Pazaryerinden Gelen Müşteri Bilgisine SMS Atabilir miyim? E-Ticaret Pazaryerlerinde Satıcının KVKK Sorumluluğu

Kısa cevap: hayır. Pazaryerinden panelinize düşen ad, telefon ve adres bilgisi siparişi teslim edebilmeniz için orada, indirim duyurusu göndermeniz için değil. Bu veriyi kampanya SMS'ine, e-posta bültenine ya da kendi sitenizin müşteri listesine taşımak istiyorsanız iki ayrı izne ihtiyacınız var. Birincisi 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun kapsamındaki ticari elektronik ileti onayı, ki bu onayın İleti Yönetim Sistemi'ne işlenmiş olması gerekiyor. İkincisi 6698 sayılı Kanun kapsamında telefon numarasını ve e-posta adresini pazarlama amacıyla işleyebilmek için gereken açık rıza. Pazaryerinin kendi üyelerinden aldığı onay size geçmiyor, çünkü onay markaya ve hizmet sağlayıcıya özel. Sipariş sizin panelinize düştü diye alıcı sizin pazarlama listenize girmiş olmuyor.

Satıcıların çoğu kendini pazaryerinin bir uzantısı sanıyor. Hukuken durum böyle değil. Alıcının verisini kendi ticari faaliyeti için, işlemenin amaçlarını ve araçlarını kendisi belirleyerek kullanan satıcı, o faaliyet bakımından veri sorumlusudur. Pazaryeri ise üyelik, ödeme ve platform içi süreçler bakımından ayrı bir veri sorumlusu. Aradaki ilişkinin kimi noktalarda veri sorumlusu ile veri işleyen ilişkisine dönüştüğü haller olabilir, ama sipariş verisini alıp faturalamaya, iade sürecine ve müşteri iletişimine sokan kararları siz veriyorsunuz. Pratik karşılığı şu: kendi aydınlatma metninizi hazırlamak, işleme envanteri tutmak, saklama ve imha politikası yazmak, eşikleri aşıyorsanız VERBİS'e kaydolmak sizin yükümlülüğünüz. Pazaryerinin gizlilik politikası sizinkinin yerine geçmiyor.

Hangi veriyi neye dayanarak işlediğinizi tek tek gösterebilmeniz gerekiyor. Alıcının adı, adresi ve telefonu teslimat için işleniyorsa dayanak Kanun'un 5. maddesinin ikinci fıkrasının (c) bendi, yani bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması. Faturadaki kimlik ve adres bilgisi için dayanak (ç) bendi, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi. İade, ayıp ihbarı ya da bir tüketici uyuşmazlığı çıktığında dosyayı saklamanız (e) bendine, bir hakkın tesisi ve korunması için zorunlu olmasına dayanıyor. Doğrudan pazarlama bu üçünün hiçbirine sığmıyor. Meşru menfaat de kolay bir çıkış kapısı değil; Kurul reklam ve kampanya gönderimlerinde ısrarla açık rıza arıyor.

İnternette dolaşan pek çok e-ticaret rehberi hâlâ 6563 sayılı Kanun'un 10. maddesini kaynak gösteriyor. O madde artık yok. 7 Temmuz 2022 tarihli ve 31889 sayılı Resmî Gazete'de yayımlanan 7416 sayılı Kanun'un 4. maddesiyle yürürlükten kaldırıldı. Hizmet sağlayıcının elde ettiği kişisel verileri onay olmaksızın üçüncü kişilere iletemeyeceğine ve başka amaçlarla kullanamayacağına dair özel hüküm böylece e-ticaret mevzuatından çıktı, alan bütünüyle 6698 sayılı Kanun'a bırakıldı. Yasak sürüyor, değişen tek şey dayanağı doğru göstermeniz. Bir şikâyet dosyasında mülga maddeye atıf yapan aydınlatma metni, uyum çalışmanızın en son ne zaman elden geçtiğini de ele veriyor.

Ticari elektronik ileti tarafında kurallar Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik'te toplanmış. Onay metninde olumlu irade beyanı önceden seçili gelemiyor, onay mal veya hizmet sunumunun ön şartı yapılamıyor, onayın alındığını ispat yükü hizmet sağlayıcıda. Onayın devri de dar bir istisnaya bağlı: acente, özel yetkili işletme veya bayi işletme sözleşmelerinde taraflardan birine verilen onay, yalnızca sözleşme konusu mal, hizmet ya da marka ile sınırlı olmak üzere diğer taraf için de verilmiş sayılıyor. Pazaryeri ile satıcı arasındaki aracılık ilişkisi tipik olarak bu tanımların içine girmiyor. Panelden indirdiğiniz numaraları SMS sağlayıcınıza yüklemeden önce bu cümleyi bir kez daha okuyun.

Kurul'un konuya bakışını gösteren erken ve net karar 27 Şubat 2020 tarihli ve 2020/173 sayılı karar. Bir e-ticaret platformunda üyelik oluşturulurken iletişim tercihleri önceden işaretli geliyor, istemeyen kullanıcı kutucukları tek tek kaldırmak zorunda kalıyordu. Kurul bunun geçerli bir açık rıza olmadığını, hizmeti kullanmanın onay verilmiş sayılması sonucunu doğuramayacağını ve bir gizlilik bildiriminin aydınlatma yerine geçmeyeceğini belirtti. Veri güvenliği yükümlülüklerinin ihlali nedeniyle 1.100.000 TL, aydınlatma yükümlülüğünün ihlali nedeniyle 100.000 TL idari para cezası verildi. Aynı mantık pazaryerindeki mağaza sayfanızda ya da kendi sitenizde kullandığınız bülten kutucuğu için de geçerli. Önceden işaretli kutucuk rıza değil, varsayım.

Satıcı hesabınız artık başlı başına bir risk kalemi. Kurul'un 8 Ağustos 2024 tarihli ve 2024/1385 sayılı kararına konu olayda saldırganlar, başka sızıntılardan elde ettikleri kullanıcı adı ve şifre çiftlerini bir e-ticaret platformunun satıcı portalında denedi. 2 ile 6 Şubat 2024 arasında 673 satıcı hesabına yetkisiz erişim sağlandı. Satıcıların kimlik, iletişim ve IBAN bilgileriyle birlikte 7.202 müşterinin ad, soyad, T.C. kimlik numarası, adres, sipariş ve kargo bilgileri etkilendi. Kurul, bot korumasının aşıldığını, aynı IP adresinden dört yüzü aşkın giriş denemesi yapılmasına rağmen ihlalin ancak müşteri şikâyetleriyle fark edildiğini ve çok faktörlü kimlik doğrulamanın olaydan sonra devreye alındığını tespit edip 3.250.000 TL idari para cezası uyguladı. Ders satıcı tarafında da aynı: panel şifresini başka hiçbir yerde kullanmayın, çok faktörlü doğrulamayı bugün açın, işten ayrılan personelin erişimini aynı gün kapatın.

Veri en çok panelden çıktığı anda kayboluyor. Sipariş listesini tabloya aktarıp muhasebeciye göndermek, iade takibini WhatsApp üzerinden yürütmek, reklam ajansına müşteri listesi vermek, ürün fotoğrafı çeken serbest çalışanla aynı hesabı paylaşmak. Bunların her biri bir aktarım ve her aktarımın bir hukuki sebebi olmak zorunda. Sizin adınıza ve talimatınızla veri işleyen taraflarla yazılı sözleşme yapmanız, o tarafın en az sizin kadar güvenlik tedbiri almasını sağlamanız gerekiyor. Kanun'un 12. maddesi bu durumda veri işleyeni sizinle birlikte müştereken sorumlu tutuyor. Kullandığınız entegrasyon ya da kargo yazılımının sunucusu yurt dışındaysa, aktarım kurallarına ayrıca bakmanız gerekir.

Küçük ayrıntılar da sayılıyor. Kargo etiketine alıcının kimlik numarasını yazmak teslimat için gerekli değil, gerekmeyen her alan veri minimizasyonu ilkesine takılır. Bazı pazaryerleri alıcının telefonunu maskeleyerek veriyor; maskeyi aşıp gerçek numaraya ulaşmaya çalışmak amaç dışı işleme olur. Ürün sayfasındaki yoruma cevap verirken müşterinin sipariş numarasını, adresini ya da neyi iade ettiğini yazmayın, o alan herkese açık. İade veya fatura düzeltme sürecinde kimlik fotokopisi toplama alışkanlığı da yaygın; çoğu senaryoda ölçüsüz kalıyor ve elinizde açıklaması zor bir arşiv bırakıyor.

Ne kadar süre saklayacağınız sorusunun tek bir cevabı yok, ama her veri kalemi için bir cevabı olmalı. Faturaya ve ticari deftere giren kayıtlar Vergi Usul Kanunu'nun 253. maddesi uyarınca beş yıl, Türk Ticaret Kanunu'nun 82. maddesi uyarınca on yıl saklanıyor. Bunların dayanağı hukuki yükümlülük olduğu için silme talebi gelse de silinmiyor, ilgili kişiye gerekçesi açıklanıyor. Pazarlama listesi tamamen başka bir kalem. Açık rızaya dayanan bir kayıtta saklama süresi rızanın devam ettiği süredir, kişi rızasını geri aldığı anda o kayıt gider. İkisini aynı tabloda tutmak kolay görünüyor, ama bir silme talebi geldiğinde neyi silip neyi bırakacağınızı ayıramıyorsanız otuz günlük cevap süresi çok kısa geliyor.

Pazaryeri tarafında da veriyle ilgili özel kurallar var, hepsi her platform için geçerli değil. 6563 sayılı Kanun'a 7416 sayılı Kanun'la eklenen ek 2. madde, bir takvim yılındaki net işlem hacmi on milyar Türk lirasının üzerinde olan elektronik ticaret aracı hizmet sağlayıcılar için iki yükümlülük getiriyor. Birincisi, satıcıdan ve alıcıdan elde edilen verilerin yalnızca aracılık hizmetinin sunulması amacıyla kullanılması ve platformun satıcılarla rekabet ettiği faaliyetlerde bu verilerden yararlanmaması. İkincisi, satıcının kendi satışları dolayısıyla oluşan verileri bedelsiz taşıyabilmesi ve bu verilere etkin biçimde erişebilmesi için teknik imkân sunulması. Uygulama ayrıntıları 29 Aralık 2022 tarihli ve 32058 sayılı Resmî Gazete'de yayımlanan yönetmelikte. Şunu atlamayın: taşınabilirlik size veriyi alma imkânı veriyor, o veriyi pazarlamada kullanma hakkı vermiyor. İki ayrı soru.

Maliyet iki koldan geliyor. KVKK tarafında 2026 yılında aydınlatma yükümlülüğüne aykırılık 85.437 TL ile 1.709.200 TL, Kanun'un 12. maddesindeki veri güvenliği yükümlülüklerinin ihlali 256.357 TL ile 17.092.242 TL arasında idari para cezasına konu olabiliyor. Ticaret Bakanlığı tarafında onaysız ticari elektronik ileti için ayrı bir ceza rejimi işliyor ve gönderim sayısı arttıkça tutar büyüyor. Kendi durumunuzu ölçmek için beş soruyla başlayın: mağazanızın kendi aydınlatma metni var mı, pazarlama listeniz hangi onaya dayanıyor, satıcı panelinde çok faktörlü doğrulama açık mı, sipariş verisini kaç ayrı yere kopyalıyorsunuz, bir silme talebi geldiğinde hangi kayıtları silersiniz. KVKK Danışman'ın ücretsiz ön değerlendirmesinde bu başlıkları mevcut süreçlerinizle karşılaştırıp eksikleri ve öncelik sırasını çıkarıyoruz.

Randevu Al