Avcılar’da Ticari İşletmeler ve E-Ticaret İçin KVKK Rehberliği
Avcılar; İstanbul Üniversitesi-Cerrahpaşa’nın yerleşkesine, Ambarlı Limanı çevresindeki lojistik hareketliliğe ve E-5 aksındaki yoğun ticarî faaliyete ev sahipliği yapar. İlçede küçük mağazalar, kafe ve restoranlar, öğrenci odaklı hizmetler ve internetten satış yapan işletmeler yan yana yaşar. Hepsi bir müşteri listesi, bir kamera sistemi, bir mobil uygulama veya bir web sitesi aracılığıyla kişisel veri işler. Bu sayfa, Avcılar’daki veri sorumlularının sorumluluklarına ve kişilerin haklarına genel bir bakış sunar. Av. Bilal Alyar, KVKK uyum çalışmalarında belge ve süreç incelemesi yaparak işletmeye uygun bir yol önerir.
İlçenin Bağlı Olduğu Adliye
Adalet Bakanlığı’nın Küçükçekmece Adliyesi sayfasına göre adliye; Küçükçekmece, Başakşehir ve Avcılar ilçelerine hizmet vermektedir. Avcılar’da yaşayan kişilerin tazminat davaları, bu çevredeki yetkili asliye hukuk veya tüketici mahkemesinde açılır; ceza şikâyetleri ise Küçükçekmece Cumhuriyet Başsavcılığına yöneltilir. KVKK kapsamındaki idari şikâyetler ise Kurul’a yapılır ve ilçeye bağlı değildir.
Öğrenciye ve Gence Yönelik İşletmelerde Dikkat Edilecekler
Üniversite çevresindeki kafe, kırtasiye, yurt ve özel kurslar, 18 yaşından küçük veya yeni yetişkin müşterilerden veri toplayabilir. Küçüklerin verisi için velinin onayı veya aydınlatması gerekebilir; bu hususun nasıl uygulanacağı işlemin niteliğine göre değişir. Kampanya mesajı göndermek isteyen işletmeler ise 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun m.6 kapsamındaki ticari elektronik ileti izinlerini alma ve İleti Yönetim Sistemi üzerinden yönetme yükümlülüğü altındadır; bu yükümlülük KVKK’dan ayrı bir düzenlemedir.
Hizmetler
- Web sitesi ve mobil uygulama için aydınlatma metni ve çerez düzeni
- Açık rıza ile meşru menfaat sebeplerinin ayrıştırıldığı hukuki dayanak tablosu
- Kamera ve giriş kayıtlarının saklanma süresine ilişkin yazılı politika
- E-ticaret sitelerinde müşteri verisinin üçüncü kişilere aktarımı
- Kullanıcıdan gelen silme veya erişim taleplerine cevap
- Hatalı e-posta gönderimi gibi küçük ihlallerin değerlendirilmesi
Bir Avcılar Örneği (Kurgusal)
İnternetten satış yapan küçük bir işletme, müşterilerine toplu e-posta atarken alıcı listesini herkesin görebileceği biçimde göndersin. Bu hata, kişilerin e-posta adreslerinin başkalarına açıklanması anlamına gelir. Olay küçük bir hata gibi görünse de, KVKK m.12 kapsamında veri güvenliği yükümlülüğünün ihlali sayılabilir. İşletme önce olayın kapsamını belirlemeli, kaç kişinin etkilendiğini kaydetmeli ve ihlalin Kurul’a bildirilmesi gereken düzeyde olup olmadığını değerlendirmelidir. Bu hâllerde ayrıca iç prosedürlerin (BCC kullanımı, gönderim yetkileri) gözden geçirilmesi gerekir.
Adım Adım Uyum
- İşletmenin topladığı verilerin listesi (ad, telefon, adres, ödeme bilgisi, kamera görüntüsü) yapılır.
- Her veri için işleme sebebi belirlenir ve saklama süresi yazılır.
- Müşteriye sunulacak aydınlatma metni, toplama anında görünür biçimde yer alır.
- Pazarlama mesajları için ayrı izin mekanizması kurulur.
- Veri ihlali durumunda uygulanacak adımlar, kimlerin yetkili olduğu belirtilerek belgelenir.
İlgili Hükümler
KVKK m.4 genel ilkeleri, m.5 işleme şartlarını, m.10 aydınlatma yükümlülüğünü, m.11 ilgili kişinin haklarını, m.12 veri güvenliğini düzenler. Kişisel verilerin hukuka aykırı kaydedilmesi, verilmesi veya yok edilmemesi TCK m.135, m.136 ve m.138’de suç olarak tanımlanır. Başkasının fotoğrafını izinsiz yayımlamak ayrıca TMK m.24 ve m.25 anlamında kişilik hakkı ihlali oluşturabilir.
Çocukların ve Gençlerin Verileri
Kurs, kafe, oyun merkezi ve eğitime yönelik işletmeler, reşit olmayan kişilerin kimlik, fotoğraf ve iletişim bilgilerini de toplar. Reşit olmayanların rızası konusunda genel hukuk kurallarına göre yasal temsilcinin onayı gerekebilir. Çocukların fotoğraflarının sosyal medyada paylaşılmasında, ebeveynin yazılı ve açık onayının alınması ve paylaşımın amacının belirtilmesi güvenli yoldur.
Kampanya Mesajları ve Rıza Yönetimi
İnternet üzerinden satış yapan işletmeler, müşterinin e-posta ve telefonuna reklam gönderirken önceden alınmış onay bulunmalıdır. Ticari elektronik iletilere ilişkin kurallar 6563 sayılı Kanun’da düzenlenmiştir ve kişisel veri koruma hükümleriyle birlikte düşünülmelidir. Onayın ne zaman, hangi kanaldan ve hangi metinle alındığı kaydedilmelidir; çünkü tartışma çıktığında ispat yükü işletmededir.
Müşteri onayını geri çektiğinde işletme, ileti göndermeyi durdurmalı ve bu talebi kayıtlarına işlemelidir.
İnternet Siparişi ve Kullanıcı Hesapları
İnternet sitesi ve mobil uygulaması bulunan işletmelerde üyelik formu, çerez bildirimi ve gizlilik politikası birlikte kurgulanmalıdır. Üyelik için gerekli olmayan alanların zorunlu tutulması, veri minimizasyonu ilkesiyle bağdaşmaz. Kredi kartı bilgileri ise ödeme kuruluşlarının güvenli altyapısı üzerinden işlenmeli, işletmenin kendi sisteminde saklanmamalıdır.
Sık Sorulan Sorular
Müşteri e-postası ile kampanya gönderebilir miyim?
Ticari elektronik ileti için alıcıdan önceden izin alınması ve bu iznin İYS’de kayıt altına alınması gerekir. Kanunun bazı istisnaları bulunur.
Satış sonrası müşteri bilgisini ne kadar saklayabilirim?
Fatura ve muhasebe kayıtları için ilgili vergi ve ticaret mevzuatındaki süreler esas alınır. Süre dolduktan sonra veri silinir veya anonim hâle getirilir.
Müşteri verisinin silinmesini istedi; reddedebilir miyim?
Yasal saklama yükümlülüğü varsa talebin bu kısmı reddedilebilir. Gerekçe, yazılı ve zamanında bildirilmelidir.
Avcılar’daki bir işletmeye karşı Kurul’a nasıl şikâyet ederim?
Önce işletmeye yazılı başvuru yapılır; cevap alınamazsa veya yetersizse Kurul’a şikâyet mümkündür.
Görüşmeler Kartal Cevizli Mahallesi’ndeki büroda önceden randevu ile yapılır; iletişim: 0534 636 19 19.