Ulaştırma ve Lojistik Kongreleri

Kişisel verilerin Korunması Kanunu ve Kargo Faaliyetlerinin Yürütülmesi

Ezgi Feride Bayındır
Av., Novartis Middele East, , Türkiye

Kargo şirketlerinin faaliyetlerini kargo ve posta sektörünü regüle eden özel kanunlar ve çeşitli mevzuat hükümlerine dayanarak sürdürmekte ve yine bu kapsamda kişisel verilerin işlenmesi faaliyetleri yerine getirmektedir. Bu çalışmanın temel amacı, kargo şirketlerinin gerçekleştirdiği kişisel veri işleme faaliyetinin 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”), ikincil mevzuat ve sektörel düzenlemeler çerçevesinde değerlendirilmesidir. Bilindiği üzere KVKK’nın 4. maddesi kişisel verilerin işlenmesi için genel ilkeler öngörülmüştür. Bu ilkeler; (i) hukuka ve dürüstlük kurallarına uygun olma, (ii) doğru ve gerektiğinde güncel olma, (iii) belirli, açık ve meşru amaçlar için işlenme, (iv) işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, (v) ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmedir. Bununla birlikte KVKK’nın 5. maddesi ise kişisel verilerin işlenme şartlarını ortaya koymuştur. KVKK’nın 5. maddesi kapsamında temel olarak kişisel veriler ilgili kişinin açık rızası olmaksızın işlenmez. Ancak, aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkün kılınmıştır: a) Kanunlarda açıkça öngörülmesi. b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması. c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması. ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması. d) İlgili kişinin kendisi tarafından alenileştirilmiş olması. e) Bir hakkın tesisi, kullanılması veya korunması için veriişlemenin zorunlu olması. f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması. Dolayısıyla, kargo şirketleri faaliyetlerini sürdürürken KVKK’nın 4. maddesi kapsamında öngörülen genel ilkeleri dikkate almak ve 5. maddesi kapsamında kişisel veri işleme faaliyetlerini işleme şartına dayandırması gerekmektedir. KVKK kapsamında kargo şirketlerinin faaliyetlerinin (i) sözleşmenin kurulması ve ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, (ii) veri sorumlusunun hukuki yükümlülüğünün yerine getirilmesi için zorunlu olması ve son olarak da (iii) veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması hukuki işleme şartlarına dayandığı düşünülmektedir. Veri sorumlusunun faaliyetlerini yürütmek için göndericiye ya da alıcıya ilişkin talep ettiği ad-soyadı, T.C. kimlik numarası, telefon gibi bazı kişisel verilerin Karayolu Taşıma Yönetmeliği, 6475 sayılı Posta Hizmetleri Kanunu, Posta Sektörüne İlişkin Yetkilendirme Yönetmeliği, Bilgi Teknolojileri ve İletişim Kurumu'nun (“BTK”) Posta Gönderilerine İlişkin Güvenlik Tedbirlerine Yönelik Usul ve Esaslarına ilişkin kararı gibi sektörel düzenlemeler kapsamında veri sorumlusunun hukuki yükümlülüğünü yerine getirmesine istinaden işlendiği söylenebilecektir. Şunu da belirtmek gerekir ki BTK kararlarının KVKK’nın 5. maddesinde yer alan “kanunlarda açıkça öngörülmesi” hukuki işleme şartını yerine getirip getirmediği konusu ayrı bir çalışmanın konusu olacaktır. Öte yandan kargo faaliyetleri kapsamında kişisel veri toplamanın hukuki sebeplerinden bir diğeri olan sözleşmenin yerine getirilmesi için sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması hukuki sebebine dayanma kargo ve posta hizmetlerine dair işlemlerin yapılması ve ispatı, gönderici ve/veya alıcıya bilgilendirme yapılması gibi faaliyetleri kapsamaktadır. Öte yandan kargo şirketlerinin kimlik tespiti yapması, verilen hizmetlerin analiz edilmesi, uygun hizmetler ve ürünlerin geliştirilmesi gibi faaliyetler bakımından gerçekleştirilen işleme faaliyeti veri sorumlusunun meşru menfaati nedeniyle işlemenin zorunlu olması hukuki sebebine dayanabilir. KVKK kapsamında, aydınlatma yükümlülüğü, veri sorumluları için bir yükümlülük olmakla birlikte ilgili kişiler bakımından ise bir haktır. Aydınlatma yükümlülüğü, kişisel veri işlemenin hukuka uygun şekilde yerine getirilmesi için önemli şartlardan biridir. Kargo faaliyetlerinin yürütülmesinde, kişisel verilerin ilgili kişiden elde edilmediği birçok durum mevcuttur. Kişisel verilerin ilgili kişiden elde edilmediği durumlar bakımından Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’in (“Tebliğ”) 6. maddesi aydınlatma yükümlülüğünün nasıl yerine getirileceğini düzenlenmiştir. Özellikle kargo faaliyeti yürüten şirketler bakımından aydınlatma yükümlülüğünün kolaylıkla nasıl yerine getirileceği konusu tartışmaya açıktır. Zira kargo faaliyetlerinin yerine getirilmesine ilişkin birçok senaryoda alıcı ve gönderici ile birlikte üçüncü kişiler de gündemdedir. Son olarak Tebliğ’in 6. maddesi bakımından “makul süre” kavramının kargo faaliyetleri tarafından ne kadarlık bir süre dilimini ifade ettiğine ilişkin ortak yaklaşım oluşturulması önemlidir.

Anahtar Kelimeler: Hukuki İşleme Nedeni , Kişisel Veri, Kargo Faaliyetleri