10 Haziran 2025 tarihinde toplanan Kişisel Verileri Koruma Kurulu, 2025/1072 sayılı İlke Kararı ile mağaza, e-ticaret ve benzeri platformların; ödeme, üyelik, kayıt gibi işlemler sırasında ilgili kişilere SMS ile gönderilen doğrulama kodlarını, hem aydınlatma hem de açık rıza yükümlülüklerini yerine getirmeden ticari elektronik ileti izni almak amacıyla kullanmasının hukuka aykırı olduğuna hükmetmiştir. Kurula ulaşan çok sayıda şikâyet ve ihbarda, kullanıcıların sadece işlem güvenliği için gönderildiği söylenen kodların, kodun girilmesinin ardından pazarlama içerikli SMS/eposta gönderimine zemin hazırladığı belirtilmiştir.
• Usul ve yöntem tespiti: İncelemelerde, SMS içeriklerinde doğrulama kodunun açıkça “sadece işlem güvenliği” için gönderildiğine dair ifade bulunmasına karşın, kodun girilmesini takiben pazarlama izni oluşturulduğu, ilgili kişilere bu ikili işlev (doğrulama + pazarlama) arasında farkındalık yaratılmadan işlem yaptırıldığı tespit edilmiştir.
• Hukuki dayanaklar:
• Aydınlatma yükümlülüğü (KVKK m. 10): Kişisel verilerin toplanması öncesinde; veri işleme amaçları, aktarım şartları ve veri sahibinin hakları açık ve anlaşılır biçimde bildirilmelidir.
• Açık rıza şartları (KVKK m. 3, m. 5): Rıza; “bilgilendirmeye dayalı ve özgür irade ile açıklanan” bir onay olmalıdır. Pazarlama izni, zorunlu bir işlem gibi sunulduğunda bu temel öğeler ortadan kalkar.
• Veri güvenliği tedbirleri (KVKK m. 12): Hem idari hem teknik önlemler alınarak veri sorumlularının süreç boyunca uyumluluğu sağlanmalıdır.
• Kurul’un değerlendirmesi:
1. “Açık rızanın özgür irade ile verilmesi gerekir. Ticari ileti izni için kod verilmesi zorunlu tutulduğunda bu koşullar ortadan kalkar. Bu nedenle ilgili kişiler yanıltılmakta ve geçerli bir rıza oluşmamaktadır.”
2. Aydınlatma ve rıza alma süreçlerinin, tek bir SMS kodu içerisinde birleştirilerek aynı anda gerçekleştirilmesinin hukuka aykırı olduğu; her bir hukuki işlem adımının (doğrulama, aydınlatma, açık rıza) ayrı eylemle sağlanması gerektiği vurgulanmıştır.
3. Kararın, 6698 sayılı Kanun’un 15. maddesi uyarınca bir “ilke kararı” olarak yayımlanmasına ve Resmî Gazete’ de yürürlüğe konulmasına oybirliğiyle karar verilmiştir.
Sonuç ve Yol Haritası:
1. Önceden Açıklama (Katmanlı Aydınlatma):
• SMS ile gönderilecek kodun amacı, kodun girilmesinin sonuçları ve pazarlama ileti tercihlerinin nasıl değiştirileceği, ilgili kişilere net biçimde iletilmelidir.
2. Ayrı Eylem İlkesi:
• Doğrulama kodu, yalnızca işlem güvenliği içindir. Pazarlama izni isteyen SMS/bağlantı, doğrulama işleminden bağımsız olarak ve ayrı bir onay adımıyla gönderilmelidir.
3. Özgür Rıza:
• Pazarlama izni, ürün veya hizmet sunumunun ön koşulu olarak gösterilmemelidir. İlgili kişi, rıza vermese de alışverişini veya üyelik işlemini tamamlayabilmelidir.
4. Teknik ve İdari Tedbirler:
• Tüm sürecin hukuka uygunluğunu sağlamak için; personel eğitimi, iç politika güncellemeleri ve periyodik denetimler eksiksiz uygulanmalıdır.
5. Uyumsuzluk Durumunda Yaptırım:
• İşlemlere devam edilmesi halinde, 6698 sayılı Kanun’un 18. maddesi uyarınca idari para cezası veya diğer yaptırımlar gündeme gelebilecektir.
Bu İlke Kararı, bütün veri sorumlularının SMS yoluyla kod gönderme süreçlerini yeniden yapılandırmalarını, aydınlatma ve açık rıza modellerini ayrı “buton”, “link” veya “onay kutusu” mekanizmalarıyla kurgulayarak kesin bir uyum sağlamalarını gerektirmektedir
*İş bu yazı yalnızca hukuki bilgilendirme niteliğinde olup, veri işleme süreçlerinin her bir şahıs/kurum bakımından özel olarak değerlendirilmesi gerektiğini belirtmek isteriz. Ayrıca detaylı bilgi için hukuk büromuza info@sahinpartners.com uzantılı mail adresimizden ulaşabilir, www.sahinpartners.com adresli web sitemizi ziyaret edebilirsiniz.
#kişiselveri #kvkk #kişiselveriavukatı #kişiselverihukukbürosu #verbis #kvkkdanışmanlık #kişiselvericeza #kişiselveriidariparacezası #kişiselvericezaitirazı #kişiselvericezaiptali #kişiselveriaçıkrıza #kişiselveriişleme #kişiselveritedbir #kvkkavukatı #kvkkdanışmanlık
