Kuryenin müşteriye taciz mesajı: kargo şirketi sorumlu tutuldu — 2023/845 kararı

Karar 2023/845 · 18 Mayıs 2023 · KOBİ özeti: Muhammet Çay · Yayın 2026-09-02

Kısa cevap: Kurul, parça başı çalışan alt yüklenici kuryenin müşteri numarasını kişisel amaçla kullanmasından kargo şirketini sorumlu tuttu: kişiye veri koruma eğitimi verilmemiş, telefon numarası kurye ekranında açıkça görünüyordu ve şirket bu kişileri fiilen çalıştırıyordu. 250.000 TL idari para cezası.

Uyarı: Bu sayfa, Kişisel Verileri Koruma Kurulu'nun kamuya açık karar özetinin işletme diliyle yeniden anlatımıdır; hukuki görüş veya danışmanlık değildir. Kararın resmî metni için kvkk.gov.tr kaynağına gidin; kendi durumunuz için bir hukukçuya danışın.

Olay

Bir müşteri, kargosunu teslim eden kuryeden teslimattan kısa süre sonra taciz içerikli bir mesaj aldı. Numarayı kargo barkodundan öğrenen kişi hakkında ceza yargılaması başladı; kişi ifadesinde şirkette geçici olarak çalıştığını beyan etti.

Kargo şirketi Kurul'a verdiği savunmada kuryenin kendi çalışanı olmadığını, parça başı hizmet aldığı bir tedarikçinin getirdiği üçüncü kişi olduğunu, dolayısıyla eylemden sorumlu tutulamayacağını ileri sürdü. Olaydan sonra barkod etiketlerinde telefon numaralarının maskelenmeye başlandığını da ekledi.

Kurul ne dedi?

Kurul, sorumluluğu kâğıt üzerindeki iş sözleşmesine değil fiilî duruma göre belirledi. Kurye, şirketin gönderilerini şirketin sistemleriyle teslim ediyor; müşteri numarasına şirketin verdiği etiket üzerinden erişiyordu. Borçlar Kanunu'ndaki adam çalıştıranın sorumluluğu ve İş Kanunu'ndaki asıl işveren–alt işveren ilişkisine atıfla, şirketin veri sorumlusu sıfatının bu yapıyla ortadan kalkmadığı belirtildi.

Asıl eksiklik idari tedbirlerdeydi: sahada müşteri verisine erişen kişiye hiçbir veri koruma eğitimi veya gizlilik bilgilendirmesi yapılmamış, telefon numarası etikette açıkça yazılmıştı. Kurul, bir çalışanın verileri kötüye kullanma ihtimaline karşı veri sorumlusunun 'gerekli her türlü teknik ve idari tedbiri' almakla yükümlü olduğunu hatırlattı. Numara maskelemenin ancak olaydan sonra başlatılması, tedbirin daha önce alınabilir olduğunu gösteriyordu.

Sonuç: veri güvenliği yükümlülüğünün ihlali nedeniyle 250.000 TL idari para cezası.

Dayanak

• KVKK m. 12/1 — Verilere hukuka aykırı erişimi önlemek için gerekli teknik ve idari tedbirler.
• KVKK m. 12/4 — Veri sorumlusu adına veriyi işleyen kişiler, öğrendikleri verileri başkasına açıklayamaz ve amaç dışı kullanamaz.
• TBK m. 66 ve İş K. m. 2 — Adam çalıştıranın sorumluluğu; asıl işveren–alt işveren ilişkisi.
• KVKK m. 18/1-b — İdari para cezasının dayanağı.

KOBİ için üç ders

1. Alt yüklenici de sizin insanınızdır

   Kurye, temizlik, güvenlik, çağrı merkezi… Müşteri verisine dokunan herkes için giriş eğitimi ve imzalı gizlilik taahhüdü isteyin; tedarikçi sözleşmesine bunu yazın.

2. Ekranda görünen veriyi azaltın

   Kurye uygulamasında numarayı maskeleyin, arama ve mesajı uygulama içinden geçirin. Etikette tam telefon yazması artık bir tercih değil, bir risk.

3. Olay olmadan önce tedbir, olduktan sonra kayıt

   Kurul, sonradan alınan tedbiri 'daha önce alınabilirdi' diye okudu. Yıllık eğitim listesi, taahhütname ve erişim yetki matrisi olay anında elinizde olsun.

Bu kararla ilgili belge ve araçlar

• Kargo ve lojistik şirketleri için veri envanteri — kurye erişimi ve alt yüklenici süreçleri
• Çalışan aydınlatma metni şablonu
• KVKK ihlali nedir, ne zaman bildirilir
• E-ticaret için veri envanteri