Arkadaşını Getir Kampanyaları KVKK'ya Uygun mu? Üçüncü Kişiden Alınan Numarayla Pazarlama ve 2026/1183 Sayılı Karar

Kısa cevap: hayır. Müşterinizin size verdiği arkadaş numarasını arayıp kampanya anlatmak, 6698 sayılı Kanun karşısında dayanağı olmayan bir veri işleme faaliyeti. Kişisel Verileri Koruma Kurumu bunu 21 Temmuz 2026 tarihli kamuoyu duyurusunda tek cümleyle özetledi: kişisel verinin üçüncü bir kişiden elde edilmiş olması, veri sorumlusuna o veriyi reklam ve pazarlama amacıyla işleme konusunda tek başına hukuki dayanak sağlamıyor. Duyurunun arkasında somut bir dosya var. Kurul'un 10 Haziran 2026 tarihli ve 2026/1183 sayılı kararında, marka elçiliği programıyla müşterilerinden üçüncü kişilerin numaralarını toplayan ve karşılığında prim ödeyen bir tasarruf finansman şirketine 1.000.000 TL idari para cezası verildi. Kaçırılan nokta genellikle şu: ihlal SMS gönderildiğinde değil, numara sisteme kaydedildiği anda başlıyor.

Duyuru, Kurum'a gelen ihbar ve şikâyetlerin ortak hikâyesini anlatıyor. İletişim bilgisi mevcut müşteriden ya da bir başka üçüncü kişiden alınıyor; referans, tavsiye, marka elçiliği, tanıdık yönlendirmesi, müşteri önerisi, adı her sektörde biraz değişiyor. Sonra çağrı merkezi devreye giriyor, numara aranıyor veya SMS gidiyor. Kurul incelemelerinde iki eksik sürekli tekrarlanmış: arama sırasında aydınlatma yapılmamış ve kişi aydınlatma metnine yönlendirilmemiş. Satış masasının alışkanlığı da bunu besliyor. Memnun kalan müşteri "eşim de ilgilenir, numarasını vereyim" diyor, numara CRM'e düşüyor, ertesi sabah aranıyor. O cümlenin iyi niyetle kurulmuş olması, verinin sahibinin olan bitenden habersiz olduğu gerçeğini değiştirmiyor.

Kanun'un 5. maddesi işin merkezinde duruyor. Kişisel veri kural olarak açık rıza olmadan işlenemiyor; açık rızanın aranmadığı hâller ise ikinci fıkrada sayılı ve sınırlı. Tavsiye yoluyla gelen bir numarayla pazarlama yapacaksanız bu listede size uyan bir şart bulmak zorundasınız. Sözleşme yok, çünkü o kişiyle henüz hiçbir ilişkiniz yok. Kanunlarda açıkça öngörülme ya da hukuki yükümlülük de yok. Geriye çoğu zaman meşru menfaat tartışması kalıyor. Ama kendisine hiç sorulmadan numarası bir şirketin arama listesine giren kişinin temel hak ve özgürlükleri, o şirketin satış hedefinin önünde duruyor. Pratikte tek gerçekçi dayanak açık rıza ve onu verecek kişi, numarayı ileten arkadaş değil, numaranın sahibi.

2026/1183 sayılı karara konu olay bu kurgunun sahadaki hâlini gösteriyor. Şikâyete göre şirket, marka elçisi olan müşterilerinden üçüncü kişilerin telefon numaralarını topluyor ve bu veriler karşılığında prim ödüyor; şikâyetçinin numarası da bu yolla sisteme girmiş, ardından pazarlama amaçlı SMS gönderilmiş ve sesli arama yapılmış. Şirketin savunması tanıdık cümlelerden kuruluydu: müşterimiz uygulama üzerinden tavsiye etti, çağrı merkezimiz aradı, aydınlatma yaptı ve rıza aldı, ilgili kişi sistem hakkında sorular sordu, her SMS'te çıkış imkânı vardı, şikâyetten sonra kayıt silindi ve numara engellendi. Kurul bu savunmayı kabul etmedi. Kampanyayı dinlemeye devam etmeyi bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir rıza saymadı; aydınlatmanın işlemeye başlamadan önce yapılmadığını ve görüşmenin kaydedildiğinin ilgili kişiye bildirilmediğini tespit etti.

Kararın asıl ağırlığı sonucunda. Kurul, dosyada tek bir şikâyetçi bulunmasına rağmen aynı yöntemin programdaki diğer kişiler için de uygulandığını görüp değerlendirmeyi marka elçiliği programının tamamına yaydı. Tespit ettiği aykırılık, 12. maddenin birinci fıkrasının (a) bendindeki yükümlülüğün, yani kişisel verilerin hukuka aykırı işlenmesini önlemek amacıyla gerekli her türlü teknik ve idari tedbiri alma yükümlülüğünün ihlali oldu. Yaptırım 18. maddenin birinci fıkrasının (b) bendi uyarınca 1.000.000 TL. Buradaki ders ceza tutarından daha önemli. Bir tavsiye programında tek kişinin şikâyeti dosyayı o kişiyle sınırlı tutmuyor; Kurul kurgunun kendisine bakıyor ve prim ödeyerek numara toplayan bir sistemde kurguyu tasarlayan taraf veri sorumlusu sayılıyor.

Duyurunun en çok işe yarayacak bölümü, rıza sanılan davranışların listesi. Kişinin kampanyayı dinlemeye devam etmesi, görüşmeyi kapatmaması, merak edip soru sorması ya da gelen SMS'e ret cevabı vermemesi tek başına açık rıza sayılmıyor. Kanun'un 3. maddesi açık rızayı belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan irade beyanı olarak tanımlıyor; sessizlik bu tanıma girmiyor. Bir ayrım daha var ve şirketlerin yarısı bu ikisini tek cümlede birleştiriyor. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, işleme açık rızaya dayanıyorsa aydınlatma ile açık rıza alınması işlemlerinin ayrı ayrı yerine getirilmesini istiyor. Önce bilgilendirme, sonra ayrı bir irade beyanı. Çağrı merkezi senaryonuzda ikisi aynı cümlede eriyorsa o rıza baştan sakat.

Veriyi kişinin kendisinden almadıysanız aydınlatmanın ne zaman yapılacağı da yazılı. Tebliğ'in 6. maddesi üç ihtimal sayıyor: kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde, veri ilgili kişiyle iletişim amacıyla kullanılacaksa ilk iletişim kurulması esnasında, veri aktarılacaksa en geç ilk kez aktarımın yapılacağı esnada. Tavsiye programında geçerli olan ikincisi. Telefonu açan kişiye kampanyayı anlatmadan önce kim olduğunuzu, numarasını hangi yolla elde ettiğinizi, hangi amaçla işlediğinizi ve 11. maddedeki haklarını söylemeniz gerekiyor. Aynı Tebliğ'in 5. maddesi ispat yükünü de veri sorumlusuna bırakıyor: aydınlatma yükümlülüğünün yerine getirildiğini ispat etmek size düşüyor. "Numaramı nereden buldunuz" sorusuna verecek belgeli bir cevabınız yoksa dosya Kurul'a ulaşmadan kaybedilmiş demektir.

Kurul'un bu çizgisi yeni değil, 2026 duyurusu yalnızca sesini yükseltti. 27 Ocak 2020 tarihli ve 2020/67 sayılı kararda bir gayrimenkul şirketi, reklam SMS'i gönderdiği numarayı internetteki kamuya açık kaynaklardan aldığını, o kaynaklara artık erişemediğini savunmuştu. Kurul, bir verinin bir yerde görünür olmasının onu kendiliğinden alenileştirilmiş veri yapmadığını, kişinin alenileştirme iradesinin aranması ve verinin yalnızca alenileştirme amacıyla sınırlı kullanılabilmesi gerektiğini belirtti. Numarasını kendisine ulaşılabilsin diye paylaşan kişi, o numaranın kampanya listesine eklenmesine rıza göstermiş sayılmıyor. Sonuç 50.000 TL idari para cezası oldu. Altı yıl sonra aynı mantık, aynı maddeler ve yirmi kat ceza.

Bir de ikinci mevzuat katmanı var; çoğu şirket yalnızca birine bakıyor. 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun'un 6. maddesi, ticari elektronik iletilerin alıcılara ancak önceden onayları alınmak kaydıyla gönderilebileceğini söylüyor. Onayı verecek kişi alıcının kendisi; onu tavsiye eden arkadaşı değil, eşi hiç değil. Üçüncü kişinin beyanıyla İleti Yönetim Sistemi'ne onay kaydı girilmesi de bu eksikliği kapatmıyor, çünkü ortada alıcının kendi olumlu irade beyanı yok. Tavsiye yoluyla gelen numaraya atılan tek bir SMS bu yüzden iki ayrı mevzuatı ve iki ayrı yaptırım yolunu aynı anda harekete geçirebiliyor: bir tarafta Kurul'un idari para cezası, diğer tarafta Ticaret Bakanlığı'nın ticari elektronik ileti yaptırımı.

Numarayı veren taraf da bu tablonun içinde duruyor. Kanun'un 28. maddesi, gerçek kişilerin tamamen kendileriyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında yaptığı işlemeyi Kanun'un dışında bırakıyor, ama istisnanın açık bir şartı var: kişisel verilerin üçüncü kişilere verilmemesi. Rehberindeki numarayı prim karşılığında bir şirkete aktaran marka elçisi tam olarak bu şartı çiğniyor ve artık kişisel bir faaliyetin içinde sayılmıyor. Türk Ceza Kanunu'nun 136. maddesi ise kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi için iki yıldan dört yıla kadar hapis cezası öngörüyor. Aynı risk, kendi telefon rehberini ya da eski işyerinden kalan müşteri listesini şirketin CRM'ine yükleyen satış temsilcisi için de geçerli.

Peki tavsiye pazarlaması tamamen kapandı mı? Hayır, yalnızca akışın yönü değişiyor. Çalışan model şu: şirket üçüncü kişinin iletişim bilgisini hiç almıyor. Müşteriye kendisine özel bir davet bağlantısı ya da kod veriliyor, müşteri bunu arkadaşına kendi kanalından iletiyor, arkadaş isterse formu kendi dolduruyor ve ilk temas ondan geliyor. Prim de arkadaşın kendi başvurusuyla tetikleniyor. Bu kurguda aydınlatma formun üstünde duruyor, açık rıza ayrı bir kutucukta alınıyor, ticari ileti onayı kişinin kendi beyanına dayanıyor. Elinizde hâlihazırda tavsiye yoluyla toplanmış numaralar varsa yapılacak iş de bellidir: o kayıtları pazarlama akışından çıkarın, hukuki dayanağı bulunmayanları 7. madde uyarınca silin, satın alınmış listelerden ve sorgu panellerinden gelen verileri de aynı kefeye koyun.

Rakamlar tartışmayı soyut olmaktan çıkarıyor. 2026 yılında 12. maddedeki veri güvenliği yükümlülüklerini yerine getirmeyenler hakkında 256.357 TL ile 17.092.242 TL, aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 85.437 TL ile 1.709.200 TL arasında idari para cezası uygulanıyor. Madalyonun diğer yüzü de hareketli. Tanımadığı bir şirketten arama alan kişi, 13. madde uyarınca veri sorumlusuna başvurup verisinin nereden geldiğini sorabiliyor ve silinmesini isteyebiliyor; cevap gelmez ya da yetersiz kalırsa cevabı öğrendiği tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kurul'a şikâyette bulunabiliyor. Şirket tarafında ilk adım karmaşık değil: tavsiye, referans ve marka elçiliği programlarınızı kimin hangi veriyi hangi anda aldığı sorusuyla yeniden çizin, çağrı merkezi metinlerinde aydınlatmayı rızadan ayırın, kaynağı belgelenemeyen kayıtları ayıklayın. Pazarlama listelerinizin hangi kısmının bu sınırın içinde kaldığından emin değilseniz, KVKK Danışman'ın ücretsiz ön değerlendirmesinde veri kaynaklarınızı ve çağrı akışınızı birlikte gözden geçirebiliriz.

Randevu Al