Yazar ve hukuk bürosu hakkında
Avukat Emirhan Keskin
Türkiye’deki hukuki süreçlere ilişkin içerikler hazırlar ve Mersin’den hukuki hizmet sunar. Yayınlar güncel resmî kaynaklar üzerinden denetlenir.
Hukuki bilgilendirme
Bu yayın, belirtilen kontrol tarihi itibarıyla Türk hukuku hakkında genel bilgi verir. Avukat–müvekkil ilişkisi kurmaz; belge, süre, görev, yetki ve güncel mevzuat somut dosyada ayrıca incelenir.
İletişime geçinMüşterilere gönderilen toplu e-postanın “Alıcı” veya “CC” alanında tüm adreslerin görünmesi, bu adresler kişileri belirliyorsa üçüncü kişilere kişisel veri açıklanmasına yol açabilir. Mesajın içeriği zararsız olsa da alıcı listesi ayrı veri taşır. Olayın kapsamı belgelenmeli; işletmeden açıklama, tekrarın önlenmesi ve gereken ihlal işlemleri istenmelidir.
Mesaj metni kadar alıcı alanı da önemlidir
Bir işletme kampanya duyurusunu yüz müşteriye tek e-postayla gönderdiğinde alıcıların birbirlerinin adresini görmesi mümkün olabilir. Adres gerçek kişiyi belirliyorsa kişisel veridir. Bir e-posta adresinde ad ve soyadı bulunması açık örnektir; takma adlı adres de işlem geçmişi veya başka kayıtla kişiye bağlanabilir. Tamamen kurumun genel iletişim adresinin niteliği ise somut değerlendirilir.
Alıcıların birbirini tanımaması açıklamanın önemini artırabilir. Bazı durumlarda adresin yanında belirli müşteri grubuna dahil olma bilgisi de anlaşılır. Sağlık hizmeti, dernek, danışmanlık veya başka hassas ilişkiyi ortaya koyan dağıtım listelerinde mesajın başlığı daha fazla bilgi açıklayabilir. Her müşteri listesi otomatik özel nitelikli veri değildir; fakat bağlam, açıklanan verinin niteliğini değiştirebilir.
CC kullanılması neden aktarım sayılabilir?
CC alanındaki adresleri diğer alıcılar görebilir. Bu nedenle verinin yalnız gönderen işletmeyle ilgili kişi arasında kaldığı söylenemez. 6698 sayılı Kanunun 8. maddesindeki aktarım şartları ve 12. maddesindeki güvenlik yükümlülükleri değerlendirilir. “Herkes zaten e-posta kullanıyor” veya “adreslerinizi paylaşmadık, yalnız mesaj gönderdik” açıklamaları görünür alıcı alanını gözden kaçırır.
Kurulun 2023/928 sayılı üniversite kararında e-posta yoluyla üçüncü kişilere veri aktarımı incelenmiştir. Kararın olayında ek dosya ve çeşitli kişisel bilgiler bulunur; yalnız CC alanından ibaret her gönderiye verilmiş özel karar değildir. Bu yazıda aynı sonucun otomatik çıkacağı iddia edilmez. Karar, e-posta gönderiminin de aktarım oluşturabileceği ve sonradan silmenin gerçekleşmiş açıklamayı tamamen yok etmeyeceği yönünde örnektir.
BCC çözümü her sorunu giderir mi?
Gizli alıcı alanı, diğer müşterilerin adresleri görmesini önleyen teknik bir yöntem olabilir. Ancak yanlış adres seçimi, hatalı ek dosya veya mesaj metninde başka müşteri bilgisinin bulunması ayrı risklerdir. Bu nedenle yalnız BCC kullanmak bütün KVKK yükümlülüklerinin yerine getirildiği anlamına gelmez. İşletmenin gönderim kontrolü, yetkilendirme ve kullanıcı eğitimi de önemlidir.
Bireysel gönderim sistemi veya uygun dağıtım aracı kullanılabilir. Burada araçların reklamı değil, veri açıklamasının kapsamını sınırlandırma ilkesi önemlidir. Liste üzerindeki her adresin doğru alıcıya ait olması gerekir. Müşteriye yanlış yazılmış adresi doğrulatmadan belge göndermek başka kişinin verisine erişim yaratabilir. Kampanya ile işlem bildirimi için kullanılan hukuki dayanaklar da birbirinden ayrılmalıdır.
Olay nasıl belgelenir?
E-postanın özgün dosyası, gönderen adresi, gönderim tarihi ve görünür alıcı alanı korunmalıdır. Yalnız metni kopyalamak teknik bağlamı kaybettirebilir. Görüntü alınırken başvuru için gerekli kapsam seçilir. Listeyi yeni bir toplu e-postayla diğer alıcılara gönderip tartışma başlatmak, açıklamanın daha fazla yayılmasına yol açabilir. Yanıtla-tümüne seçeneği bu nedenle dikkatle kullanılmalıdır.
- E-postanın özgün örneği ve gerekiyorsa başlık bilgileri.
- Alıcı listesinde kendi adresinizin yer aldığı bölüm.
- Mesajın müşteri ilişkisini açıklayan başlık ve içeriği.
- Gönderenin özür, düzeltme veya silme talebi mesajı.
- Olay sonrasında gelen istenmeyen iletilerin kayıtları.
Aynı listeden istenmeyen mesaj gelmesi önemli olabilir fakat kaynağın kesin o liste olduğu varsayılmamalıdır. Adres başka yerlerde de bulunuyor olabilir. Olay sonrası sonuçlarla veri aktarımı arasındaki ilişki araştırılır. Başvuruda kesin bilinen açıklama ve tahmin edilen etkiler ayrı yazılmalıdır. Başkalarının adreslerini internet ortamında sergileyerek ihlali ispatlamak gerekli değildir.
İşletmeye hangi sorular sorulabilir?
İlgili kişi kendi adresinin hangi kişilerle paylaşıldığını, açıklamanın hangi sebeple gerçekleştiğini ve tekrarını önlemek için alınan önlemleri sorabilir. Yanlışlıkla gönderildiği söyleniyorsa olayın tespit ve müdahale tarihleri istenebilir. İşletmenin alıcılara silme talebi göndermesi yararlı olabilir; fakat alıcıların gerçekten sildiğinin mutlak olarak garanti edilmesi mümkün olmayabilir.
Kanunun 12. maddesi kapsamında veri ihlali bildirimi gerekip gerekmediği somut incelenir. Her gönderimde aynı büyüklükte risk yoktur. Kurula bildirim yükümlülüğünün muhatabı kural olarak veri sorumlusudur; müşterinin bireysel şikâyeti bununla aynı işlem değildir. İşletmenin “siz şikâyet edin, bizim bildirim yapmamıza gerek yok” yaklaşımı kendi yükümlülüklerini ortadan kaldırmaz.
Başvuru süresi ve ayrıca tazminat
KVKK şikâyet yolu kullanılacaksa önce veri sorumlusuna başvurulur. Cevap reddedilmiş veya yetersizse öğreniminden otuz gün ve başvurudan altmış günlük üst sınır dikkate alınır. Otuz gün cevap gelmemesi de şikâyet imkânı verir. Gönderim tarihiyle veri başvurusu tarihi ayrı kaydedilir. İşletmenin genel özür e-postası, bütün somut soruları karşılayan bir başvuru cevabı olmayabilir.
Kişilik hakkı ihlali veya maddi zarar nedeniyle tazminat talepleri ayrı değerlendirilir. Bir adresin açıklanması nedeniyle her kişiye sabit bedel ödeneceği söylenemez. Zarar, müdahalenin niteliği ve hukuki dayanak araştırılır. Kurulun idari cezası, alıcılara paylaştırılan tazminat değildir. Aynı mesajın sağlık ilişkisi gibi daha hassas bilgi açıklaması halinde değerlendirme daha farklı kurulabilir.
Varsayımsal örnek ve sık hatalar
Bir danışmanlık işletmesinin aylık duyuruyu müşterilerin ad-soyad içeren adreslerini CC alanına koyarak gönderdiğini düşünelim. Bir müşteri işletmeden açıklama istiyor. İşletme “mesajda size ait hiçbir özel bilgi yok” diyor. Oysa kişiyi belirleyen e-posta adresi ve müşteri olma ilişkisi ayrıca incelenir. İnceleme yalnız e-posta metnindeki ayrıntılara indirgenemez.
Başvurucu listeyi sosyal medyada paylaşmadan özgün mesajı saklar; işletmeden alıcı kapsamını ve önlemleri sorar. Gönderenin sonraki mesajda BCC kullanması tekrarın önlenmesine yardımcı olur fakat ilk aktarımı geriye dönük yok etmez. Sık hata, e-postanın geri çağrılma bildirimi geldiği için bütün alıcılardaki kopyaların silindiğini sanmaktır. Geri çağırma her posta sisteminde kesin sonuç vermeyebilir; teknik akıbet doğrulanmalıdır.
Ek dosyayı da kontrol etmek gerekir
Alıcı alanı kapalı olsa bile e-posta ekindeki tabloda başka müşterilerin bilgileri bulunabilir. Bu nedenle incelemede mesajın başlığı, ek dosya ve dağıtım listesi ayrı kontrol edilir. Birinde alınan önlem diğerindeki açıklamayı kendiliğinden gidermediği için başvuru açıklanan her veri kategorisini belirtmelidir.
Sık sorulan sorular
Sadece e-posta adresim görünüyorsa KVKK uygulanır mı?
Adres sizi belirliyor veya belirlenebilir kılıyorsa kişisel veri olabilir. Mesajın başka ayrıntı içermemesi bu değerlendirmeyi ortadan kaldırmaz.
Gönderen e-postayı geri çağırırsa ihlal hiç olmamış mı sayılır?
Hayır. Geri çağırmanın teknik sonucu ve önceki erişim incelenir. Sonradan düzeltme, gerçekleşmiş açıklamayı kendiliğinden yok etmez.
Tüm alıcılara cevap vererek şikâyet etmem doğru mu?
Yanıtla-tümüne seçeneği listeyi ve yeni kişisel bilgileri yeniden açıklayabilir. Başvuruyu ilgili işletmeye doğrudan ve kayıtlı kanaldan yapmak daha uygundur.
Dosyanın değerlendirilmesi
Özgün e-posta, görünür alıcı alanı ve işletmenin açıklaması üzerinden açıklanan verinin kapsamı, ihlal önlemleri ve başvuru süresi incelenebilir. Mersin merkezdeki ofisimizden Türkiye genelindeki dosyaların hukuki değerlendirmesi ve sürecin yönetilmesi için iletişim sayfamız üzerinden başvurabilirsiniz. Sonuç yetkili makamın incelemesine ve dosyaya bağlıdır.
Bağlantılı konular: KVKK şikâyet süreleri; Kişisel veri ihlalinde tazminat; Veri düzeltmenin diğer şirketlere bildirilmesi.
Resmî kaynaklar: Türk Borçlar Kanunu (6098)