Kişisel Verileri Koruma Kurumundan Reklam Ve Pazarlama Uyarısı: Üçüncü Kişilerden Elde Edilen İletişim Bilgilerinin Kullanımı

Telefon numarası ve e-posta adresi gibi iletişim bilgilerinin üçüncü kişilerden temin edilerek reklam ve pazarlama faaliyetlerinde kullanılması, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kapsamında dikkatle değerlendirilmesi gereken önemli hukuki riskler doğurmaktadır.

Kişisel Verileri Koruma Kurumu (“Kurum”), bu uygulamalara ilişkin artan ihbar ve şikâyetler üzerine yayımladığı kamuoyu duyurusunda, veri sorumlularının üçüncü kişilerden elde edilen kişisel verileri işlerken uyması gereken temel ilke ve yükümlülükleri hatırlatmıştır.

1. Şikâyetlerin Kapsamı

Kurum’a iletilen ihbar ve şikâyetlerde; referans, tavsiye, marka elçiliği, tanıdık yönlendirmesi veya müşteri önerisi gibi yöntemlerle üçüncü kişilerden elde edilen telefon numarası ve e-posta adreslerinin, ilgili kişilere gerekli aydınlatma yapılmadan ve açık rızaları alınmadan sesli arama veya kısa mesaj (SMS) yoluyla reklam ve pazarlama faaliyetlerinde kullanıldığı belirtilmiştir.

Kişisel Verileri Koruma Kurulu (“Kurul”), kişisel verilerin üçüncü kişilerden elde edilmiş olmasının, bu verilerin reklam ve pazarlama amacıyla işlenmesi için tek başına hukuki dayanak oluşturmadığını vurgulamıştır. Bu nedenle, uygulanacak kişisel veri işleme şartı her somut olayın özelliklerine göre ayrıca değerlendirilmelidir.

2. Açık Rıza Kavramı

Kanun uyarınca kişisel veriler kural olarak ilgili kişinin açık rızası olmaksızın işlenemez. Bununla birlikte, Kanun’un 5’inci maddesinde sayılan kişisel veri işleme şartlarından birinin bulunması hâlinde açık rıza aranmaksızın veri işlenebilir.

Bu nedenle, reklam ve pazarlama faaliyetlerinin dayandığı hukuki sebep her somut olay özelinde belirlenmeli; açık rıza dışındaki bir işleme şartına dayanılması hâlinde bu şartın gerçekten mevcut olup olmadığı ayrıca değerlendirilmelidir.

Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanıdır. İlgili kişinin kampanyayı dinlemeye devam etmesi, görüşmeyi sonlandırmaması, soru sorması, bilgi talep etmesi veya SMS yoluyla ret bildiriminde bulunmaması tek başına geçerli açık rıza olarak kabul edilemez.

3. Aydınlatma Yükümlülüğünün Yerine Getirilmesi

Kanun’un 10’uncu maddesi uyarınca veri sorumluları, ilgili kişiyi; veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçlarla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçlarla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile Kanun’un 11’inci maddesinde sayılan hakları hakkında bilgilendirmelidir.

Kişisel veriler doğrudan ilgili kişiden elde edilmemişse, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ (“Tebliğ”) uyarınca aydınlatma yükümlülüğü; kişisel verilerin elde edilmesinden itibaren makul bir süre içinde, veriler ilgili kişiyle iletişim kurulması amacıyla kullanılacaksa ilk iletişim sırasında, veriler aktarılacaksa en geç ilk aktarım sırasında yerine getirilmelidir.

Tebliğ uyarınca aydınlatma yükümlülüğünün yerine getirilmesi ile açık rıza alınması birbirinden ayrı işlemlerdir. Veri sorumlusu önce aydınlatma yükümlülüğünü yerine getirmeli; açık rızaya dayalı bir işleme faaliyeti söz konusuysa açık rızayı ayrıca ve açık bir irade beyanıyla almalıdır.

4. İdari Para Cezaları

Kanun’da öngörülen yükümlülüklere aykırılık tespit edilmesi hâlinde, ihlalin niteliğine göre Kanun’un 18’inci maddesi kapsamında idari para cezası uygulanması gündeme gelebilir. 2026 yılı için ilgili idari para cezası aralıkları Türk lirası (TL) cinsinden şöyledir:

• Aydınlatma yükümlülüğünün yerine getirilmemesi: 85.437 TL – 1.709.200 TL

• Kurul tarafından verilen kararların yerine getirilmemesi: 427.263 TL – 17.092.242 TL

5. Sonuç

Bu duyuru, üçüncü kişilerden elde edilen iletişim bilgilerinin reklam ve pazarlama amacıyla kullanılmasının kendiliğinden hukuka uygun olmadığını açıkça ortaya koymaktadır.

Veri sorumlularının özellikle aşağıdaki hususlara dikkat etmesi gerekir:

·       Kişisel verilerin kaynağı, elde edilme yöntemi, işleme amacı ve hukuki sebebi belirlenmeli; ilgili kişiler veri işleme süreçleri hakkında açık, anlaşılır ve eksiksiz şekilde bilgilendirilmeli, veriler ilgili kişiden doğrudan temin edilmemişse aydınlatma yükümlülüğü mevzuatta öngörülen süre ve usule uygun olarak yerine getirilmelidir.

·       Açık rızaya dayalı işleme faaliyetlerinde açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilmiş ayrı bir beyan olarak alınmalı; görüşmeyi sürdürme, bilgi talep etme veya ret bildiriminde bulunmama gibi davranışlar açık rıza olarak kabul edilmemelidir.

·       Aydınlatma ve açık rıza süreçleri birbirinden ayrı yürütülmeli; reklam ve pazarlama faaliyetlerinde Kanun ve ilgili mevzuata uygun hareket edilmelidir.

Bu çerçevede, veri sorumlularının reklam ve pazarlama faaliyetlerine ilişkin veri işleme süreçlerini gözden geçirmeleri ve gerekli uyum tedbirlerini almaları tavsiye edilmektedir.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.