E-fatura PDF'lerinin e-posta ile müşterilere şifresiz gönderilmesi KVKK ihlali sayılır mı?

Evet; e-fatura ve e-arşiv PDF belgelerinin standart e-posta ekinde şifresiz (plaintext) olarak alıcılara iletilmesi, Kişisel Verileri Koruma Kurulu'nun (KVKK) ilke kararları ve 6698 sayılı Kanun'un 12. maddesi kapsamında ciddi bir veri güvenliği açığı ve olası bir veri ihlali (data breach) teşkil eder. Özellikle faturanın içeriğinde şahıslara ait TCKN, açık ev adresi, telefon numarası veya sağlık/medikal harcama detayları gibi veriler yer aldığında, şifresiz iletim kurumu doğrudan idari para cezası ve tazminat riskiyle karşı karşıya bırakır.

E-posta iletişimi doğası gereği güvenli ve uçtan uca şifreli bir kanal değildir:

• STARTTLS Stripping ve Downgrade Saldırıları: İnternet üzerindeki SMTP sunucuları varsayılan olarak fırsatçı TLS (Opportunistic TLS) kullanır. Gönderici ve alıcı arasındaki ağda araya giren (MitM) bir saldırgan, STARTTLS komutunu silerek e-posta trafiğini şifresiz düz metin (cleartext port 25) seviyesine düşürebilir. Alan adınızda MTA-STS (RFC 8461) ve DANE (RFC 7672) mekanizmaları zorunlu kılınmamışsa, aktarım katmanı şifrelemesi garanti edilemez.
• Posta Sunucusu Arşivleri ve Yetkisiz Erişim: Gönderilen e-posta, internet üzerindeki birden fazla posta aktarım aracısında (MTA), antispam/antivirüs ağ geçidinde ve alıcının IMAP/POP3 sunucusunda disk üzerinde şifresiz olarak depolanır. Bu sunuculardan birinin ele geçirilmesi, binlerce müşterinin faturasına toplu erişim sağlar.
• Yanlış Alıcı (Misdelivery) Problemi: Muhasebe veya ERP servislerindeki bir hata ya da personelin tek bir harf yanlışı yapması sonucu faturanın üçüncü bir şahsa gitmesi, KVKK kapsamında doğrudan Kurul'a 72 saat içinde bildirilmesi gereken somut bir veri ihlalidir.

KVKK 12. maddesi veri sorumlusuna 'kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek amacıyla her türlü teknik ve idari tedbiri alma' zorunluluğu yükler. Kurul'un Veri Güvenliği Rehberi'nde, kişisel verilerin e-posta yoluyla aktarılması halinde verilerin şifreli olarak gönderilmesi veya şifreli bir ortam üzerinden erişime açılması açık bir teknik tedbir olarak sıralanmıştır. Fatura içeriğinde medikal cihaz veya sağlık hizmeti gibi özel nitelikli kişisel veri ipucu taşıyan kalemler varsa, Kurul'un Özel Nitelikli Kişisel Verilerin Güvenliği Rehberi devreye girer ve şifreleme zorunluluğu mutlak hale gelir.

E-posta ile fatura paylaşımında şu teknik katmanlar uygulanmalıdır:

1. Güvenli İndirme Portalı ve Tek Kullanımlık Jeton (One-Time Token / Magic Link): En güvenli yaklaşım, faturayı e-posta ekine iliştirmemektir. E-postada müşteriye yalnızca süreli (TTL örneğin 7 gün) ve tek kullanımlık kriptografik bir bağlantı gönderilmelidir. Kullanıcı linke tıkladığında, API güvenlik katmanları (WAF, Rate Limiting, mTLS) ile korunan portala yönlendirilmeli ve SMS OTP ya da TCKN son 4 hanesi doğrulaması yapıldıktan sonra fatura HTTPS üzerinden indirilmelidir.
2. AES-256 PDF Şifreleme: Fatura mutlaka ek olarak gönderilecekse, zayıf RC4 algoritmaları yerine Adobe PDF AES-256 standardında şifrelenmeli; şifre açma parolası müşteriye farklı bir kanaldan (SMS veya kayıtlı mobil uygulama bildirimi) iletilmelidir.
3. FIPS 140-2 Level 3 HSM ve S/MIME Entegrasyonu: B2B fatura iletimlerinde kurumsal e-posta gateway sunucusu, Donanımsal Güvenlik Modülü (HSM) üzerinde saklanan özel anahtarlarla S/MIME X.509 standardında e-postayı şifrelemeli ve imzalamalıdır. Alıcı sertifikasının geçerliliği CRL ve OCSP protokolleriyle doğrulanmalıdır.