Üçüncü Kişilerden Elde Edilen Verilerle Pazarlama Yapılmasına İlişkin KVKK Duyurusunun Hukuki Analizi

Kişisel Verileri Koruma Kurumu (KVKK), iş dünyasında özellikle çağrı merkezleri ve pazarlama sektörlerinde sıkça karşılaşılan bir veri işleme pratiğine yönelik önemli bir kamuoyu duyurusu yayımlamıştır. Kuruma ulaşan çok sayıda ihbar ve şikâyet üzerine yapılan incelemeler, “referans”, “tavsiye”, “marka elçiliği”, “tanıdık yönlendirmesi” veya “müşteri önerisi” gibi yöntemlerle üçüncü kişilerden elde edilen telefon numarası, e-posta adresi gibi iletişim bilgilerinin, ilgili kişilere herhangi bir aydınlatma yapılmaksızın ve açık rızaları alınmaksızın sesli arama, SMS veya benzeri pazarlama faaliyetlerinde kullanıldığını ortaya koymuştur.

Bu duyuru, veri sorumlularına KVKK’nın temel ilkelerini hatırlatmakta ve olası idari yaptırımlara karşı uyulması gereken yükümlülükleri net bir şekilde ortaya koymaktadır. Avukatlar ve hukuk profesyonelleri açısından konunun önemi, hem veri sorumlusu şirketlere verilecek hukuki danışmanlık süreçlerinde hem de olası KVKK ihlali davalarında başvurulacak hukuki dayanakların belirginleştirilmesindedir.

1. Üçüncü Kişiden Veri Elde Etmek Hukuki Sebep Oluşturmaz

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 5. maddesi, kişisel verilerin kural olarak ilgili kişinin açık rızası olmaksızın işlenemeyeceğini hükme bağlamıştır. Kanun’da sayılan diğer işleme şartlarının varlığı halinde açık rıza aranmasa da, özellikle reklam ve pazarlama gibi doğrudan ticari iletişim amaçlarında somut olayın özelliklerine göre ayrı bir değerlendirme yapılması zorunludur. Üçüncü bir kişiden veri temin edilmiş olması, tek başına ne açık rıza ne de Kanun’un 5. maddesindeki diğer hukuki sebeplerden herhangi birini ikame eder. Bu husus, veri sorumlularının en sık düştüğü hukuki yanılgılardan biridir ve avukatların müvekkillerine vereceği en kritik tavsiyelerden birini oluşturur.

2. Dolaylı Veri Elde Etmede Aydınlatma Yükümlülüğünün Zamanlaması

Kişisel verilerin doğrudan ilgili kişiden elde edilmediği durumlarda uygulanacak usul ve esaslar, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ile düzenlenmiştir. KVKK duyurusu, bu Tebliğ’in 6. maddesine atıfla veri sorumlularının aydınlatma yükümlülüğünü şu üç farklı zaman diliminde yerine getirmesi gerektiğini vurgulamaktadır:

• Kişisel verilerin elde edilmesinden itibaren makul bir süre içinde,
• Veriler ilgili kişiyle iletişim kurulması amacıyla kullanılacaksa ilk iletişim anında,
• Veriler üçüncü kişilere aktarılacaksa en geç ilk aktarım sırasında.

Uygulamada çağrı merkezleri aracılığıyla yapılan pazarlama aramalarında aydınlatmanın yapılmaması veya ilgili kişinin bir aydınlatma metnine yönlendirilmemesi, Kanun’un 10. maddesinin açık ihlali anlamına gelmektedir. Bu ihlal, hem idari para cezası riskini doğurmakta hem de ilgili kişinin 11. ve 12. maddelerdeki haklarını kullanmasını engellemektedir.

3. Zımni Rıza Kavramı Hukuken Geçersizdir

Veri sorumlularının en yaygın hatalarından biri, ilgili kişinin aramayı sonlandırmaması, dinlemeye devam etmesi, soru sorması veya gelen SMS’e ret mesajı göndermemesini “zımni rıza” olarak kabul etmeleridir. KVKK’nın 3. maddesinde açık rıza; “belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan” bir irade beyanı olarak tanımlanmıştır. Bu üç unsurun eş zamanlı olarak taşınmadığı pasif davranışlar, sessizlik veya eylemsizlik hukuken geçerli rıza oluşturmaz. Yargı ve Kurul kararlarında da bu yaklaşım net bir şekilde reddedilmektedir.

4. Aydınlatma ve Açık Rıza Süreçleri Bağımsız Olmalıdır

Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’in 5. maddesi, aydınlatma yükümlülüğü ile açık rıza alma süreçlerinin birbirinden tamamen bağımsız olduğunu açıkça düzenlemiştir. Veri sorumlusu önce ilgili kişiyi Kanun’un 10. maddesi kapsamında eksiksiz aydınlatmalı, ardından açık rızayı ayrı ve özgür bir irade beyanı olarak talep etmelidir. Aydınlatma yapılmadan alınan rıza, hukuken sakattır ve geçerlilik şartlarını taşımaz.

Sonuç ve Yaptırım Riski

Kişisel Verileri Koruma Kurulu, bu duyuru ile pazarlama süreçlerinde referans ve tavsiye mekanizmalarını kullanan tüm veri sorumlularına ciddi bir uyarıda bulunmuştur. Aydınlatmasız ve rızasız yürütülen faaliyetlerin tespiti halinde, 6698 sayılı Kanun’un 18. maddesi uyarınca idari para cezası uygulanabilecektir. Cezalar, ihlalin niteliğine, verinin özel nitelikli olup olmamasına ve zararın büyüklüğüne göre değişkenlik göstermektedir.

Avukatlar açısından bu duyuru, müvekkillerine çağrı merkezi prosedürlerini, pazarlama metinlerini, aydınlatma ve rıza formlarını acilen revize etmeleri yönünde hukuki danışmanlık verme zorunluluğunu doğurmaktadır. Veri envanterlerinin güncellenmesi, üçüncü taraf veri temin süreçlerinin KVKK’ya uygun hale getirilmesi ve olası denetimlere karşı savunma dosyalarının hazırlanması, hukuki risk yönetiminin temel unsurları haline gelmiştir.

Duyuru aynı zamanda, ilgili kişilerin 11. maddedeki haklarını (erişim, düzeltme, silme, itiraz vb.) daha etkin kullanabilmelerine de zemin hazırlamaktadır. Hukuk profesyonelleri, bu tür ihlallere karşı açılacak davalarda hem idari yaptırım kararlarının iptali hem de tazminat taleplerinde bu duyuruyu önemli bir referans olarak kullanabilecektir.

Sonuç itibarıyla KVKK’nın bu kamuoyu duyurusu, kişisel verilerin korunması rejiminin pazarlama faaliyetlerindeki sınırlarını bir kez daha netleştirmiş ve veri sorumlularına önemli bir uyum ödevi yüklemiştir. Bu çerçevede avukatların rolü, yalnızca reaktif savunma değil, proaktif uyum danışmanlığı ve risk yönetiminin merkezinde yer almaktadır.

(Makale yaklaşık 850 kelime olup, avukatlara ve veri koruma uzmanlarına pratik yol haritası sunmayı amaçlamaktadır.)