KVKK’dan Üçüncü Kişilerden Elde Edilen Kişisel Verilerin Reklam ve Pazarlama Amaçlı Kullanılmasına İlişkin Kamuoyu Duyurusu

Kişisel Verileri Koruma Kurumu (KVKK), çeşitli sektörlerde faaliyet gösteren veri sorumlularının mevcut müşterilerinden veya üçüncü kişilerden temin ettikleri iletişim bilgilerini reklam ve pazarlama amacıyla kullandığına ilişkin çok sayıda ihbar ve şikâyet aldığını kamuoyu ile paylaşmıştır. Şikâyetlerde, telefon numarası, e-posta adresi gibi verilerin “referans”, “tavsiye”, “marka elçiliği”, “tanıdık yönlendirmesi” veya “müşteri önerisi” gibi yöntemlerle üçüncü kişilerden elde edildiği, ilgili kişilere herhangi bir aydınlatma yapılmadan ve açık rızaları alınmadan sesli arama veya SMS yoluyla pazarlama yapıldığı belirtilmektedir.

Kurul’un incelemeleri de bu tür uygulamaların yaygın olduğunu doğrulamıştır. Ancak üçüncü kişilerden veri elde etmek, tek başına reklam ve pazarlama amacıyla veri işleme için hukuki dayanak sağlamamaktadır. Bu nedenle veri sorumlularının 6698 sayılı Kişisel Verilerin Korunması Kanunu’ndaki veri işleme şartlarına ve yükümlülüklere titizlikle uyması zorunludur.

Kanuni Çerçeve ve Veri İşleme Şartları

Kanun’un 5. maddesi uyarınca kişisel veriler kural olarak ilgili kişinin açık rızası olmadan işlenemez. Kanun’da belirtilen diğer işleme şartlarının varlığı halinde rıza aranmasa da, özellikle ticari iletişim amaçlı veri işleme faaliyetlerinde her somut olayın ayrı ayrı değerlendirilmesi gerekmektedir.

Kanun’un 10. maddesi, veri sorumlusuna aydınlatma yükümlülüğü yüklemektedir. Veri sorumlusu, veri sorumlusunun kimliği, veri işleme amacı, aktarılabileceği alıcılar, veri toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları konusunda ilgili kişiyi bilgilendirmek zorundadır.

Dolaylı Veri Elde Etmede Aydınlatma Zamanlaması (Tebliğ m. 6)

Kişisel verilerin doğrudan ilgili kişiden elde edilmediği durumlarda Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uygulanır. Tebliğ’e göre veri sorumlusu şu zamanlarda aydınlatma yapmakla yükümlüdür:

• Verilerin elde edilmesinden itibaren makul süre içinde,
• Veriler iletişim amacıyla kullanılacaksa ilk iletişim anında,
• Veriler üçüncü kişilere aktarılacaksa en geç ilk aktarım sırasında.

Uygulamada çağrı merkezleri üzerinden yapılan aramalarda aydınlatmanın yapılmaması veya aydınlatma metnine yönlendirme yapılmaması, Kanun’un 10. maddesinin açık ihlalidir.

Açık Rıza ve Zımni Rıza Meselesi

Kurul, ilgili kişinin aramayı dinlemeye devam etmesi, görüşmeyi sonlandırmaması, soru sorması veya SMS’e ret cevabı vermemesini “açık rıza” olarak kabul etmenin yanlış olduğunu vurgulamıştır. Kanun’un 3. maddesine göre açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan irade beyanıdır. Bu unsurları taşımayan pasif davranışlar rıza teşkil etmez.

Tebliğ’in 5. maddesi ise aydınlatma yükümlülüğü ile açık rıza alma süreçlerinin birbirinden bağımsız olduğunu açıkça düzenlemiştir. Aydınlatma yapılmadan alınan rıza hukuken geçersizdir.

Kurul’un Tavsiyeleri ve Yaptırım Uyarısı

Duyuruda veri sorumlularına şu hususlar hatırlatılmıştır:

• Tebliğ’in 6. maddesine uygun şekilde zamanında ve usulüne uygun aydınlatma yapılması,
• İlgili kişilerin açık, anlaşılır ve eksiksiz bilgilendirilmesi,
• Açık rızanın unsurlarına uygun şekilde alınması,
• Pasif davranışların rıza olarak yorumlanmaması,
• Aydınlatma ve rıza süreçlerinin bağımsız yürütülmesi.

Bu yükümlülüklere aykırı davranıldığı tespit edildiğinde, Kanun’un 18. maddesi uyarınca idari para cezası uygulanabilecektir. Cezalar, ihlalin ağırlığına göre değişmekle birlikte, veri sorumluları için ciddi mali ve itibari riskler taşımaktadır.

Hukuk Profesyonelleri İçin Değerlendirme

Bu kamuoyu duyurusu, özellikle veri koruma hukuku ile uğraşan avukatlar için önemli bir referans metnidir. Müvekkillerine uyum danışmanlığı veren avukatlar, çağrı merkezi prosedürlerini, pazarlama stratejilerini, veri envanterlerini ve aydınlatma-rıza metinlerini derhal gözden geçirmelidir. Ayrıca olası KVKK soruşturmalarında savunma stratejileri oluştururken bu duyurunun bağlayıcı niteliği göz önünde bulundurulmalıdır.

Duyuru, aynı zamanda bireysel veri sahiplerinin haklarını daha etkin kullanabilmelerine de katkı sağlamaktadır. İlgili kişiler, aydınlatma ve rıza süreçlerindeki eksiklikleri gerekçe göstererek veri silme, işleme durdurma ve tazminat taleplerinde bulunabilecektir.

Sonuç olarak, KVKK’nın bu duyurusu kişisel verilerin korunması rejiminin pazarlama faaliyetlerindeki sınırlarını bir kez daha netleştirmiş, veri sorumlularına önemli bir uyum yükümlülüğü getirmiştir. Avukatların bu süreçte proaktif rol alması, hem müvekkillerini olası cezalardan korumak hem de kişisel verilerin korunması kültürünün yerleşmesine katkı sağlamak açısından kritik öneme sahiptir.

(Makale yaklaşık 720 kelime olup, KVKK uyum süreçleri ve veri koruma hukuku alanında çalışan hukukçular için kapsamlı bir analiz sunmaktadır.)