Kapı Önü Teslimat Fotoğrafı KVKK'ya Uygun mu?

Kanıt Fotoğrafı Neden Gündemde?

Alıcı evde olmadığında paketi kapının önüne bırakmak, imza yerine fotoğrafla teslimatı belgelemek pek çok kargo ve kurye operasyonunda olağan hâle geldi. Fotoğraf hem şikâyet yönetimini kolaylaştırıyor hem de kayıp gönderi tartışmalarını kısaltıyor. Ancak her fotoğraf bir kişisel veri işleme faaliyetidir ve teslimat fotoğrafı KVKK kuralları dikkate alınmadan çekildiğinde, kanıt aracı kolayca bir mahremiyet sorununa dönüşebilir.

Bu yazıda teslimat kanıtının amacını, fotoğrafa girmemesi gereken unsurları, fotoğrafa alternatif kanıt yöntemlerini, görüntünün gönderene iletilmesini, saklama süresini ve kuryelere verilecek sade bir talimatı ele alıyoruz. Amaç, operasyon ve filo yöneticilerinin kendi uygulamalarındaki riskleri fark etmesidir.

Teslimat kanıtının amacı

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kişisel veriyi, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. Kapı önünde çekilen bir fotoğraf; adres, kapı numarası, bina görüntüsü ve zaman bilgisiyle birlikte, alıcının kim olduğunu belirlenebilir kılar. Bu nedenle fotoğrafın çekilmesi, sisteme yüklenmesi, gönderene gösterilmesi ve saklanması KVKK anlamında veri işlemedir.

Kanun'un 4. maddesi her işlemenin belirli, açık ve meşru bir amaca dayanmasını, bu amaçla bağlantılı, sınırlı ve ölçülü olmasını ister. Teslimat fotoğrafının meşru amacı dardır: gönderinin hangi adrese, ne zaman ve hangi noktaya bırakıldığını göstermek. Fotoğrafın bunun ötesinde bir bilgi taşıması, örneğin alıcının yüzünü, evin içini ya da komşunun aracını göstermesi, amaçla bağlantısı olmayan veri toplamak anlamına gelir.

Hukuki sebep bakımından teslimat, gönderen ile taşıyıcı arasındaki taşıma ilişkisinin ve alıcıya yapılacak teslimin bir parçasıdır. Uygulamada fotoğraf çoğu zaman sözleşmenin ifası (KVKK md. 5/2-c) veya ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati (md. 5/2-f) üzerinden değerlendirilir. Hangi sebebin uygun olduğu ve meşru menfaat dengesinin nasıl kurulacağı somut sürece göre değişir; somut olay özelinde hukuki değerlendirme alınmalıdır.

Hukuki sebep ne olursa olsun, alıcının fotoğraf çekildiğini bilmesi gerekir. Kanun'un 10. maddesindeki aydınlatma yükümlülüğü, veri elde edilirken kimin, hangi amaçla ve hangi hukuki sebeple veri işlediğinin anlatılmasını ister. Teslimat bildirim mesajına ya da takip sayfasına eklenen kısa bir açıklama ve aydınlatma metnine bağlantı, bu yükümlülüğün pratik bir karşılığıdır.

Fotoğrafta kişi, kapı numarası ve ev içi

Teslimat fotoğraflarında risk genellikle kurye kötü niyetli olduğu için değil, hızlı çalıştığı için doğar. Kadrajı ayarlamaya zaman ayrılmadığında, kanıt için gereken bilgiden çok daha fazlası kayda geçer. Sık görülen sorunlu unsurlar şunlardır:

Ölçülülük ilkesi açısından iyi bir teslimat fotoğrafı, paketi ve bırakıldığı zemini gösteren, yakın plan ve kişisiz bir karedir. Kapının bir kısmının görünmesi konumu kanıtlamak için yeterli olabilir; kapının tamamını, içeriyi ve kişileri göstermek gerekmez.

Fotoğrafa Girmemesi Gereken Unsurlar

Alternatif kanıt yöntemleri

Fotoğraf, teslimatı kanıtlamanın tek yolu değildir. Ölçülülük değerlendirmesinde, aynı amaca daha az veriyle ulaşılıp ulaşılamayacağı sorusu belirleyicidir. Operasyonun yapısına göre şu yöntemler tek başına veya fotoğrafla birlikte kullanılabilir:

Tek kullanımlık teslimat kodu: Alıcıya gönderilen kısa kodun teslimde kuryeye söylenmesi. Alıcının bizzat teslim aldığı durumlarda fotoğraf ihtiyacını büyük ölçüde ortadan kaldırır.

Konum ve zaman damgası: Teslim anında el terminalinin kaydettiği konum ve saat bilgisi. Fotoğraftan daha az görsel veri içerir; ancak bu da kişisel veri olduğu için yalnızca teslim anıyla sınırlı tutulmalıdır.

Teslimat noktası ve kilitli dolap: Paketin anlaşmalı bir teslim noktasına veya akıllı dolaba bırakılması. Kapı önü fotoğrafını tamamen gereksiz kılabilir.

Alıcının önceden seçtiği bırakma yeri: Alıcının uygulamada “kapıcıya bırak” ya da “paspasın altına bırak” gibi bir tercih yapması; fotoğraf bu tercihin yerine getirildiğini göstermekle sınırlı kalır.

Hangi yöntemin seçildiği kadar, seçimin gerekçesinin yazılı olması da önemlidir. Bir şikâyet ya da inceleme anında şirketin neden fotoğraf kullandığını ve hangi önlemleri aldığını gösterebilmesi, uyum çalışmasının görünür kanıtıdır.

Fotoğrafın gönderene iletilmesi

Pek çok e-ticaret sitesi ve gönderici, teslimat fotoğrafını müşteri hizmetleri ekranında görmek ister. Bu, KVKK açısından taşıyıcıdan gönderene bir aktarımdır. Kanun'un 8. maddesi aktarımı, 5. maddedeki işleme şartlarından birinin bulunmasına bağlar. Fotoğrafın yalnızca ilgili gönderinin uyuşmazlığını çözmek için ve yalnızca o gönderiye ait kayıtla birlikte paylaşılması, bu değerlendirmeyi kolaylaştırır.

Uygulamada dikkat edilmesi gereken üç nokta vardır. Birincisi, fotoğraf gönderene toplu dosya veya e-posta eki olarak değil, erişimi kayıt altına alınan bir panel üzerinden sunulmalıdır. İkincisi, panelde fotoğrafı yalnızca o gönderiyle ilgilenen yetkili kullanıcı görebilmelidir. Üçüncüsü, taşıyıcı ile gönderen arasındaki sözleşmede fotoğrafın hangi amaçla paylaşıldığı ve gönderenin bu görüntüyü başka bir amaçla, örneğin pazarlama ya da müşteri profillemesi için kullanmayacağı yazılmalıdır.

Yanlış alıcıya iletilen bir teslimat fotoğrafı, küçük ölçekli de olsa bir veri ihlali olabilir. Kişisel Verileri Koruma Kurulu, 05.01.2023 tarihli ve 2023/4 sayılı kararında bir kargo firmasının çapraz barkodlama hatası sonucunda alıcı bilgilerinin başka bir kişiye ulaşmasını veri güvenliği yükümlülüğüne aykırı bulmuş ve ihlalin bildirilmemesini ayrıca değerlendirmiştir (karar özeti).

Saklama süresi

KVKK'nın 4. maddesi, kişisel verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini ister. Teslimat fotoğrafı için mevzuatta açıkça belirlenmiş bir saklama süresi tespit edemedik. Bu durumda süreyi amaç belirler: fotoğraf, teslimata ilişkin bir itiraz veya şikâyetin makul olarak gelebileceği dönem boyunca gereklidir, sonrasında gerekli değildir.

Burada iki kaydı birbirinden ayırmak önemlidir. Kurul'un 22.06.2021 tarihli ve 2021/603 sayılı kararında, Bilgi Teknolojileri ve İletişim Kurulu (BTK) kararıyla düzenlenen posta gönderilerine ilişkin usul ve esaslara atıf yapılmış; gönderilerin kabulü ve teslimi aşamasında alıcının adı-soyadı ve açık adres bilgisinin kayıt altına alınıp en az iki yıl saklanacağı belirtilmiştir (karar özeti). Bu yükümlülük teslimat kaydına ilişkindir; kapı önü fotoğrafının da aynı süre saklanmasını kendiliğinden gerektirdiği sonucuna varılmamalıdır. Güncel BTK düzenlemesi ayrıca kontrol edilmelidir.

Pratik bir yaklaşım, teslimat kaydını mevzuatın öngördüğü süre boyunca tutmak, fotoğraf için ise şirketin şikâyet ve iade süreçleriyle uyumlu, daha kısa ve yazılı bir süre belirlemektir. Uyuşmazlık açılmış gönderilerin fotoğrafları, uyuşmazlık sonuçlanana kadar ayrıca saklanabilir. Sürenin sonunda fotoğrafın otomatik olarak silinmesi, saklama ve imha politikasına ve kişisel veri envanterine yazılmalıdır.

Kurye talimatı

Kuralın kâğıtta kalmaması için kuryelerin el terminalinde ya da uygulamasında görebileceği kısa bir talimat işe yarar. Aşağıdaki maddeler bir başlangıç önerisidir; her şirket kendi operasyonuna göre uyarlamalıdır:

Fotoğrafı yalnızca alıcı teslim sırasında yoksa ya da alıcı kapı önüne bırakmayı seçtiyse çek.

Kadrajda yalnızca paket ve bırakıldığı zemin olsun; kişileri, açık kapıdan ev içini ve komşu kapıları çekme.

Kapı açıksa ya da kapının önünde biri varsa fotoğrafı çekmeden önce kadrajı değiştir veya kişiden izin isteyerek paketi teslim et.

Paket etiketini okunur biçimde çekme; etiketi zemine bakacak şekilde bırakmak mümkünse bunu tercih et.

Fotoğrafı yalnızca şirket uygulamasıyla çek; kişisel telefon galerisine, mesajlaşma uygulamalarına veya sosyal medyaya aktarma.

Hatalı veya fazla bilgi içeren bir fotoğraf çektiysen uygulama içinden sil ve yeniden çek; sorun yaşarsan sorumluna bildir.

Talimatın beşinci maddesi özellikle önemlidir. Kurul'un 18.05.2023 tarihli ve 2023/845 sayılı kararında, teslimat sırasında öğrendiği telefon numarasıyla alıcıya mesaj gönderen bir kuryenin eylemi nedeniyle kargo şirketi veri güvenliği tedbirlerini almamış sayılmış; Kurul, personele veri koruma eğitimi verilmediğini de değerlendirmiştir (karar özeti). Kuryenin şirkete bağlılık biçimi ne olursa olsun, teslimat sırasında öğrenilen veriler şirketin sorumluluk alanındadır.

Sonuç ve sonraki adım

Teslimat fotoğrafı KVKK açısından meşru bir amaca hizmet edebilir; riskli olan, fotoğrafın bu amacın ötesine taşmasıdır. Kareye giren kişiler, ev içi görüntüler, okunabilir etiket ve kapı numarası, sınırsız paylaşım ve süresiz saklama, kanıt aracını gereksiz bir veri yığınına dönüştürür. Fotoğrafın yalnızca paketi göstermesi, gönderene kontrollü bir panelden iletilmesi ve kısa bir süre sonunda otomatik silinmesi, riski büyük ölçüde azaltır.

İlk adım olarak bir haftalık teslimat fotoğraflarından rastgele bir örneklem alıp kaç tanesinde kişi, ev içi veya okunabilir etiket bulunduğunu sayabilirsiniz. Sonuç, kurye talimatının ve eğitimin ne kadar acil olduğunu gösterir. Benzer bir değerlendirme araç içi kamera ve takip sistemleri için de gereklidir; konuyu ticari araçlarda kamera ve takip sistemi yazımızda ele aldık. Kurumsal uyum sürecinin genel çerçevesini ise KVKK danışmanlığı sayfamızda bulabilirsiniz.

Sık Sorulan Sorular