtlayamayacağınızı da hesaba katın.
Takip ekranları ve entegrasyon servisleri sessiz bir sızıntı kanalı. Yalnızca gönderi numarasıyla ad, soyad ve adres döndüren bir sorgu ekranı, numaralar tahmin edilebilir bir sırayla üretiliyorsa toplu veri toplamaya açık hale gelir. Kurul konuyu bir otopark işletmecisi üzerinden ele aldığı 01.06.2023 tarihli ve 2023/924 sayılı kararında, yalnızca plakayla yapılan tek kademeli sorgunun ikinci kademede kişiye özel olarak belirlenecek bir bilgi ya da SMS veya e-postaya iletilen bir şifre gibi bir doğrulamayla desteklenmesi gerektiğini söyledi. Mantık kargo takibi için de aynı. İkinci bir doğrulama adımı, dönen alanların kısıtlanması, IP başına istek sınırı ve sorgu kayıtlarının tutulması makul bir başlangıç.
Bildirim mesajı ile pazarlama mesajı arasındaki çizgi de karışıyor. Gönderiniz şubemize ulaştı mesajı hizmetin ifasına ilişkin bir bilgilendirmedir; Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik, satın alma ve teslimata ilişkin bildirimler için önceden onay aranmayacağını düzenliyor. Aynı numaraya kampanya ya da yeni hizmet duyurusu göndermek ise ticari elektronik iletidir ve İYS üzerinden onay gerektirir. Teslimat için toplanmış telefon numarasını pazarlama listesine taşımak, hem 6563 sayılı Kanun hem de 6698'in işlendikleri amaçla bağlantılı ve sınırlı olma ilkesi bakımından sorun yaratır.
İhlal gerçekleştiğinde saat işlemeye başlıyor. 12. maddenin beşinci fıkrası, öğrenme tarihinden itibaren en kısa sürede ve 72 saat içinde Kurula bildirim yapılmasını, ilgili kişilere de makul sürede haber verilmesini istiyor. Kurumun yayımladığı veri ihlali duyuruları arasında kargo şirketleri de yer aldı. Kurul'un 25.12.2025 tarihli ve 2025/2451 sayılı kararıyla bu duyuruların Kurum internet sitesinde yayımlanma süresi 60 günle sınırlandı; veri sorumlusu ilgili kişilere daha kısa sürede bildirim yaptığını ispatlarsa duyuru daha erken kaldırılabiliyor. Bir de ikinci denetleyici var: 6475 sayılı Kanun'un idari yaptırımlar hükmü, mevzuata aykırılık halinde BTK'ya önceki yıl net satışlarının yüzde üçüne kadar idari para cezası uygulama yetkisi veriyor. Aynı olay iki ayrı kurumda iki ayrı dosya açabilir.
Son kilometre teslimat işinde uyumun somut çıktısı şu: gönderi verisi için kategori bazlı saklama süreleri, kurye ekranında maskeleme ve teslim sonrası erişimin kapanması, acente sözleşmelerinde veri işleyen hükümleri, takip ekranında ikinci doğrulama adımı, teslimat bildirimi ile pazarlama iletisinin ayrılması ve gerçekten çalışan bir ihlal müdahale planı. Bunlardan hangisinin sizde eksik olduğunu görmek genelde yarım günlük bir incelemeye bakar. KVKK Danışman olarak kargo, kurye ve lojistik şirketleri için ücretsiz ön değerlendirme yapıyoruz; mevcut dosyanızı ve operasyon akışınızı inceleyip nereden başlamanız gerektiğini yazılı olarak paylaşıyoruz.