Yurtiçi Kargo, çalışanının paylaşımından sorumlu mu, değil mi?

İki günden beri sosyal medyanın TT listesinin ilk sıralarında #yurtiçikargocevapver etiketiyle paylaşılan habere ilişkin KVVK uzmanı Avukat Nisan Doğan’ın görüşünü aldık.

Kısaca durum şöyle gelişmişti; “İstanbul Kadıköy’de maske takmadığı gerekçesiyle polislerle tartışan, sonrasında ise gözaltına alınmak istenen kadının görüntüleri sosyal medyada yer bulmuştu. Bir Yurtiçi Kargo çalışanının müşteri veri sistemine girerek bahsi geçen kadının adresini bulduğu ve sonrasında “katliam” çağrısında bulunduğu iddiasında bulunulmuştu.” Bu durumda soru, kargo şirketinin ne kadar sorumlu olduğuydu.

Avukat Doğan, Yurtiçi Kargo’nun çalışanının paylaşımı nedeniyle ne kadar sorumlu olduğunu kanununun ilgili maddelerine dayandırarak açıkladı. Avukat Nisan Doğan’a göre şirketler çalışanlarının bu tür kural ihlallerinden sorumlu. Nisan Doğan’ın açıklamasının tamamını yayınlıyoruz;

“Kargo şirketlerinin verileri almak üzere hukuki bir dayanağı olmakla birlikte aldıkları verileri korumaya yönelik olarak gerekli idari ve teknik tedbirleri almak zorundadırlar. Basına da yansıyan bir kargo şirketi çalışanın yaşanan bir olay sonrası olaya konu kişi hakkındaki T.C. adres bilgisi gibi kişisel verileri Kargo şirketinin sisteminden temin ederek kamu ile paylaşması aşağıda bahsedilen işleme amacını aşan ve hukuka aykırı bir işlemdir. Kişi ilgili eylemi bireysel olarak yapsa dahi bünyesinde çalıştığı ve Veri Sorumlusu sıfatını haiz Kargo şirketinin ilgili çalışanın yapmış olduğu eylemi sebebi ile sorumluluğu bulunmaktadır. Bu noktada Kargo şirketinin verileri bulundurduğu alanlara yönelik gerekli idari ve teknik tedbirleri alıp almadığı, çalışanlarına farkındalık eğitimi verip vermediği, süreçle ilgili olmak üzere organizasyonu içerisinde gerekli denetimleri yaparak erişim kontrollerini sağlayıp sağlamadığı değerlendirilecek ve kargo firması hakkında cezai işlem uygulanıp uygulanmayacağına karar verilecektir.

Bireysel olarak kasti nitelikte bir hareketle bir kişiye ait kişisel verileri yasaya aykırı olarak ve kişinin özel hayatını ifşa eder biçimde paylaşan kargo çalışanının eylemi suç niteliğinde olup çalışan hakkında da gerekli cezai sürecin başlatılması gerekmektedir.

Her gün yeni bir ihlal ile karşılaşıyoruz

Şirketlerin iş listelerinin önemli başlıklarından biri olan Kişisel Verilerin Korunması Kanunu ile uyum hususuna ilişkin yeni uygulama örnekleri hayatımıza girmeye başladı. Kişisel verileri Koruma Kurulunun resmî internet sitesinde her gün yeni bir ihlal başlığı ile karşılaşıyoruz.

Şirketler müşterileri ile olan ilişkilerinde KVKK gereği zorunlu olan hususları yerine getirmektedirler. Bunlardan en önemlisi de işlenen kişisel verilerine ilişkin olarak müşterilerini aydınlatması ve gerekmesi halinde açık rızalarını almalarıdır. Bu yükümlülüklerini yerine getirirken de verileri işlemeye dayanak hukuki argümanları ortaya koymaktadırlar. Müşteriler kendilerine gelen aydınlatma metinleri ile hangi verilerinin hangi hukuki gerekçelerle işlendiği hakkında fikir ve bilgi sahibi olmaktadır.

Kişiler özellikle T.C. kimlik numarası gibi bizler için gizlilik ve önem seviyesi yüksek verileri paylaşırken bu paylaşımın sebebini öğrenmek istemektedirler. Özellikle Kargo firmaları gibi her işlemimize ilişkin bu bilgilerin talep edildiği uygulamalar hepimizin dikkatini çekmekte ve Kargo çalışanlarının bizlere herhangi bir kimlik kartı ibraz etmeksizin kimliğimizi görme istekleri güvensizlik yaratmaktadır.

Kargo şirketleri Bilgi Teknolojileri ve İletişim Kurumunun “Posta Gönderilerine İlişkin Güvenlik Tedbirlerine İlişkin Usul ve Esaslar” başlıklı 27/12/2016 tarihli ve 2016-DK-YED/517 numaralı kararı gereği ad, soyad, T.C. kimlik numarası, açık adres ve telefon numarası verilerini işleyebilmektedirler.

Karar’ın ilgili bölümü aşağıda yer aldığı gibidir:

“(2)Hizmet sağlayıcılar tarafından, posta gönderilerinin alıcıya teslimi aşamasında; asgari olarak; teslim alanın, adı-soyadı, TC kimlik numarası (yabancı uyruklular için pasaport numarası, uluslararası geçerliliği olan muadili belgenin numarası veya TC yetkili mercilerince verilmiş kimliği tespite yarayan belge numarası) kayıt altına alınır ve gerektiğinde ilgili mercilere sunmak üzere gizliliği sağlanarak en az iki yıl süreyle saklanır. Alıcının kimlik bilgilerini vermek istememesi durumunda gönderi teslim edilmez, göndericisine iade edilir.

(3) Hizmet sağlayıcıya gönderileri teslim edenin kimlik bilgilerinin doğruluğu, Türk uyruklular için TC kimlik kartı veya TC nüfus cüzdanı, TC sürücü belgesi veya pasaport ibraz ettirilerek, yabancı uyruklular için pasaport, uluslararası geçerliliği olan muadili belge veya TC yetkili mercilerince verilmiş kimliği tespite yarayan belge ibraz ettirilerek teyit edilir.”

Bu hükümle birlikte Kargo firması çalışanlarının da bilgileri istemeden önceden kişilere kurumsal kimlik belgelerini ibraz etmeleri gerekmektedir. İlgili hüküm aşağıda yer aldığı gibidir.

Kullanıcıların hizmet sağlayıcıları hakkında bilgi sahibi olması:

MADDE 5 – (1) Posta hizmetinde kullanılan işyerlerinde, araçlarda ve kıyafetlerde, gönderinin kabulü ve alıcıya teslimi aşamasında ilgili hizmet sağlayıcının kurumsal amblem/logo, marka ismi gibi ayırt edici işaretinin ve/veya ilgili personelin personel kimlik kartının görünür bir şekilde bulunması zorunludur.”