Kararın konusu neydi?
İncelemeye konu olayda bir tasarruf finansman şirketi, müşterilerinin “marka elçiliği” benzeri bir program üzerinden tanıdıklarına ait telefon numaralarını sisteme eklemesine imkân tanıyordu. Numara sisteme kaydedildikten sonra ilgili kişi aranıyor; görüşmenin ardından reklam ve pazarlama içerikli SMS gönderilebiliyordu.
Şirket, ilk görüşmede kişinin kampanyayı dinlemeye devam etmesini ve sorular sormasını açık rıza olarak değerlendirdi. Kurul ise konuşmanın sürdürülmesini, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir rıza olarak kabul etmedi. Ayrıca görüşmenin kaydedildiğine dair yeterli aydınlatmanın yapılmadığını değerlendirdi.
Kurul, marka elçiliği programı kapsamında benzer yöntemle işlenen diğer kişilerin verileri bakımından da aynı hukuki sorunun bulunduğuna işaret etti ve hukuka uygun bir işleme şartı olmaksızın veri işlendiği gerekçesiyle veri sorumlusu hakkında 1.000.000 TL idari para cezası uygulanmasına karar verdi.
Telefon numarasını başka biri verdiğinde ne değişir?
Telefon numarası kişisel veridir. Bu verinin ilgili kişinin kendisinden değil; müşteri, bayi, çalışan, referans veren kişi veya kampanya katılımcısından edinilmesi KVKK yükümlülüklerini ortadan kaldırmaz. Şirketin öncelikle bu veriyi hangi işleme şartına dayanarak kaydettiğini ve kullandığını belirlemesi gerekir.
Kişisel veri ilgili kişiden elde edilmemişse aydınlatmanın zamanı ayrıca önem kazanır. Veri iletişim amacıyla kullanılacaksa, ilgili kişiyle ilk temas kurulurken aydınlatma yapılmalıdır. Fakat aydınlatma, işleme şartı değildir: yalnızca kişiye süreç hakkında bilgi verir. Pazarlama faaliyeti için ayrıca geçerli bir işleme şartı bulunmalıdır.
Bu nedenle “arkadaşını öner”, “yakınını davet et” veya “referans ver, kazan” kurgularında yalnızca numarayı aktaran kullanıcının onayına dayanmak risklidir. Numaranın sisteme kaydedildiği an, ilk temasın içeriği, rızanın hangi kanıtla alındığı ve ret sonrası verinin ne zaman silindiği uçtan uca tasarlanmalıdır.
Zımni rıza neden yeterli görülmedi?
Açık rıza sessizlikten, hareketsizlikten veya konuşmanın devam etmesinden varsayılamaz. İlgili kişinin kampanyayı merak edip soru sorması, telefon numarasının kaydedilmesi, görüşmenin kayıt altına alınması ve sonraki pazarlama mesajları için topluca onay verdiği anlamına gelmez.
Geçerli bir açık rıza; belirli bir konuya ilişkin olmalı, yeterli bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalıdır. Kişi hangi verisinin, hangi amaçla, ne kadar süreyle işleneceğini ve rızasını geri çektiğinde ne olacağını anlayabilmelidir. Ses kaydı, reklam araması ve SMS gönderimi gibi farklı faaliyetler tek ve belirsiz bir onay içinde eritilmemelidir.
Şirketin mesajda iptal seçeneği sunması da geçmişteki veri işlemeyi düzeltmez. İleti ret mekanizması işletmenin sonraki gönderimleri durdurmasına yarar; ilk kaydetme ve ilk temasın hukuki dayanağını geriye dönük olarak oluşturmaz.
Pazarlama süreci nasıl kurulmalı?
İlk adım, iletişim verisinin kaynağını kaydetmektir. Numara doğrudan ilgili kişiden mi geldi, mevcut müşteri mi aktardı, kamuya açık bir kaynaktan mı alındı, yoksa ticari bir veri sağlayıcıdan mı edinildi? Kaynak bilinmiyorsa hukuki sebep ve aydınlatma zamanı da kanıtlanamaz.
İkinci adım, aydınlatma ile tercih yönetimini ayırmaktır. Aydınlatma metni veri sorumlusunu, amacı, aktarım gruplarını, toplama yöntemini, hukuki sebebi ve ilgili kişi haklarını içermelidir. Açık rıza gerekiyorsa bu metinden ayrı, anlaşılır ve reddedilebilir bir seçim olarak sunulmalıdır.
Üçüncü adım, sistemsel kanıt üretmektir. Rıza metninin sürümü, tarih-saat, kanal, işlem kimliği, aydınlatmanın gösterildiğine ilişkin kayıt ve ret bilgisi saklanmalıdır. Çağrı merkezindeki serbest metin notu, uyuşmazlık anında tek başına yeterli ve güvenilir bir kanıt olmayabilir.
- Referans programında üçüncü kişiye ait iletişim bilgisini doğrudan pazarlama listesine eklemeyin.
- İlk teması kısa, amaçla sınırlı ve aydınlatmaya yönlendiren bir akış olarak tasarlayın.
- Ses kaydı, SMS ve sonraki aramalar için gerekli tercihleri ayrı ayrı yönetin.
- Ret geldiğinde tüm kanal ve tedarikçi listelerinde baskılama kaydı oluşturun.
- Çağrı merkezi metinlerini, kampanya ekranlarını ve CRM alanlarını periyodik olarak denetleyin.
Yönetim için pratik denetim soruları
Bir uyum kontrolünde yalnızca “onayımız var” denmesi yeterli değildir. Onayın kimden, ne zaman, hangi metinle ve hangi faaliyet için alındığı gösterilebilmelidir. Ayrıca pazarlama ekibinin kullandığı gerçek ekranlar ve çağrı metinleri, hukuk biriminin hazırladığı politika ile aynı olmalıdır.
- CRM’de her iletişim kaydının elde edilme kaynağı görülebiliyor mu?
- Aydınlatma ve açık rıza ayrı olay kayıtları olarak tutuluyor mu?
- Pazarlama rızası verilmezse ana hizmet yine sunulabiliyor mu?
- Rıza geri çekildiğinde SMS, çağrı merkezi, e-posta ve dış hizmet sağlayıcılar aynı anda güncelleniyor mu?
- Kullanılan metnin hangi sürümüne onay verildiği kanıtlanabiliyor mu?
Sık sorulan sorular
Bir müşterinin verdiği telefon numarası aranabilir mi?
Numaranın üçüncü kişi tarafından verilmesi tek başına pazarlama araması için hukuki dayanak değildir. Somut işleme amacı için Kanun’daki bir işleme şartı bulunmalı; aydınlatma zamanında yapılmalı ve açık rıza gerekiyorsa geçerli biçimde alınmalıdır.
Konuşmaya devam etmek açık rıza sayılır mı?
Kurulun 2026/1183 sayılı kararında kampanya konuşmasına devam edilmesi zımni rıza olarak değerlendirilmiş; belirli, bilgilendirilmiş ve özgür iradeyle açıklanmış açık rıza şartlarını karşılamadığı sonucuna varılmıştır.
SMS içindeki iptal bağlantısı yeterli midir?
İptal seçeneği sonraki iletileri durdurmak için gereklidir; ancak verinin ilk elde edilmesi ve ilk pazarlama temasındaki hukuki dayanak eksikliğini geriye dönük olarak gidermez.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; somut olaya ilişkin hukuki görüş yerine geçmez. Güncel metin ve kapsam için resmî karar özetini inceleyiniz.