Kargonun, faturanın veya müşteri bilgilerinin yanlış kişiye ulaşması KVKK bakımından hukuka aykırı erişim ya da aktarım oluşturabilir. Satıcı, pazar yeri, servis ve kargo şirketinin sorumluluğu otomatik olarak aynı değildir; verinin işleme amaç ve araçlarını kimin belirlediği, hatanın hangi aşamada doğduğu ve tarafların veri üzerinde ne bildiği ayrı incelenir.
Hangi bilgiler kişisel veridir?#
Paket üzerindeki ad, adres, telefon, sipariş numarası ve barkod; faturadaki ürün, fiyat, vergi ve iletişim bilgileri; teslimat fotoğrafı ve çağrı kayıtları kişisel veri içerebilir. Ürün adı sağlık, inanç veya özel hayat hakkında çıkarım sağlıyorsa olayın etkisi ağırlaşabilir.
Veri sorumlusu, yalnız teslimatın yapılmasını sağlamakla değil, sürecin gerektirmediği verileri etikete veya faturaya koymamakla da yükümlüdür. KVKK'nın 4. maddesi amaçla bağlantılı, sınırlı ve ölçülü işlemeyi; 12. maddesi uygun teknik ve idari tedbirleri zorunlu tutar.
Kargo şirketi her durumda veri sorumlusu mu?#
Hayır. Kargo şirketi kendi müşteri, teslimat ve operasyon süreçleri için veri sorumlusu olabilir. Ancak kapalı bir paketin içindeki veri üzerinde karar vermiyor ve içeriği bilmiyorsa, paket içeriği bakımından veri sorumlusu veya veri işleyen sayılmayabilir. Buna karşılık adres eşleştirme, teslim kodu, çağrı merkezi ve kurye erişim yetkisi kendi süreçleridir.
Satıcı ile lojistik şirketi arasındaki sözleşmede rol dağılımı açık olmalı; fakat sözleşmedeki etiket tek başına belirleyici değildir. Fiili karar yetkisi ve işlem faaliyeti esas alınır.
İhlalden sonra ilgili kişi ne yapmalı?#
Paket etiketi, yanlış fatura, teslim mesajı, teslim alan kişinin açıklaması ve şirketle yazışmalar korunmalıdır. Satıcıya ve olayın gerçekleştiği kargo şirketine ayrı başvuru yapılarak verinin kimle paylaşıldığı, olayın nedeni, alınan tedbirler, silme/geri alma işlemi ve Kurula bildirim yapılıp yapılmadığı sorulabilir.
Fiziksel paketin geri alınması, karşı tarafın fotoğraf çekmediğini veya bilgileri kullanmadığını garanti etmez. Veri sorumlusu etki değerlendirmesi yapmalı, yanlış alıcıdan silme/imha teyidi istemeli ve tekrarını önleyecek süreç değişikliğini belgelemelidir.
Süreler#
Veri sorumlusu ilgili kişi başvurusuna en geç 30 gün içinde cevap verir. Kurula şikayet için cevabın öğrenilmesinden itibaren 30 ve başvurudan itibaren en fazla 60 günlük süre uygulanır. Olay aynı zamanda veri ihlaliyse veri sorumlusu Kurula ve ilgili kişiye “en kısa sürede” bildirim yükümlülüğünü ayrıca değerlendirir; Kurul uygulamasında 72 saat eşik kabul edilir.
Uygulamalı örnek#
Bir telefon servise gönderilir; dönüş paketine cihaz sahibinin servis formu ve kimlik kopyası konur, fakat paket barkod hatasıyla başka müşteriye teslim edilir. Satıcı yalnız “kargo hatası” diyerek dosyayı kapatamaz. Gereksiz kimlik kopyasının pakete konulması, adres eşleştirmesi, kargo şirketinin teslim kontrolü ve ihlal bildirimi ayrı ayrı incelenmelidir.
Güncel ve dikkat çekici kararlar#
Kurulun 18 Mayıs 2023 tarihli, 2023/845 sayılı kararı#
Kurye, teslimat için eriştiği alıcının telefon numarasını teslimat sonrasında kişisel amaçla kullanarak rahatsız edici mesajlar gönderdi. Kurul, şirketin çalışanı veri güvenliği konusunda yeterince eğitmediğini ve erişim yetkisinin amaç dışı kullanımını önlemediğini belirledi. Veri sorumlusu hakkında yaptırım uygulandı. Somut ilke, çalışan veya kuryenin kişisel davranışının, eğitim ve denetim eksikliği varsa şirketin veri güvenliği sorumluluğunu ortadan kaldırmadığıdır. Kararın tam metni
Kurulun 24 Mart 2022 tarihli, 2022/277 sayılı kararı#
Servise verilen ürün ve kişisel veri içeren belgeler yanlış kişiye teslim edildi. Kurul, veri minimizasyonu, maskeleme ve ihlal bildirimi süreçleri yönünden veri sorumlusunu uyardı; kapalı paketin içeriğini bilmeyen kargo şirketinin paket içeriği bakımından rolünü somut olayda farklı değerlendirdi. Karar, yanlış teslimatlarda her şirketin aynı sıfatla sorumlu tutulmayacağını, işleme faaliyeti bazında rol analizi gerektiğini gösterir. Kararın tam metni
Kurulun 30 Eylül 2021 tarihli, 2021/993 sayılı kararı#
İlgili kişiye başka biri adına düzenlenmiş fatura ulaştı. Kurul, bazı verilerin ilk elde edilmesinde hukuki sebep bulunsa da yanlış kişi adına fatura oluşturulması ve paylaşılmasının ayrıca hukuki dayanak gerektirdiğini belirledi. Kanuni saklama yükümlülüğü nedeniyle belgenin hemen silinememesi, ilk hukuka aykırılığı ortadan kaldırmadı. Somut ilke, toplamanın hukuka uygun olmasının sonraki her kullanım ve paylaşımı meşru hale getirmediğidir. Kararın tam metni
Kararların soruya verdiği net cevap#
Yanlış teslimat veya fatura paylaşımı, yalnız lojistik hatası değil kişisel veri olayıdır. Satıcı, pazar yeri ve kargo şirketi kendi kontrol ettiği aşama bakımından ayrı sorumluluk taşır; rol, sözleşmedeki adla değil fiili işlemle belirlenir. Kuryenin numarayı kişisel amaçla kullanması halinde şirketin eğitim, yetkilendirme ve denetim düzeni incelenir. Veri sorumlusu, paketi geri almakla yetinemez; etkiyi, silme teyidini ve tekrar önleyici tedbiri belgelemelidir. İlgili kişi hem satıcıya hem kargo şirketine somut ve ayrı talepler yöneltmelidir.
Okuyucu için yapılacaklar listesi#
- Etiket, fatura, mesaj ve teslim ekranlarının görüntüsünü alın.
- Yanlış alıcı ve şirketle yazışmaları saklayın.
- Satıcıya ve kargo şirketine ayrı başvuru yapın.
- Verinin kimlere ulaştığını ve alınan tedbirleri sorun.
- Silme veya geri alma işleminin belgesini isteyin.
- Finansal dolandırıcılık riski varsa hesap ve kimlik güvenliği önlemlerini gecikmeden alın.
Sık sorulan sorular#
Paket geri alındıysa ihlal sona erer mi?#
Fiziksel risk azalır; ancak verinin görülmüş, kopyalanmış veya fotoğraflanmış olma ihtimali ayrıca değerlendirilir.
Kurye numaramı özel telefonuna kaydedebilir mi?#
Teslimat amacı sona erdikten sonra numaranın kişisel amaçla kullanılması hukuki dayanağa sahip değildir.
Yalnız kargo şirketine mi başvurmalıyım?#
Hayır. Hatanın kaynağı bilinmiyorsa satıcı/pazar yeri ve kargo şirketine ayrı başvuru, rol ve kayıtların ortaya çıkarılmasını kolaylaştırır.
Tazminat istenebilir mi?#
Kişilik hakkı veya maddi zarar doğmuşsa genel hükümlere göre tazminat yolu ayrıca değerlendirilebilir; Kurul doğrudan tazminat mahkemesi değildir.
İlgili yazılara iç bağlantı önerileri#
- Veri İhlali Kurula Kaç Saatte Bildirilir?
- KVKK Başvurusu Nasıl Yapılır?
- Kişisel Veriler Nasıl Sildirilir?
Son hukuki kontrol tarihi: 2 Eylül 2026
Kaynakça#
Bu metin genel hukuki bilgi amacıyla hazırlanmıştır. Somut uyuşmazlığın özellikleri, süreler ve başvuru yolu ayrıca değerlendirilmelidir.