Şirket Bilgileri Kişisel Veri Sayılır mı? Tüzel Kişiler KVKK Kapsamında mı, Kurumsal E-Posta ve Şahıs İşletmesinde Durum Ne?

Kısa cevap: hayır. 6698 sayılı Kişisel Verilerin Korunması Kanunu yalnızca gerçek kişileri koruyor. Bir anonim ya da limited şirketin unvanı, vergi kimlik numarası, ticaret sicil numarası, merkez adresi veya borç bilgisi tek başına kişisel veri değil. Ama bu cümleyi "kurumsal müşteri klasörüm KVKK'nın dışında" diye okumak pahalıya mal olur. Kapsam dışında kalan şey şirketin tüzel kişiliği, o dosyanın içindeki insanlar değil. Tipik bir kurumsal müşteri kaydına bakın: yetkilinin adı soyadı, cep telefonu, ad.soyad@firma.com biçiminde bir e-posta adresi, imza sirkülerindeki kimlik numarası, satın alma müdürüyle yapılan yazışmalar. Kanun şirketle değil, tam olarak bu satırlarla ilgileniyor.

Ayrım kanun metninde açıkça kurulmuş. 2. madde, hükümlerin kişisel verileri işlenen gerçek kişiler ile bu verileri işleyen gerçek ve tüzel kişiler hakkında uygulanacağını söylüyor. 3. maddede kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak; ilgili kişi ise kişisel verisi işlenen gerçek kişi olarak tanımlanıyor. Tüzel kişi tabloda tek bir yerde geçiyor, o da yükümlü tarafta. Şirketiniz veri sorumlusu olabilir, idari para cezasının muhatabı olabilir, ama ilgili kişi olamaz. Kişisel Verileri Koruma Kurulu bunu 19 Kasım 2018 tarihli ve 2018/131 sayılı kararında açıkça söyledi: gerçek kişilere ait veriler Kanun kapsamındadır, tüzel kişilere ait veriler kapsamında bulunmamaktadır. Aynı kararın ikinci yarısı uygulamada daha sık unutuluyor. Şirketin, gerçek kişilere ait verilere erişmek için yaptığı başvuru da 11 ve 13. madde kapsamında görülmedi, çünkü bu hak bizzat ilgili kişiye ya da yasal temsilcisine ait.

Peki şirket verisi büsbütün korumasız mı? Hayır, koruma başka kanunlarda duruyor. Türk Ticaret Kanunu'nun haksız rekabete ilişkin hükümleri, üretim ve iş sırlarının hukuka aykırı yollarla öğrenilmesini ve ifşasını dürüstlük kuralına aykırı davranış sayıyor ve tespit, men, tazminat yollarını açıyor. Türk Ceza Kanunu'nun 239. maddesi ise ticari sır, bankacılık sırrı veya müşteri sırrı niteliğindeki bilgi ve belgeleri yetkisiz kişilere veren ya da ifşa eden kişiyi şikayet üzerine bir yıldan üç yıla kadar hapis ve adli para cezasıyla karşılıyor. Gizlilik sözleşmeleri ve sözleşmeye aykırılıktan doğan tazminat da aynı rafta. Doğru kapıyı çalmak zaman kazandırır. Tüzel kişi verisi için Kuruma yapılan şikayet kapsam dışı denilerek kapanırken, haksız rekabet davasının ve ceza şikayetinin süreleri işlemeye devam eder.

Sınırın bulanıklaştığı yer, unvanında kişi adı geçen şirketler. Kurul'un 10 Şubat 2022 tarihli ve 2022/103 sayılı kararı bunun iyi bir örneği. Bir şirketin eski çalışanı, herkese açık bir Facebook grubunda şirket hakkındaki icra dosyasının kapak görselini paylaşıp firmayı dolandırıcılıkla suçlamıştı. Şirketin unvanında şikayetçinin adı geçiyordu. Kurul yine de paylaşımlarda tüzel kişiliğin hedeflendiğini, borç bilgisi, adres ve vergi kimlik numarası gibi bilgilerin gerçek kişinin hak ve menfaatlerinde bir etki doğurmadığını değerlendirip yapılacak bir işlem olmadığına karar verdi. Buradan "unvanda adım geçtiği sürece sorun yok" sonucunu çıkarmayın. Karar olayın kendi koşullarına bağlı. Aynı belge kişinin kendisini hedef alan, onu şahsen borçlu ya da dolandırıcı gösteren bir paylaşımda kullanılsaydı sonuç pekala değişebilirdi.

Şahıs işletmesinde tablo tersine dönüyor. Türk Ticaret Kanunu'nun 41. maddesine göre gerçek kişi tacirin ticaret unvanı, kısaltılmadan yazılacak ad ve soyadından oluşur. Gerçek kişi mükelleflerde vergi kimlik numarası olarak T.C. kimlik numarası kullanılır. Yani veri tabanınızda firma bilgisi diye duran o satır aslında bir insanın adı, soyadı, kimlik numarası ve iş adresidir. Adi ortaklıklarda da tüzel kişilik yoktur, muhatap doğrudan ortakların kendisidir. Limited şirkete kestiğiniz faturayla şahıs işletmesine kestiğiniz fatura hukuken aynı yerde durmuyor. Pratik sonuç şu: müşteri listenizi bir kez baştan sona tarayın ve şahıs işletmelerini ayrı işaretleyin. O kayıtlar kişisel veri envanterine girer, saklama süresi ve imha planı gerektirir, ilgili kişi başvurusuna da konu olur.

Kurumsal e-posta adresi de çoğu zaman kişisel veridir. ad.soyad@firma.com biçimindeki bir adres belirli bir çalışanı gösterir; şirketin değil, o kişinin verisidir. Kurul'un 1 Eylül 2022 tarihli ve 2022/861 sayılı kararı meseleyi pazarlama tarafından ele aldı. Bir avukatın büro e-posta adresini arama motorlarından toplayıp yazılım tanıtımı gönderen pazarlama şirketine idari para cezası verildi; gerekçe, adresin mesleki amaçla internette bulunabilir olmasının reklam amacıyla işlenmesine izin verildiği anlamına gelmemesiydi. info@, satis@, muhasebe@ gibi rol kutuları ise kural olarak belirli bir gerçek kişiyi göstermez. İstisnası var, tek kişinin çalıştığı bir işletmede o kutu da doğrudan kişiye bağlanır. Telefon tarafında da aynı ayrım geçerli: santral numarası ile bir çalışana zimmetli hat farklı şeylerdir.

Şirketler arası pazarlamada en sık yapılan hata iki ayrı mevzuatı birbirine karıştırmak. Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik, tacir veya esnaf olan alıcıların elektronik iletişim adreslerine önceden onay alınmadan ticari elektronik ileti gönderilebileceğini söylüyor. Bu bir kolaylık, sınırsız bir yetki değil. Alıcı reddetme hakkını kullanmışsa gönderim durur, dolayısıyla bu adreslerin de İleti Yönetim Sistemi'ne kaydedilip ret kayıtlarının kontrol edilmesi gerekir. Asıl mesele ise şu: 6563 sayılı Kanun'daki bu istisna 6698'i devre dışı bırakmıyor. Gönderdiğiniz adres bir çalışana aitse kişisel veri işliyorsunuzdur ve Kanun'un 5. maddesinde bir işleme şartına dayanmanız gerekir. Ticaret Bakanlığı mevzuatı karşısında temiz görünen bir kampanya, KVKK karşısında dayanaksız kalabilir.

Aydınlatma yükümlülüğü kurumsal müşteri tarafında da var ve zamanlaması yazılı bir kuralla belirlenmiş. Veriyi kişinin kendisinden almadığınız hallerde, mesela fuar katılımcı listesinden, oda rehberinden ya da müşterinizin size ilettiği yetkili bilgisinden, 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete'de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'in 6. maddesi devreye giriyor. Aydınlatma, verinin elde edilmesinden itibaren makul bir süre içinde yapılmalı; veri kişiyle iletişim amacıyla kullanılacaksa ilk iletişim kurulması esnasında, aktarılacaksa en geç ilk aktarımın yapılacağı anda. Uygulaması zor değil. İlk e-postanın altına aydınlatma metnine giden bir bağlantı ve verinin nereden geldiğini açıklayan iki cümle koymak çoğu durumda yeterli. 2026 yılında aydınlatma yükümlülüğünün ihlali 85.437 TL ile 1.709.200 TL arasında idari para cezasına konu oluyor.

Kurumsal sözleşme dosyalarını açtığınızda tablo iyice netleşiyor. İmza sirküleri, vekaletname, yetki belgesi, ortaklık yapısını gösteren sicil gazetesi, banka hesap bilgisi, zaman zaman da yetkilinin kimlik fotokopisi. Hepsi bir tüzel kişiyle yaptığınız sözleşmenin eki olarak duruyor, ama içerikleri gerçek kişi verisi. İmza sirkülerinde kimlik numarası, doğum yeri ve imza örneği bulunur; bu belgenin herkesin erişebildiği bir ağ klasöründe durması klasik bir açıktır. Kimlik fotokopisi alma alışkanlığı da ayrı bir başlık; kimliği görerek doğrulamak çoğu işlemde yeterliyken belgenin tamamının kopyasını saklamak ölçülülük ilkesine takılır. Kurumsal dosyalara da bireysel dosyalara sorduğunuz soruyu sorun: bu belgeyi hangi hukuki sebeple, hangi amaçla ve ne kadar süre tutuyorum?

Veri ihlali anında "bizim müşterilerimiz şirket" savunması işe yaramıyor. Kurumsal müşteri veri tabanınız sızdığında sızan şey yalnızca firma unvanları olmuyor; yetkili kişilerin adı, kurumsal e-posta adresi, cep telefonu ve çoğu zaman yazışma içerikleri de aynı tabloda yer alıyor. Kanun'un 12. maddesinin beşinci fıkrası ihlalin öğrenilmesinden itibaren en kısa sürede Kurula ve ilgili kişiye bildirim yapılmasını arıyor, Kurul da bu süreyi 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla 72 saat olarak somutlaştırdı. Bildirim kararını verirken sorulacak soru sade: bu veri setinden kaç gerçek kişi belirlenebiliyor? Cevap sıfır değilse süreç işler. Hedefli oltalama saldırılarının kurumsal e-posta adresleri üzerinden yürüdüğü düşünülürse, bu listelerin sızması bireysel listelerden daha zararsız da sayılmaz.

Yükümlü tarafında ise şahıs işletmeleri kendini sık sık kapsam dışı sanıyor. Kanun veri sorumlusunu gerçek veya tüzel kişi olarak tanımlıyor; tek kişilik bir danışmanlık bürosu da, üç çalışanlı bir atölye de veri sorumlusudur. Sicile kayıt tarafında Kurul'un 6 Temmuz 2023 tarihli ve 2023/1154 sayılı kararıyla yükseltilen eşik geçerli: yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları VERBİS kaydından istisna tutuluyor. Dikkat edilecek nokta, istisnanın yalnızca sicile kayıt yükümlülüğüne ilişkin olması. Aydınlatma, geçerli bir hukuki sebebe dayanma, veri güvenliği, saklama ve imha, ilgili kişi başvurusunu en geç otuz gün içinde sonuçlandırma yükümlülükleri eşikten bağımsız biçimde devam ediyor.

Bugün yapılabilecek kısa bir kontrol var. CRM'inizde firma kartı ile kişi kartını ayırın, şahıs işletmelerini işaretleyin, kurumsal iletişim listenizin hangi kaynaktan geldiğini kayıt altına alın, ilk temas e-postasına aydınlatma bağlantısı ekleyin, sözleşme eklerindeki kimlik belgelerini ve erişim yetkilerini gözden geçirin. Bu beş adım, kurumsal tarafı Kanun'un dışında sayan bir envanterdeki en geniş boşlukları kapatır. Şirketlere satış yapan bir işletmeyseniz ve müşteri dosyalarınızın hangi kısmının KVKK kapsamında olduğundan emin değilseniz, KVKK Danışman'ın ücretsiz ön değerlendirmesinde listelerinizin kaynağını, aydınlatma akışınızı ve saklama sürelerinizi birlikte gözden geçirebiliriz.

Randevu Al