Mail Order Nedir? Kart Sahibi ve İşyeri Sorumluluğu

Kısa Cevap

Mail order, kartın fiziken kullanılmadığı, kart numarasının telefon, faks veya form gibi bir iletişim aracıyla bildirilmesiyle yapılan ödeme yöntemidir. Dayanağı 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu m.20’dir. Uyuşmazlık çıktığında sorun çoğu zaman hukuk kuralında değil, kontrollerin yapılıp yapılmadığının ispatındadır.

Bu Durumda mısınız?

• Kartınızdan haberiniz olmayan bir çekim yapıldı; banka size “mail order işlemi” olduğunu söyledi.
• Üye işyerisiniz; mal veya hizmeti teslim ettiniz, ancak kart sahibi itiraz edince banka bedeli hesabınızdan geri aldı.
• Telefonla sipariş aldınız, mail order formu düzenlediniz, teslimatı sipariş veren kişiye yaptınız ve şimdi bedelin kime ait olduğu tartışılıyor.
• Bankanız, kart bilgilerini görmediğiniz bir sanal POS altyapısı verdi; buna rağmen zararın size ait olduğunu bildiriyor.

Bu uyuşmazlıklarda hangi tarafın sorumlu olduğu, sözleşme metnine ve somut delillere göre değişir; bir avukatla dosya bazında değerlendirilmesi yerinde olur.

Mail Order Nedir, Hangi Hükme Dayanır?

Mail order kanun metninde bu adla anılmaz; kanun onu harcama belgesi düzenlenemeyen hâllerde kart kullanımı olarak tarif eder. 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu m.20:

MADDE 20 – İşlemin niteliği nedeniyle harcama ve alacak belgesi düzenleme imkânı olmayan hallerde kartlar, hamil tarafından çeşitli iletişim araçları ile kart numarası bildirilmek veya imza yerine geçen kod numarası, şifre ya da kimliği belirleyici benzeri başka bir yöntemle işlem yapılmak suretiyle de kullanılabilir.

Maddenin kurduğu denge şudur: kanun, imzasız işlemi yasaklamaz; imza yerine geçen bir doğrulama yöntemine izin verir. Ancak imzanın devre dışı kalması, ispat yükünü ortadan kaldırmaz. Yalnızca yerini başka delillere bırakır.

Üye İşyerinin Kontrol Yükümlülüğü

Kanun, kartla ödemeyi kabul eden işyerine somut kontrol borçları yükler ve bu borçların ihlalini doğrudan bir sorumluluk sebebi sayar. 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu m.17:

Üye işyerleri, mal ve hizmet bedeli karşılığını banka kartı veya kredi kartı ile ödemek isteyen kişilerin imza gerektiren işlemlerde imza kontrolünü yapmak, kartın tahrifata uğrayıp uğramadığını kontrol etmek ve üye işyeri anlaşması yapan kuruluşlarca kendilerine ulaştırılan bilgiler çerçevesinde kartın geçerliliğini tespit etmekle yükümlü olup, gerekli durumlarda kart üzerinde yer alan bilgilerle kimlik belgesi üzerinde yer alan bilgileri karşılaştırmak üzere geçerli bir kimlik belgesi ibrazını talep etmek ve harcama belgesi üzerindeki bilgilerle kredi kartı üzerindeki bilgileri karşılaştırarak kontrol etmekle yükümlüdür. Bu kontrollerin yapılmamasından doğan zararlardan üye işyerleri sorumludur.

Bankaların mail order itirazlarında dayandığı hüküm çoğunlukla budur. Ancak maddeyi tek bir yükümlülük gibi okumak yanlış olur: hüküm beş ayrı kontrol sayar ve bunlar mail order bakımından aynı durumda değildir.

m.17’deki kontrol	Mail order’da yapılabilir mi?
İmza kontrolü — madde bunu açıkça “imza gerektiren işlemlerde” diye sınırlar	İşlemde imza yoktur; şart baştan devrede değildir
Kartın tahrifata uğrayıp uğramadığının kontrolü	Kart fiziken görülmediğinden yapılamaz
Harcama belgesi ile kart bilgilerinin karşılaştırılması	m.20 zaten harcama belgesi düzenlenemeyen hâli tarif eder; yapılamaz
Kartın geçerliliğinin tespiti	Yapılabilir — kuruluşça iletilen bilgiler çerçevesinde
Kimlik belgesi ibrazının talep edilmesi	Uzaktan da talep edilebilir

Ayrım şudur: “imza gerektiren işlemlerde” ibaresi yalnız birinci kontrole bağlıdır; diğer dördü kayıtsız yazılmıştır ve sorumluluk cümlesi (“Bu kontrollerin yapılmamasından doğan zararlardan üye işyerleri sorumludur”) hepsini kapsar. Dolayısıyla mail order’da m.17 tümüyle devre dışı kalmaz — fiziki varlığı gerektiren üç kontrol anlamsızlaşır, ancak kart geçerliliğinin tespiti ile kimlik ibrazının talebi işlemeye devam eder.

Bu, uyuşmazlıklarda somut soruyu da belirler: tartışılması gereken “m.17 uygulanır mı” değil, yapılabilir olan iki kontrolün fiilen yapılıp yapılmadığıdır.

Kanun mail order için ayrıca bir sistem güvenliği borcu öngörür. 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu m.18:

Üye işyerleri, 20 nci madde uyarınca harcama belgesi düzenlenmeksizin çeşitli iletişim araçları yoluyla veya sipariş formu vasıtasıyla işlem yapılmasına olanak sağlamak üzere kuracakları sistemlerin güvenli bir şekilde çalışmasını temin etmekle yükümlüdür.

Sistemi Kim Kurduysa Riski de O Taşır

Uyuşmazlığın düğümlendiği asıl soru şudur: kartın fiziken görülemediği bir işlemde, kontrolü fiilen yapma imkânı olmayan tarafa sorumluluk yüklenebilir mi?

Yargıtay 11. Hukuk Dairesi, sanal POS altyapısını bankanın sağladığı ve kart bilgilerinin işyerince görülemediği bir olayda bu soruyu açık biçimde cevaplamıştır:

“VPOS yazılımını bankanın sağladığı başka bir anlatımla kredi kartıyla alışverişe olanak sağlayan sistemin banka tarafından kurulduğu sabit olduğuna göre somut olayda asıl sorumluluk klasik kredi kartıyla alışveriş uygulamasının aksine davalı bankaya ait olmak zorundadır.”

(Yargıtay 11. Hukuk Dairesi, E. 2013/298, K. 2013/5630, T. 22.03.2013 — bozma, oybirliği)

Karar iki şey söyler. Birincisi, klasik kart işlemi ile uzaktan işlem aynı sorumluluk rejimine tabi değildir; kanunun imza ve kimlik kontrolüne dayalı kurgusu, kartın hiç görülmediği işleme olduğu gibi taşınamaz. İkincisi, işyerinin kusuru bu hâlde sorumluluğu tümden devretmez, yalnızca müterafik kusur olarak indirim sebebi olabilir. Kararda, işlem sayısının çokluğundan şüphelenilmesi gerektiği yolundaki gerekçenin ancak müterafik kusur oluşturabileceği belirtilmiştir.

Bir sınırı belirtmek gerekir: karar sanal POS üzerinden yapılan bir işleme ilişkindir. Telefonla alınan siparişte kart bilgilerini bizzat kaydeden bir işyeri bakımından tablo aynı değildir; orada işyeri, kontrol imkânına fiilen sahiptir.

Kart Sahibinin Sorumluluğu ve Bildirim

Kart hamili bakımından kanun, bildirimden önceki kısa bir dilim için sınırlı bir sorumluluk öngörür. 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu m.12:

MADDE 12 – Kartın ya da 16 ncı maddede belirtilen bilgilerin kaybolması veya çalınması halinde kart hamili, yapacağı bildirimden önceki yirmidört saat içinde gerçekleşen hukuka aykırı kullanımdan doğan zararlardan yüzelli Yeni Türk Lirası ile sınırlı olmak üzere sorumludur. Hukuka aykırı kullanımın, hamilin ağır ihmaline veya kastına dayanması veya bildirimin yapılmaması hallerinde bu sınır uygulanmaz.

Buradaki üç kelime pratikte belirleyicidir: ağır ihmal, kast ve bildirimin yapılmaması. Bu üç hâlde sınır kalkar ve zararın tamamı kart hamiline yüklenebilir. Kart bilgilerini üçüncü kişiyle paylaşan veya bildirimi geciktiren kart hamili, bu tartışmanın içine düşer.

Bu nedenle bildirim, hukuki olarak en kritik tek eylemdir: yalnızca yapılması değil, ne zaman yapıldığının ispatlanabilir olması gerekir.

Aynı Fiil Suç da Olabilir

Rızasız kart kullanımı yalnız bir alacak uyuşmazlığı değildir. 5237 sayılı Türk Ceza Kanunu m.245:

(1) Başkasına ait bir banka veya kredi kartını, her ne suretle olursa olsun ele geçiren veya elinde bulunduran kimse, kart sahibinin veya kartın kendisine verilmesi gereken kişinin rızası olmaksızın bunu kullanarak veya kullandırtarak kendisine veya başkasına yarar sağlarsa, üç yıldan altı yıla kadar hapis ve beşbin güne kadar adlî para cezası ile cezalandırılır.

Maddenin ikinci fıkrası, başkalarına ait banka hesaplarıyla ilişkilendirilerek sahte kart üretme, satma, devretme, satın alma veya kabul etme fiillerini üç yıldan yedi yıla kadar hapis ve on bin güne kadar adlî para cezasıyla cezalandırır.

Ceza soruşturmasının açılması hukuk davasını da etkileyebilir; hukuk hâkimi ceza mahkemesinin beraat kararıyla bağlı olmasa da mahkûmiyet kararı ve ceza yargılamasında sabit olan maddi olgularla bağlıdır.

Mail Order Dolandırıcılığı Hangi Suçu Oluşturur?

“Mail order dolandırıcılığı” günlük dilde kullanılan bir tabirdir; kanunda bu adla bir suç tipi yoktur. Kart bilgileri sahibinin rızası dışında kullanıldığında iki hüküm gündeme gelir: banka veya kredi kartlarının kötüye kullanılması (TCK m.245) ve bankanın araç olarak kullanılması suretiyle nitelikli dolandırıcılık (TCK m.158/1-f). Hangisinin uygulanacağı cezayı doğrudan değiştirdiği için nitelendirme bu dosyaların çekirdeğidir.

5237 sayılı Türk Ceza Kanunu m.158/1-f:

f) Bilişim sistemlerinin, banka veya kredi kurumlarının araç olarak kullanılması suretiyle,

Aynı fıkranın yaptırım cümlesi şöyledir:

İşlenmesi halinde, üç yıldan on yıla kadar hapis ve beşbin güne kadar adlî para cezasına hükmolunur.

Maddenin devamı, (f) bendi bakımından bu bandı ayrıca ağırlaştırır:

Ancak, (e), (f), (j), (k) ve (l) bentlerinde sayılan hâllerde hapis cezasının alt sınırı dört yıldan, adli para cezasının miktarı suçtan elde edilen menfaatin iki katından az olamaz.

Yani (f) bendi uygulandığında alt sınır dört yıla çıkar ve adlî para cezası elde edilen menfaatin iki katının altına inemez. TCK m.245/1’de ise band üç yıldan altı yıla kadar hapistir. Fark, aynı maddi olayda yıllarla ölçülür.

Kartın fiziken kullanılmamış olması, tek başına nitelendirmeyi dolandırıcılığa çevirmez. Yargıtay, kart bilgilerinin ele geçirilerek kullanıldığı bir olayda kurulan nitelikli dolandırıcılık hükmünü bozmuştur:

“başkasına ait kredi kartının kötüye kullanılması suretiyle yarar sağlama suçunun oluşabilmesi için, 5464 sayılı Kanun’un 3. maddesi uyarınca kredi kartının fiziken kullanımının gerekmeyip kart bilgilerinin kullanılmasının yeterli olduğu”

(Yargıtay 15. Ceza Dairesi, E. 2018/3436, K. 2018/7437, T. 31.10.2018 — BOZULMASINA)

Daire, katılanın kart bilgilerini temin ederek onun bilgisi ve rızası dışında para çekim veya havale işlemi yapan sanığın eylemini TCK m.245/1 kapsamında görmüş, nitelikli dolandırıcılıktan hüküm kurulmasını “suç vasfında yanılgı” sayarak fazla ceza tayini gerekçesiyle bozmuştur. Mail order işlemi tam olarak bu tabloya oturur: kart ortada yoktur, kullanılan şey kart bilgisidir.

Bu, m.158/1-f’nin bu alanda hiç uygulanmayacağı anlamına gelmez. Karar tek bir daireye ve somut olaya aittir; nitelendirme her dosyada maddi vakıaya göre yapılır. Ayrımın ayrıntısı için banka veya kredi kartlarının kötüye kullanılması suçunu anlatan yazıya ve nitelikli dolandırıcılık suçunun bentlerini ele alan yazıya bakabilirsiniz.

Adım Adım Ne Yapmalısınız?

Kart sahibiyseniz:

1. Bankaya derhal bildirimde bulunun; çağrı kaydı, faks veya yazılı başvuru gibi tarih ispatlayan bir kanal kullanın.
2. Harcama itirazını yazılı olarak başlatın ve itiraz numarasını kayda geçirin.
3. Cumhuriyet başsavcılığına şikâyette bulunmayı değerlendirin.
4. Bankadan işleme ait kayıtları (onay kodu, doğrulama yöntemi, işlem saati) talep edin.

Üye işyeriyseniz:

1. Sipariş, ödeme ve teslim zincirinin tamamını belgeleyin; teslim belgesini kart hamiline imzalatın.
2. Kimlik ibrazı isteyin ve kart ile kimlik bilgilerini karşılaştırdığınızı kayda geçirin.
3. Bankayla imzaladığınız üye işyeri sözleşmesinin sorumluluk maddelerini önceden okuyun; itirazların çoğu bu maddeye dayandırılır.
4. Sistemi bankanın sağladığı hâllerde bunu ve kart bilgilerini göremediğinizi delillendirin.

Sık Yapılan Hatalar

• Mail order formunu ispat sanmak. Form, işlemin yapıldığını gösterir; harcamayı kart hamilinin yaptığını tek başına göstermez.
• Bildirimi geciktirmek. m.12’deki sınırlı sorumluluk yalnız bildirim yapıldığında işler; bildirim yoksa sınır uygulanmaz.
• Teslimatı sipariş veren kişiye yapmak. Kart hamili ile teslim alan kişinin farklı olduğu hâllerde işyerinin durumu ciddi biçimde zayıflar.
• Üye işyeri sözleşmesini okumadan imzalamak. Bankaların itiraz süreçlerinde dayandığı ilk metin çoğu zaman kanun değil, bu sözleşmedir.
• Bölge adliye mahkemesi kararını bağlayıcı emsal saymak. Bu kararlar eğilim gösterir; bağlayıcı içtihat yalnız içtihadı birleştirme kararlarıdır.

Özet

• Mail order, kartın fiziken kullanılmadığı ödeme yöntemidir; dayanağı 5464 sayılı Kanun m.20’dir.
• Üye işyerine imza, kimlik ve kart geçerliliği kontrolü yükümlülüğü verilmiştir; kontrol yapılmazsa doğan zarardan işyeri sorumludur (m.17).
• Mail order sistemini kuran, sistemin güvenli çalışmasını temin etmekle yükümlüdür (m.18).
• Yargıtay 11. Hukuk Dairesi, sanal POS’u banka kurmuşsa asıl sorumluluğun bankada olduğuna; işyerinin kusurunun ancak müterafik kusur oluşturabileceğine karar vermiştir.
• Kart hamili, bildirimden önceki 24 saat için 150 TL ile sınırlı sorumludur; ağır ihmal, kast veya bildirimsizlik hâlinde bu sınır kalkar (m.12).
• Rızasız kart kullanımı TCK m.245 kapsamında suçtur.