Telefonu Tamire Vermek KVKK İhlali mi? Teknik Servisin Sorumluluğu, Eski Cihazların Satışı ve Donanım İmhası

Kısa cevap: cihazı tamire vermek tek başına bir ihlal değil, cihazın içindeki veriyi hiç düşünmeden göndermek ihlal doğuruyor. Kurumun kendi rehberleri bu noktada net. Kişisel veri içeren bir cihaz arıza ya da bakım nedeniyle üreticiye, satıcıya veya servise gidecekse, gönderilmeden önce veri saklama ortamının sökülerek saklanması, mümkün olduğunda yalnızca arızalı parçanın gönderilmesi, mümkünse cihazdaki verinin yok edilmesi isteniyor. Şirketler için bu bir öneri değil, Kanun'un 12. maddesindeki veri güvenliği yükümlülüğünün somut karşılığı. Bireysel kullanıcı kendi telefonunu servise verdiğinde veri sorumlusu sıfatı taşımaz, ama karşısındaki servis her halükarda veri sorumlusudur ve hem müşteri kaydı hem de cihaz içeriğine erişim bakımından hesap verir. Sahadaki tablo genellikle şöyle görünüyor: dizüstü bilgisayar diski sökülmeden kargoya veriliyor, kira sözleşmesi biten fotokopi makinesi içindeki diskle birlikte iade ediliyor, eski telefonlar bir çekmecede bekliyor ve hangi cihazda ne olduğunu kimse bilmiyor.

Kurumun iki rehberi aynı meseleyi iki ayrı yerden anlatıyor. Kişisel Veri Güvenliği Rehberi'nin "Bilgi Teknolojileri Sistemleri Tedariği, Geliştirme ve Bakımı" başlığı şunu söylüyor: arızalandığı ya da bakım süresi geldiği için üretici, satıcı, servis gibi üçüncü kurumlara gönderilen cihazlar kişisel veri içeriyorsa, bakım ve onarım işlemi için gönderilmesinden önce cihazlardaki veri saklama ortamının sökülerek saklanması, sadece arızalı parçaların gönderilmesi gibi işlemler yapılması gerekir; bakım ve onarım gibi amaçlarla dışarıdan personel gelmişse kişisel verileri kopyalayarak kurum dışına çıkarmasının engellenmesi için gerekli önlemlerin alınması gerekir. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi aynı konuyu üç adıma bölüyor: cihaz servise aktarılmadan önce içindeki kişisel verinin uygun yöntemlerle yok edilmesi, yok etmenin mümkün ya da uygun olmadığı durumlarda veri saklama ortamının sökülerek saklanıp yalnızca arızalı diğer parçaların gönderilmesi, dışarıdan gelen personelin veriyi kopyalayıp kurum dışına çıkarmasının engellenmesi. Bu metinler yönetmelik değil, ama denetimde ölçü olarak kullanılıyor; Kurul teknik ve idari tedbirlerin yeterliliğini büyük ölçüde kendi yayımladığı rehberler üzerinden değerlendiriyor.

Şirket tarafında süreç aslında basit, sadece yazılı olması gerekiyor. Cihaz servise çıkmadan önce hangi kişisel veriyi barındırdığı belirlenir, disk sökülebiliyorsa sökülür ve şirkette kalır, sökülemiyorsa cihazın tam disk şifrelemesiyle korunduğu ve şifrelerin servisle paylaşılmadığı doğrulanır. Teslim eden ve teslim alan kişi, tarih, cihaz seri numarası ve verinin durumu bir tutanağa yazılır, cihaz döndüğünde aynı tutanak kapatılır. Yedek almadan cihaz göndermek de ayrı bir risk, çünkü onarım sırasında silinen veri geri gelmiyor. Kiralık yazıcı ve fotokopi makineleri bu listenin en çok atlanan kalemi. Silme rehberi çevre birimlerini tek tek sayıyor: veri kayıt ortamı çıkarılabilen yazıcı ve parmak izli kapı geçiş sistemi gibi birimlerde tüm kayıt ortamlarının söküldüğünün doğrulanması, veri kayıt ortamı sabit olanlarda ise cihazdaki silme komutu yok etme anlamına gelmediği için uygun yok etme yöntemlerinin uygulanması gerekiyor. Üç yıllık kira sözleşmesi dolan bir fotokopi makinesinin diskinde taranmış kimlik, bordro, sağlık raporu ve sözleşme birikmiş olabilir. Cihaz tedarikçiye döndüğünde bunlar da gitmiş olur ve kimse fark etmez.

Servisin hukuki konumu ikili. Şirketin cihazını onarırken şirketin talimatı çerçevesinde hareket ettiği ölçüde veri işleyendir, müşterisinden aldığı ad, telefon, adres, IMEI ve arıza kaydı bakımından kendi başına veri sorumlusudur. Kanun'un 12. maddesinin ikinci fıkrası, verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi halinde veri sorumlusunu güvenlik tedbirlerinin alınması bakımından o kişiyle birlikte müştereken sorumlu tutuyor; üçüncü fıkra kendi kurum veya kuruluşunda gerekli denetimleri yapma ya da yaptırma yükümlülüğü getiriyor. Güvenlik rehberinin idari tedbirler tablosunda sözleşmeler ve gizlilik taahhütnameleri ayrı satırlar halinde duruyor. Servisle imzalanacak metinde aranacaklar belli: onarım dışında hiçbir amaçla veriye erişilmeyeceği, alt yükleniciye devrin izne bağlı olduğu, cihaz içeriğinin kopyalanmasının yasak olduğu, ihlal halinde derhal bildirim, işlem sonunda alınan geçici kopyaların imhası ve imhanın kayda geçirilmesi. Teslim fişinin arkasındaki "cihaz içindeki verilerden sorumlu değildir" ibaresi bunların yerine geçmiyor. O ibare Kanun'dan doğan yükümlülüğü ortadan kaldırmaz, en fazla taraflar arasındaki tazminat tartışmasında gündeme gelir.

Teknik servis dosyalarında Kurul'un en bilinen kararı cihazın içiyle değil, servisin kendi takip sistemiyle ilgili. 14 Şubat 2019 tarihli ve 2019/23 sayılı karara konu olayda servis, cihaz girişi yapıldığında müşteriye bir form numarası veriyor, müşteri de bu numarayla cihazının durumunu internet üzerinden sorgulayabiliyordu. Numaranın son haneleri değiştirildiğinde başka kişilere ait ad, soyad, adres ve cihaz IMEI bilgilerine erişilebildiği ortaya çıktı. Kurul, Kanun'un 12. maddesinin birinci fıkrası kapsamında gerekli teknik ve idari tedbirlerin alınmadığını tespit etti, güvenlik açığının giderilmesi talimatını verdi ve 150.000 TL idari para cezası uyguladı. Dosya orada kapanmadı. 5 Mart 2019 tarihli ve 2019/52 sayılı kararda, sorgulama ekranında ek bir doğrulama olmaksızın farklı numaralarla farklı cihazların bilgisine hala erişilebildiği görüldü ve Kurul kararının yerine getirilmemesi nedeniyle 50.000 TL daha ceza kesildi. Buradaki hata pahalı olduğu kadar yaygın. Sıralı takip numarası tek başına kimlik doğrulaması değildir; sorgu ekranında numaranın yanında en az bir doğrulama unsuru, örneğin telefon numarasının son haneleri veya tek kullanımlık kod yoksa sistem herkese açık sayılır.

Cihazın içine erişim tarafında sorun teknolojik değil, insani. Onarım için ekran kilidini açmak gerekiyorsa gerekçesi yazılı olsun, şifre servis formuna not edilmesin, işlem bittiğinde müşteri şifresini değiştirsin. Teknisyenin galeriyi, mesajları veya belgeleri açması onarım için gerekli olmadığı sürece hukuka aykırı bir işlemedir ve buradaki yaptırım yalnızca idari değil. Türk Ceza Kanunu'nun 136. maddesi kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi için iki yıldan dört yıla kadar hapis cezası öngörüyor. 137. madde, suçun belli bir meslek veya sanatın sağladığı kolaylıktan yararlanılarak işlenmesi halinde cezanın yarı oranında artırılmasını emrediyor. Müşterinin fotoğraflarını kendi telefonuna kopyalayan teknisyen tam olarak bu tanımın içine giriyor. Servis sahibi için de tablo rahat değil, personelin bunu yapabilmesine imkan veren düzen Kanun'un 12. maddesi bakımından kendi ihlali sayılır. Tedbirler sıkıcı ama işe yarıyor: onarım tezgahında kişisel telefon bulundurmama kuralı, USB yazma yetkisinin kapatılması, atölyede kamera, gizlilik taahhütnamesi ve her teknisyenin hangi cihaza dokunduğunun kayda geçmesi.

Bir telefonun içinde yalnızca sahibinin verisi yok. Rehberdeki numaralar, yazışmalar, fotoğraflardaki diğer insanlar, çocuk görüntüleri, tahlil sonuçları ve reçete fotoğrafları da orada duruyor. Bu içeriğin bir kısmı Kanun'un 6. maddesi anlamında özel nitelikli kişisel veridir ve işlenmesi daha katı şartlara bağlıdır. Servis için sonuç şu: cihazı onarmak için içeriği gezmek gerekmiyorsa gezilmez, gerekiyorsa sınırı önceden belirlenir. Veri kurtarma hizmeti veriyorsanız durum daha ağır, çünkü işin tanımı gereği içeriğe bakılıyor. O halde hangi personelin hangi dosyaya eriştiği, kurtarılan verinin nerede ne kadar tutulduğu ve teslimden sonra kopyaların ne zaman silindiği kayıt altına alınmalı. Teslimden sonra atölyede kalan geçici kopya, dosyaların en sık sızdığı yer. Müşteri cihazını aldı, dosya sunucusunda bir yedek klasörü kaldı, aylar sonra kimsenin hatırlamadığı bir klasör yüzünden ihlal bildirimi yapılıyor.

Cihaz yurt dışına gidiyorsa ayrı bir kapı açılıyor. Kanun'un 9. maddesi kişisel verinin yurt dışına aktarılmasını kendi rejimine bağlıyor ve bir dizüstü bilgisayarın diskiyle birlikte yurt dışındaki üretici servisine gönderilmesi de bir aktarımdır. Kurul bugüne kadar hiçbir ülke için yeterlilik kararı yayımlamadı, dolayısıyla çoğu şirket için yol standart sözleşmeden geçiyor; standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi zorunlu ve usul ile esaslar 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan yönetmelikte düzenlendi. Aynı mantık uzaktan destek için de geçerli. Yurt dışındaki bir destek ekibi uzak masaüstü bağlantısıyla sizin sisteminize giriyorsa veri fiziksel olarak hareket etmese de erişim sağlanmış olur. En temiz çözüm çoğu zaman en basiti: diski çıkarıp Türkiye'de tutmak, yurt dışına yalnızca arızalı donanımı göndermek.

Eski cihazı satmak, bağışlamak veya hurdaya vermek başka bir başlık. Fabrika ayarlarına döndürmek, güncel ve tam disk şifrelemesi açık bir telefonda pratikte işe yarar, çünkü şifreleme anahtarı da yok edilir. Şifrelemesi olmayan eski cihazlar, hafıza kartları ve harici diskler için aynı şey geçerli değil. Silme rehberi mobil telefonların sabit hafıza alanlarında silme komutu bulunduğunu ancak çoğunda yok etme komutu bulunmadığını açıkça yazıyor ve yok etme yöntemlerini sayıyor: manyetik medyanın özel bir cihazdan geçirilerek yüksek değerde manyetik alana maruz bırakılması, yani de-manyetize etme; eritme, yakma ya da toz haline getirme gibi fiziksel yok etme; manyetik ve yeniden yazılabilir optik medya üzerine en az yedi kez rastgele veri yazma. Katı hal disklerde üzerine yazma veya de-manyetize etme başarılı olmazsa fiziksel yok etme gerekiyor. Cihazı elden çıkarmadan önceki liste kısa: bulut hesabından ve cihaz bulma servisinden çıkış, SIM ile hafıza kartının çıkarılması, eşleşmiş saat ve kulaklık bağlantılarının kaldırılması, ardından silme. Şirket cihazlarında buna bir satır daha ekleniyor, imha tutanağı.

Telefonunu yenileme merkezine verenler için mevzuat bu yıl değişti. Yenilenmiş Ürünler Hakkında Yönetmelik 27 Haziran 2026 tarihli ve 33293 sayılı Resmî Gazete'de yayımlandı, 18. maddesi uyarınca 1 Ağustos 2026'da yürürlüğe girdi ve 17. maddesiyle 22 Ağustos 2020 tarihli Yenilenmiş Ürünlerin Satışı Hakkında Yönetmelik'i yürürlükten kaldırdı. Eski yönetmeliğin 11. maddesinin üçüncü fıkrası, kullanılmış malın kişisel veri barındırması halinde tüketiciden, malın içindeki verilerin yenileme merkezi tarafından herhangi bir veri işleme yapılmadan yok edileceğine dair onay alınmasını istiyordu. Yeni yönetmelik bu ayrıntıyı ayrı bir hüküm olarak tekrarlamıyor; 15. maddesi kapsamdaki tüm kişisel veri işleme faaliyetlerinde 6698 sayılı Kanun ile ikincil mevzuata uyulmasını zorunlu tutuyor, 14. maddesi de yönetmelikte düzenlenen işlemlere ilişkin bilgi ve belgelerin beş yıl saklanmasını emrediyor. Sorumluluk azalmadı, yer değiştirdi. Yenileme merkezi için doğru kurgu şu: teslim alınan cihazdaki veriyi hiç incelemeden, uygun yöntemle yok etmek ve bunu belgelemek. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'in 7. maddesinin üçüncü fıkrası, bu işlemlerin tamamının kayıt altına alınmasını ve kayıtların diğer hukuki yükümlülükler hariç en az üç yıl saklanmasını istiyor. Cihazı teslim eden tüketiciye tavsiye ise değişmedi: veriyi kendiniz silin, hesap çıkışını kendiniz yapın, teslim belgesine cihazın veri durumunu yazdırın.

İş ters gittiğinde takvim işlemeye başlıyor. Servise gönderilen diskten veri sızdığı, kargonun kaybolduğu ya da atölyeden cihaz çalındığı anlaşıldığında, Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı gereği ihlalin öğrenilmesinden itibaren 72 saat içinde Kuruma bildirim yapılması, ilgili kişilere de makul olan en kısa sürede ulaşılması gerekiyor. Veri işleyen sıfatıyla hareket eden servis bildirimi kendi başına yapmaz, gecikmeksizin veri sorumlusuna haber verir; sözleşmede bu cümle yoksa ihlalin öğrenilme tarihi tartışmalı hale gelir. Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi 2026 tutarlarıyla 256.357 TL ile 17.092.242 TL arasında idari para cezası anlamına geliyor. Bireysel kullanıcı tarafında yol daha kısa. Servise yazılı başvuru yapılır, veri sorumlusu talebi en geç otuz gün içinde sonuçlandırmak zorundadır; cevap yetersizse ya da hiç gelmezse cevabı öğrenme tarihinden itibaren otuz ve her halde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikayet edilebilir. Fotoğrafların kopyalandığı veya paylaşıldığı bir olayda savcılığa suç duyurusu da gündeme gelir. Elinizde servis fişi, teslim tutanağı ve yazışma varsa dosya çok daha güçlü olur.

Kalanı kısa bir kontrol listesine sığıyor: servise çıkacak cihazların envanteri tutuluyor mu, disk sökme ya da şifreleme kuralı yazılı mı, teslim ve iade tutanağı düzenleniyor mu, servis ve tedarikçilerle veri işleyen sözleşmesi ile gizlilik taahhütnamesi imzalandı mı, takip ve sorgulama ekranında doğrulama unsuru var mı, teknisyenlerin hangi cihaza eriştiği kayda geçiyor mu, kiralık yazıcı ve fotokopi makinelerinin iadesinde disk prosedürü uygulanıyor mu, yurt dışına gönderim varsa standart sözleşme ve beş iş günlük bildirim tamam mı, elden çıkarılan cihazlar için yok etme yöntemi ve imha tutanağı belirlendi mi. Bu soruların birkaçında net cevap veremiyorsanız, KVKK Danışman'ın ücretsiz ön değerlendirmesinde cihaz envanterinizi, servis sözleşmelerinizi ve imha prosedürünüzü birlikte gözden geçirip önce hangi adımı atmanız gerektiğini çıkarabiliriz.

Randevu Al