İşyeri Kart Bilgilerinizi Saklayabilir mi? Kopyalama, Paylaşma ve Satma Yasağı (5464 m. 23)

Bir restoranda hesabı öderken kartınızın fotoğrafını çekmeye çalışan bir görevli, internet sitesinde “kartı kaydet” kutucuğunu önceden işaretlemiş bir mağaza ya da müşteri bilgilerini pazarlama amacıyla başka bir şirkete devreden bir işletme: bunların hepsi kart bilgilerinin korunmasıyla ilgili hukuki sorulara yol açar. 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu, kart ve kart hamiliyle ilgili bilgilerin gizliliğini özel bir madde ile düzenler. Bu yazıda kanunun 23. maddesinin ne dediğini, hangi davranışların yasak olduğunu ve hakkınızı nasıl koruyabileceğinizi anlatıyoruz.

Kanunun Düzenlemesi

Kanunun 23. maddesinin birinci fıkrası, üye işyerlerinin kartın kullanımı sonucunda kart ve kart hamili ile ilgili edindikleri bilgileri, kanunla yetkili kılınan kişi, kurum ve kuruluşlar hariç olmak üzere kart hamilinin yazılı rızasını almadan başkasına açıklayamayacağını, saklayamayacağını ve kopyalayamayacağını belirtir. Üç ayrı yasak vardır: açıklama, saklama ve kopyalama. Bu yasakların hepsi hamilin yazılı rızasına bağlı olarak kaldırılabilir; rıza yoksa işyeri kart bilgisini kendi kayıtlarında tutamaz.

Kanun bununla yetinmez; üye işyerlerinin kart bilgilerini üye işyeri anlaşması yaptığı kuruluş dışındaki şahıs veya kuruluşlarla paylaşamayacağını, satamayacağını, satın alamayacağını ve takas edemeyeceğini de ayrıca hükme bağlar. Üye işyeri anlaşması yapan kuruluşlar da bu fıkranın uygulanmasını gözetmekle yükümlüdür. Yani üye işyerinin sözleşme yaptığı ödeme kuruluşu, işyerinin bu yasakları ihlal edip etmediğini denetlemekten sorumludur.

Neden Bu Kadar Sıkı?

Kart bilgileri, hamilin mali kimliğinin bir parçasıdır. Numaranın, son kullanma tarihinin ve güvenlik kodunun ele geçirilmesi, yetkisiz alışverişin kapısını açar. İşyerlerinin bu bilgileri saklaması, bilgilerin sızdırılması veya kötüye kullanılması riskini artırır. Kanunun amacı, kart bilgisinin yalnızca ödeme işleminin gerçekleştirilmesi için kullanılmasını ve işlem bittikten sonra işyerinde kalmamasını sağlamaktır. Bu düzenleme, günümüzde e-ticaret sitelerinin “kartımı hatırla” seçeneği gibi uygulamaları bakımından da önem taşır.

Yazılı Rıza Şartı

Kanun, saklama ve kopyalama için “yazılı rıza” arar. Bunun anlamı, hamilin bilgilerinin kaydedilmesine açıkça ve ispatlanabilir bir şekilde onay vermesidir. İnternet ortamında bu genellikle ayrı bir onay kutusunun işaretlenmesi veya elektronik onayla yapılır; ancak rızanın önceden işaretlenmiş kutularla, sözleşmeye gömülü hükümlerle veya belirsiz ifadelerle alındığı iddiası tartışma konusu olabilir. Rıza, kart hamilinin kolayca geri alabileceği nitelikte olmalıdır. Rıza verilmişse dahi işyerinin bilgiyi belirtilen amaç dışında kullanması veya üçüncü kişilerle paylaşması yasaktır.

Kuruluşların Sorumluluğu

Kanunun 23. maddesinin ikinci fıkrası, kart çıkaran kuruluşlar bakımından da benzer bir yükümlülük içerir: kart çıkaran kuruluşlar edindikleri kişisel bilgileri gizli tutmak, kendi hizmetlerinin pazarlanması dışında başka amaçlarla kullanmamak ve kanunla yetkili kılınan kişi, kurum ve kuruluşlar dışında kalanların bu bilgilere ulaşmasını engellemek amacıyla gereken önlemleri almakla yükümlüdür. Yani banka, kart hamilinin bilgilerini kendi ürünlerinin tanıtımı dışında başka bir şirkete devredemez veya farklı bir pazarlama amacıyla kullanamaz.

Kart hamillerinin risk durumlarının izlenmesi ve müşteri hizmetlerinin yerine getirilmesi için kart çıkaran kuruluşlar arasında bilgi ve belge alışverişi yapılabilir; ancak bu alışveriş kanunda belirtilen yazılı sözleşmeler ve kurulacak şirketler çerçevesinde yürütülür (m. 29). Yani kuruluşlar arasındaki bilgi paylaşımı serbest değil, çerçevesi belirlenmiş bir istisnadır.

Kart Numarasının Kartta ve Belgelerde Gösterimi

Kart çıkaran kuruluşlar, kartların kullanılması bir kod numarası, şifre ya da kimliği belirleyici başka bir yöntem gerektiriyorsa bu bilgilerin gizli kalması için gerekli önlemleri almak ve harcama ve alacak belgesinin müşteri nüshası ile yazışmalarda kart numarasının açıkça yer almasını engellemekle yükümlüdür (m. 8). Bu nedenle fişlerde ve belgelerde kart numarasının bir kısmının maskelenerek gösterilmesi gerekir. Kart hamili de kartı ve kod numarası gibi bilgileri güvenli şekilde korumak, başkalarının kullanmasına engel olmakla yükümlüdür (m. 16). Karşılıklı bir özen ilişkisi söz konusudur.

Bilgiler Sızdırılırsa

İşyerinin kart bilgilerini saklaması veya sızdırması sonucu yetkisiz harcama yapılırsa, hamil aleyhine değil, işyeri ve ilgili kuruluşlar aleyhine bir sorumluluk ortaya çıkabilir. Hamil, hemen kartını kapatıp kuruluşa bildirim yapmalıdır. Harcama belgesi düzenlenmeksizin iletişim araçlarıyla yapılan işlemlerdeki hukuka aykırı kullanımlardan hamil sorumlu tutulamaz (m. 15); bu tür işlemlerde ispat yükü üye işyerine aittir (m. 32). Ayrıntılar için internetten veya telefonla kart numarasıyla yapılan işlemlerde ispat yükü yazısına bakabilirsiniz.

Kartın bilgilerinin çalınarak kullanılması, Türk Ceza Kanunu’nda banka veya kredi kartlarının kötüye kullanılması suçuyla ilgili olabilir; bu konuda genel bilgi için banka veya kredi kartının kötüye kullanılması yazısı yararlıdır. Kişisel verilerin hukuka aykırı elde edilmesi, kaydedilmesi ve yayılması ayrı ceza hükümlerine bağlanmıştır; bunun için kişisel verilerin kaydedilmesi ve yayılması yazısına göz atabilirsiniz.

Kişisel Verilerin Korunması Mevzuatı ile İlişkisi

Kart bilgileri aynı zamanda kişisel veridir. Bu nedenle 5464 sayılı Kanun’un özel hükümlerinin yanında, kişisel verilerin korunmasına ilişkin genel mevzuat da uygulanır. İşyeri veri sorumlusu olarak bilgilendirme yükümlülüğünü yerine getirmeli, verinin işlenme amacını ve saklama süresini açıklamalı ve gerekli güvenlik tedbirlerini almalıdır. Hamil ise verilerinin silinmesini, yok edilmesini veya anonim hale getirilmesini talep edebilir. Kişisel verilerin korunması kanununa dayanan başvurular ayrıca ilgili kuruma da yapılabilir. Kart bilgilerinin saklanması açısından özel kanunun getirdiği yasak, genel kanuna göre daha katıdır ve öncelikle uygulanır.

Hamil Olarak Neler Yapabilirsiniz?

• Kartınızı gözünüzün önünde okutun; kart bilgilerinizi telefonla veya mesajla paylaşmayın.
• Alışveriş sitelerinde “kartımı kaydet” seçeneğini bilinçli olarak yönetin; gerekmiyorsa kaydetmeyin.
• Fişlerde kart numarasının maskelenmiş olduğunu kontrol edin.
• Bilgilerinizin izinsiz saklandığından şüpheleniyorsanız işyerinden yazılı olarak silme talep edin.
• Şüpheli işlem görürseniz hemen kartı kapatın ve hesap özetine itiraz edin.
• Gerekirse tüketici hakem heyetine, mahkemeye veya kişisel verilerin korunması mevzuatı kapsamında ilgili kuruma başvurun.

Sık Yapılan Hatalar

• “Kartı kaydet” kutucuğunu farkında olmadan onaylamak,
• Kart fotoğrafını çektirmek veya üçüncü kişilere göndermek,
• Kart arkasındaki güvenlik kodunu paylaşmak,
• Şüpheli işlemi görüp itirazı geciktirmek,
• Rızanın nasıl verildiğine dair belgeleri saklamamak.

Örnek Olay

Aşağıdaki örnek kurgusaldır. Bir tüketici bir internet sitesinden alışveriş yapar ve ödeme sayfasında önceden işaretlenmiş bir kutu nedeniyle kart bilgilerinin kaydedilmesine farkında olmadan onay vermiş olur. Birkaç ay sonra site, bu bilgileri başka bir şirketle paylaşır ve tüketicinin kartından yetkisiz harcamalar yapılır. Tüketici kanunun 23. maddesine dayanarak işyerinin kart bilgilerini yazılı rıza olmadan saklayamayacağını ve paylaşamayacağını ileri sürer. Rızanın gerçekten yazılı ve açık şekilde alındığını ispat yükü işyerindedir.

Sonuç

Üye işyerleri kart hamilinin yazılı rızası olmadan kart bilgilerini saklayamaz, kopyalayamaz, açıklayamaz ve üçüncü kişilerle paylaşamaz. Kart çıkaran kuruluşlar da kişisel bilgileri yalnızca kendi hizmetlerinin pazarlanması için kullanabilir. Kart bilgilerinizin kötüye kullanıldığını düşünüyorsanız tüketici hukuku sayfamıza bakabilir, iletişim sayfasından telefon veya mesajla bize ulaşabilirsiniz.