Açık Rıza Olmadan Reklam SMS'i: KVKK Kurul Kararı

İlgili çalışma alanı → Kişisel Verilerin Korunması: Açık rıza, ticari elektronik ileti, İYS ve Kurul kararları için çalışma alanı.

Kişisel Verileri Koruma Kurulu (KVKK Kurulu), 10.02.2022 tarihli ve 2022/107 sayılı kararıyla, reklam SMS'lerinde en çok karıştırılan noktayı çözdü: İleti Yönetim Sistemi (İYS) kaydı bulunması, 6698 sayılı Kanun anlamında açık rızanın yerine geçer mi? Karar, ticari elektronik ileti mevzuatı ile kişisel verilerin korunması mevzuatının birlikte uygulanması gerektiğini gösterir.

Uyuşmazlığın Konusu

İlgili kişi, bir tasarruf finansman şirketinden açık rızası olmadan reklam içerikli SMS aldığını, telefon numarasının nasıl elde edilip işlendiğini öğrenmek için veri sorumlusuna başvurduğunu, tatmin edici cevap alamayınca Kurula şikâyette bulunduğunu belirtti. Veri sorumlusu, numaranın İYS sistemine kayıtlı olduğunu ve 6563 sayılı Kanun kapsamındaki onaya dayandığını savundu.

Kararın Gerekçesi: İki Mevzuatın Birlikte Uygulanması

Kurul, ticari ileti ile kişisel veri işlemenin ayrı ama üst üste binen iki rejime tabi olduğunu vurguladı:

bu mesajların iletilmesi için kullanılan iletişim numarasının kişisel veri niteliğinde olması nedeniyle ticari elektronik iletilerin gönderilmesi süreçlerinin aynı zamanda kişisel verilerin korunması mevzuatına da uygun olması gerektiği

Kişisel Verileri Koruma Kurulu, 10.02.2022, 2022/107

Reklam SMS'i için kullanılan cep telefonu numarası kişisel veridir; numaranın bir veri kayıt sisteminde tutulup ileti gönderilmesi bir kişisel veri işleme faaliyetidir. Bu nedenle iletinin 6563 sayılı Kanun ve İYS kurallarına uygun olması yetmez; işleme aynı zamanda 6698 sayılı Kanun md. 5 kapsamında bir hukuki şarta dayanmalıdır.

İYS Onayı Açık Rıza Yerine Geçmez

Kurul, veri sorumlusunun sunduğu belgelerde ilgili kişinin İYS'ye kaydına temel oluşturacak bir ilişkinin ya da açık rızanın bulunmadığını belirledi. İYS'ye kayıtlı olmak, tek başına 6698 sayılı Kanun anlamında geçerli bir açık rıza ya da işleme şartı oluşturmaz. Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanıdır; genel bir sistem kaydı bunu karşılamaz.

Önemli: Açık rıza olmasa bile işleme, 6698 sayılı Kanun md. 5/2'deki şartlardan birine (örneğin kanunlarda açıkça öngörülme, sözleşmenin ifası, veri sorumlusunun meşru menfaati) dayanabilir. Ancak reklam ve pazarlama amaçlı ileti, kural olarak bu şartların dışında kalır ve açık rıza gerektirir. Belgeyle ispat yükü veri sorumlusundadır.

Sonuç: İdari Para Cezası

Kurul, açık rıza veya işleme şartı tevsik edilemediğinden, veri sorumlusunun 6698 sayılı Kanun md. 12 kapsamında gerekli teknik ve idari tedbirleri almadığı sonucuna vardı ve md. 18 uyarınca 75.000 TL idari para cezası uyguladı. Ayrıca hukuka aykırı işlenen verinin md. 7 çerçevesinde imhasını ve sonucun Kurula bildirilmesini talimatlandırdı.

Kararın Anlamı

Karar, işletmeler için net bir çizgi koyar: İYS onayı ticari ileti mevzuatına uyumu sağlar ama KVKK uyumunu tek başına sağlamaz. Reklam iletisi göndermek için hem 6563 sayılı Kanun/İYS kurallarına hem de 6698 sayılı Kanun'un işleme şartlarına uyulmalı; bu ikisi ayrı ayrı belgelenmelidir. Ticari iletinin genel çerçevesi için ticari elektronik ileti ve İYS uyumu makalesine, reklamda kişisel veri boyutuna reklam amaçlı SMS ve e-postada KVKK makalesine bakılabilir.

Uygulamada

Veri sorumlusu tarafında, reklam iletisi gönderilen her numara için iki ayrı dayanak hazır tutulmalıdır: İYS onayı ve KVKK açık rızası (ya da md. 5/2 şartı). Açık rıza; ayrı, bilgilendirilmiş ve özgür iradeyle alınmış olmalı, tarih ve içerikle belgelenmelidir; genel bir üyelik ya da sistem kaydına yaslanmak yeterli değildir.

İlgili kişi tarafında, açık rıza olmadan gelen reklam SMS'ine karşı önce veri sorumlusuna başvurulmalı; numaranın kaynağı, işleme amacı ve dayanağı sorulmalıdır. Tatmin edici cevap gelmezse ya da süresinde yanıt verilmezse Kurula şikâyet yolu açıktır. Başvuru ve şikâyet usulü için KVKK veri sahibi başvurusu nasıl yapılır sayfasına bakılabilir.

İlgili içerikler için bkz. Reklam Amaçlı SMS ve E-Postada KVKK, Ticari Elektronik İleti ve İYS Uyumu ve Kişisel Verilerin Korunması.

Açık Rıza Olmadan Reklam SMS'i: KVKK Kurul Kararı