E-Ticaret Alanındaki Temel Tanımlar ve Veri Sorumlusu Sıfatı
6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun kapsamında elektronik ticaret kavramı, tarafların bedensel olarak bir araya gelmeksizin dijital vasıtalar üzerinden yürüttükleri her türlü iktisadi ve ticari çevrim içi faaliyeti kapsar. Kanuni çerçevede internet siteleri, mobil siteler veya mobil uygulamalar gibi platformlar elektronik ticaret ortamı sayılırken; aracı hizmet sağlayıcıların bu tür aracılık faaliyetlerini sundukları alanlar ise elektronik ticaret pazar yeri olarak nitelendirilir.
6563 sayılı ELEKTRONİK TİCARETİN DÜZENLENMESİ HAKKINDA KANUN m. 2Kaynağı aç
Hizmet sağlayıcı elektronik ticaret faaliyetinde bulunan gerçek ya da tüzel kişileri gösterirken, aracı hizmet sağlayıcı başkalarına ait iktisadi ve ticari faaliyetlerin yapılmasına elektronik ticaret ortamını sunan tarafları ifade eder. Pazar yerinde bizzat satış yapılıp yapılmadığına bakılmaksızın, diğer hizmet sağlayıcıların mal veya hizmetlerinin teminine yönelik sözleşme yapılmasına veya sipariş verilmesine imkan tanıyan aktörler elektronik ticaret aracı hizmet sağlayıcı olarak nitelendirilir. Kendi mal veya hizmetlerinin teminine yönelik sözleşme yapan ya da sipariş alan aktörler ise hizmet sağlayıcı kapsamında yer alır.
E-ticaret hizmet sağlayıcıları ile aracı hizmet sağlayıcıları; kullanıcı hesabı oluşturulması veya üye olmadan yürütülen işlemler aracılığıyla kişisel verileri elde etmekte, kaydetmekte, depolamakta ve aktarabilmektedir. Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu bulunan bu platformlar 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca veri sorumlusu kabul edilir.
Kişisel Verilerin İşlenme Şartları ve Aydınlatma Yükümlülüğü
6698 sayılı Kanun'un 5. maddesinin 1. fıkrası uyarınca kişisel veriler kural olarak ilgili kişinin açık rızası olmaksızın işlenemez. Bununla birlikte kanunlarda açıkça öngörülmesi; bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla taraflara ait kişisel verilerin işlenmesinin gerekli bulunması; veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması; verinin ilgili kişi tarafından alenileştirilmiş olması; bir hakkın tesisi, kullanılması veya korunması için zorunluluk bulunması ya da ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat için zorunlu olması hallerinde açık rıza aranmaksızın veri işlenmesi mümkündür.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 5Kaynağı aç
Özel nitelikli kişisel verilerin işlenmesine ilişkin usul ve esaslar 6698 sayılı Kanun'un 6. maddesinde düzenlenmiştir. Bireylerin ırkı ve etnik kökeni, siyasi kanaatleri, felsefi ve dini inançları, kılık kıyafetleri, dernek, vakıf veya sendika üyelikleri, sağlık bilgileri, cinsel yaşamları, ceza mahkûmiyetleri ve güvenlik tedbirlerine dair kayıtları ile biyometrik ve genetik nitelikli verileri özel nitelikli kişisel veri sayılır. Bu verilerin işlenmesi kural olarak yasaklanmış olup kanuni düzenlemede öngörülen açık rıza, kanunlarda yer alma veya ilgili fıkrada sayılan diğer istisnai şartlardan birinin bulunması halinde ve Kurul tarafından belirlenen yeterli önlemler alınmak suretiyle işlenmesi mümkündür.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 6Kaynağı aç
E-ticaret platformlarında elde edilen her bir kişisel veri için 6698 sayılı Kanun'un 5. ve 6. maddelerinde düzenlenen şartlardan en az birinin bulunması gerekir. Platformlar kişisel verilerini elde ettikleri kişileri aydınlatmakla yükümlüdür; ayrıca ticari elektronik ileti gönderimi gibi açık rıza gerektiren hallerde açık rıza talep edilmelidir. Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir.
Ödeme İşlemleri ve Kart Bilgilerinin Kaydedilmesi Ayrımı
Alışverişin tamamlanması ile kart bilgilerinin alışveriş sonrasında üyelik hesabında saklanması iki ayrı amaca ilişkin farklı veri işleme süreçleridir. Bir alışverişin tamamlanabilmesi amacıyla kart bilgilerinin talep edilmesi bakımından 6698 sayılı Kanun'un 5. maddesinin 2. fıkrasında yer alan sözleşmenin kurulması veya ifası, hukuki yükümlülüğün yerine getirilmesi veya meşru menfaat gibi veri işleme şartlarına dayanılarak açık rıza aranmaksızın işlem yapılabilmesi mümkündür.
Buna karşılık, sonraki satın almaların kolaylaştırılması amacıyla kart bilgilerinin tüketicinin üyelik hesabında saklanması amaç değişikliği niteliğindedir. Alışverişin anlık ifasından bağımsız olarak kart bilgilerinin hesapta tutulması ancak ilgili kişinin açık rızasının bulunması halinde gerçekleştirilebilir.
E-ticaret siteleri KVKK kapsamında veri sorumlusu sayılır mı?
Kişisel verilerin işleme amaçlarını ve vasıtalarını belirlemeleri ve veri kayıt sistemini kurup yönetmeleri sebebiyle e-ticaret hizmet sağlayıcıları ve aracı hizmet sağlayıcıları 6698 sayılı Kanun kapsamında veri sorumlusu kabul edilir.
Alışveriş sırasında kart bilgilerinin istenmesi için açık rıza zorunlu mudur?
Alışverişin tamamlanması amacıyla kart bilgilerinin talep edilmesinde 6698 sayılı Kanun m. 5/2 kapsamında sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat şartlarına dayanılabildiğinden bu aşamada açık rıza aranmaksızın işlem yapılabilir.
Kart bilgilerinin sonraki alışverişler için hesapta saklanması açık rıza gerektirir mi?
Evet, sonraki satın almaların kolaylaştırılması amacıyla kart bilgilerinin üyelik hesabında saklanması amaç değişikliği niteliği taşıdığından ancak ilgili kişinin açık rızası bulunması halinde mümkündür.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy