Reklam Amaçlı SMS ve E-Postada KVKK

İlgili çalışma alanı → Kişisel Verilerin Korunması: Ticari elektronik ileti, açık rıza, İYS ve Kurul kararları için çalışma alanı.

İşletmelerin en sık düştüğü hata, reklam SMS ve e-postasını tek bir mevzuata indirgemektir. Oysa reklam iletisi göndermek iki ayrı hukuki rejime aynı anda tabidir: ticari elektronik ileti mevzuatı ile kişisel verilerin korunması mevzuatı. İleti Yönetim Sistemi'ne (İYS) kayıt, birinci rejime uyumu gösterir; ikinci rejime, yani 6698 sayılı Kanun'a uyumu tek başına sağlamaz. Bu ayrım, hem idari para cezası riskini hem de alıcının haklarını doğrudan belirler.

İki Rejim: Ticari İleti ve Kişisel Veri

Ticari elektronik ileti, 6563 sayılı Kanun ve ona bağlı yönetmelikle düzenlenir; onaylar İleti Yönetim Sistemi üzerinden yönetilir. Buna karşılık reklam iletisi için kullanılan cep telefonu numarası ya da e-posta adresi kişisel veridir; bunların bir kayıt sisteminde tutulup ileti gönderilmesi 6698 sayılı Kanun anlamında bir işleme faaliyetidir.

Sonuç olarak reklam iletisi göndermek isteyen veri sorumlusu iki koşulu birlikte sağlamalıdır: iletinin 6563 sayılı Kanun ve İYS kurallarına uygunluğu, ve verinin işlenmesinin 6698 sayılı Kanun md. 5 kapsamında bir hukuki şarta dayanması. Bu iki uyum ayrı ayrı belgelenir.

İYS Onayı Açık Rıza Değildir

En kritik nokta budur. İYS'ye kayıtlı olmak ya da 6563 mevzuatı kapsamında onay bulunması, 6698 sayılı Kanun anlamında açık rıza yerine geçmez. Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir beyandır. Genel bir üyelik, sistem kaydı ya da hizmet şartına bağlanmış toplu onay bu ölçütü karşılamaz.

Kişisel Verileri Koruma Kurulu (KVKK Kurulu), 10.02.2022 tarihli ve 2022/107 sayılı kararında, İYS kaydına dayanan bir tasarruf finansman şirketinin reklam SMS'inde açık rızayı veya bir işleme şartını tevsik edemediğini belirleyerek 6698 sayılı Kanun md. 12 ve md. 18 uyarınca idari para cezası uyguladı. Kurul, iletide kullanılan numaranın kişisel veri olması nedeniyle sürecin kişisel verilerin korunması mevzuatına da uygun olması gerektiğini vurguladı. Kararın çözümlemesi için açık rıza olmadan reklam SMS'i: KVKK Kurul kararı analizine bakılabilir.¹

Önemli: Kurul, reklam ve pazarlama amaçlı ileti gönderiminde ilgili kişilerin rızasının alınması gerektiğini 2018/119 sayılı İlke Kararı'yla da ortaya koymuştur. Açık rızanın ispat yükü veri sorumlusundadır; tarih, kapsam ve bilgilendirme içeriğiyle belgelenemeyen rıza yok sayılır.

Açık Rıza Gerekmeyen Haller

Her işleme açık rıza gerektirmez. 6698 sayılı Kanun md. 5/2, açık rıza aranmaksızın işlemeye izin veren şartları sayar: kanunlarda açıkça öngörülme, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma, veri sorumlusunun hukuki yükümlülüğü, ilgili kişinin alenileştirmesi, bir hakkın tesisi ve veri sorumlusunun meşru menfaati.

Ancak reklam ve pazarlama, kural olarak bu şartların dışında kalır. Mevcut bir müşteriye kendi aldığı ürünle ilgili sınırlı bilgilendirme kimi hâllerde tartışılabilse de, soğuk pazarlama iletisi (önceden ilişki bulunmayan kişiye reklam) açık rıza olmadan gönderilemez. Meşru menfaat şartı da reklam iletisini otomatik olarak meşru kılmaz; ilgili kişinin temel hak ve özgürlükleriyle dengelenmesi gerekir.

Yaptırım ve Sorumluluk

Açık rıza veya işleme şartı bulunmadan gönderilen reklam iletisi iki sonuç doğurur. Birincisi idari yaptırımdır: veri sorumlusu, gerekli teknik ve idari tedbirleri almadığı gerekçesiyle 6698 sayılı Kanun md. 18 uyarınca idari para cezasıyla karşılaşır. İkincisi, ilgili kişinin verisinin imhası ve hakları gündeme gelir. Ayrıca 6563 sayılı Kanun kapsamında izinsiz ticari ileti için ayrı idari yaptırım da uygulanabilir; iki rejimin yaptırımları birbirinden bağımsızdır.

Uygulamada

İşletme tarafında kurulacak düzen üç adımdır. Birincisi, reklam iletisi gönderilecek her kişi için hem İYS onayı hem KVKK açık rızası ayrı ayrı ve belgeli biçimde alınmalıdır; tek bir kutucukla toplanan "hepsini kabul ediyorum" tipi onay geçersizdir. İkincisi, aydınlatma metni işleme amacını, dayanağını ve ret imkânını açıkça göstermelidir. Üçüncüsü, ret ve silme talepleri hızlı işletilmeli, veri kaynağı sorulduğunda cevaplanmalıdır.

Alıcı tarafında ise açık rıza olmadan gelen reklam iletisine karşı önce veri sorumlusuna başvurulmalı, numaranın veya e-postanın kaynağı ile işleme dayanağı sorulmalıdır. Yanıt yetersizse Kurula şikâyet edilir; aynı zamanda izinsiz ticari ileti yönünden ilgili idareye başvurulabilir. Ticari iletinin genel uyumu için ticari elektronik ileti ve İYS uyumu makalesi ile açık rıza hangi hâllerde gerekmez sayfası birlikte okunmalıdır.

İlgili içerikler için bkz. Açık Rıza Olmadan Reklam SMS'i: KVKK Kurul Kararı, Ticari Elektronik İleti ve İYS Uyumu ve Kişisel Verilerin Korunması.

Reklam amaçlı kişisel veri işlemede hukuki dayanaklar için bkz. POLATER, Salih, "Kişisel Verilerin Reklam Amaçlı İşlenmesinde Hukuka Uygunluk Sebepleri", Kişisel Verileri Koruma Dergisi, 2019, C. 1, S. 1, s. 1-20. İşleme şartları ve açık rıza bakımından ayrıca bkz. GÜRLER, Mehmet, "Türk Ceza Kanunu'ndaki Kişisel Verilerin Korunmasına İlişkin Suçlar Bakımından Hukuka Uygunluk Sebepleri", Anadolu Üniversitesi Hukuk Fakültesi Dergisi, 2025, C. 11, S. 2, s. 979-1008. ↩

Reklam Amaçlı SMS ve E-Postada KVKK