Çekiliş ve Ödüllü Kampanya Düzenlemek KVKK'ya Uygun mu? Katılım Formu, Ticari İleti Onayı Şartı ve Kazanan Listesinin İlanı

Kısa cevap: çekiliş düzenlemek baştan sona kişisel veri işlemek demek ama tek bir hukuki sebeple yürümüyor. Katılımın kaydedilmesi, talihlinin belirlenip ikramiyenin teslim edilmesi ve katılımcıya sonradan kampanya mesajı gönderilmesi birbirinden ayrı üç işleme faaliyeti; ilk ikisi için açık rıza aranmaz, üçüncüsü için ayrı bir açık rıza ve İleti Yönetim Sistemi'ne kayıtlı onay gerekir. Sahada iki hata sürekli tekrarlanıyor: bütün akışı tek bir onay kutusuna bağlamak ve çekilişe katılmayı ticari ileti onayı vermeye şart koşmak. Kurul ikisini de cezalandırdı. Üstüne bir de mevzuat katmanı karışıyor. Milli Piyango İdaresi'nden alınan çekiliş izni KVKK uyumunu sağlamıyor, hazırladığınız aydınlatma metni de izin almanın yerine geçmiyor. İki dosyayı aynı anda kurmak zorundasınız ve kampanya takvimi çoğu zaman ikisine de yetmeyecek kadar kısa tutuluyor.

İzin tarafını kısaca netleştirelim, çünkü izinsiz bir kampanyada KVKK tartışması zaten havada kalır. Karşılığı Nakit Olmayan Piyangolar ve Çekilişler Hakkında Yönetmelik uyarınca ticari amaçla düzenlenen çekilişler için Milli Piyango İdaresi Genel Müdürlüğü'nden izin alınması gerekiyor ve bu kural sosyal medyada ya da mobil uygulamada yapılan çekilişler için de işliyor. Başvurunun kampanyanın başlama tarihinden en az on beş gün önce yapılması, çekilişin noter huzurunda gerçekleştirilmesi, sonuçların çekiliş tarihinden itibaren yedi günü geçmemek üzere ilan edilmesi isteniyor. Asıl talihliler ilan ve tebliğden itibaren on beş gün, yedek talihliler takip eden on beş gün içinde ikramiyeyi almak üzere başvurmak zorunda. Yönetmeliğin 2. maddesi kapsam dışında kalan halleri sayıyor: kurum içi etkinliklerde yalnızca katılanlar arasında yapılan çekilişler, bayi ve satış teşvik uygulamaları, duyurulan koşulları sağlayan herkese verilen belirlenmiş ödüller, bilgi ve beceri yarışmaları, ikramiyenin değeri Veraset ve İntikal Vergisi Kanunu'ndaki istisna tutarının yüzde ikisini aşmayan çekilişler. TÜRSAB'ın 30 Ekim 2025 tarihli duyurusunda hatırlattığı gibi izinsiz çekilişte faaliyetin ve reklamların durdurulması, katılım biletlerinin toplatılması ve savcılığa suç duyurusu gündeme geliyor. Risk yalnızca KVKK cephesinde değil.

Formda ne istediğinize bakın, çünkü ceza riskinin büyük kısmı orada birikiyor. Kanun'un 4. maddesi işlemenin amaçla bağlantılı, sınırlı ve ölçülü olmasını istiyor; çekilişte bunun anlamı şu: katılımcı ile talihli aynı veri setine ihtiyaç duymaz. Katılım aşamasında ad, soyad ve tek bir iletişim kanalı çoğu kampanya için yeterli. Kimlik numarası, doğum tarihi, açık adres, meslek, gelir aralığı ve kimlik fotokopisi bu aşamada gerekli değil. Bunlar talihli belirlendikten sonra devreye giriyor, çünkü ikramiyenin teslim tutanağı ve vergi yükümlülüğü kimlik bilgisi gerektiriyor: düzenleyici, ikramiyenin istisna tutarını aşan kısmı üzerinden yüzde 20 oranında veraset ve intikal vergisi tevkif edip çekilişin yapıldığı ayı izleyen ayın yirmisine kadar beyan etmek zorunda. On bin katılımcının kimlik numarasını toplayıp bunlardan üçünü kullanmak ölçülü sayılmaz. Kimlik fotokopisi konusunda Kurul'un tavrı da netleşti. 6 Kasım 2025 tarihli ve 2025/2120 sayılı ilke kararı, turizm ve otelcilik sektöründe konaklama hizmeti alan kişilerin kimlik belgesi fotokopisinin kaydedilmesini ölçüsüz ve hukuka aykırı saydı; ad, soyad ve kimlik numarasının kaydedilmesini ise hukuka uygun buldu ve mevcut fotokopilerin imha edilmesini istedi. Karar sektöre özgü, gerekçesi genel: belgeyi görün, gereken alanı yazın, fotokopi arşivi tutmayın. Satın alma şartlı kampanyalarda fiş fotoğrafı da ayrı bir birikim alanı; görselde başka kişilerin bilgisi ve kart numarasının haneleri görünebiliyor, gerekli alanları kaydedip görseli silmek en temiz yol.

Üç işlemeyi üç ayrı hukuki sebebe oturtmak zor değil. Katılımın kaydı ve talihliyle iletişim, ilan edilen kampanya koşullarının yerine getirilmesiyle doğrudan ilgili olduğu için 5. maddenin ikinci fıkrasındaki sözleşme şartına oturur; izin, denetim ve vergi tarafındaki kayıtlar hukuki yükümlülük bendine dayanır; çekiliş sonrası pazarlama ise açık rıza ister. Aydınlatma bu üçünün hepsinde zorunlu ve rızadan bağımsız. 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete'de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, bilgilendirmenin verinin elde edilmesi sırasında yapılmasını ve açık rıza alınması işleminden ayrı tutulmasını istiyor. Kurul 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararıyla aynı ayrımı daha sert biçimde çizdi: aydınlatma ile açık rıza metinleri aynı içerikte, iç içe ya da tek bir onayla sunulamaz. Kampanya sayfasının altındaki tek satırlık "KVKK metnini okudum, kabul ediyorum" kutusu bu tarifi karşılamıyor. Doğru kurgu iki bileşenli: katılım koşullarını ve veri işlemeyi anlatan bir aydınlatma metni, bir de yalnızca pazarlama için işaretlenen bağımsız bir onay.

En pahalı hata, katılımı onaya rehin almak. Kurul'un karar özetleri arasında bu yıl yayımlanan 21 Eylül 2023 tarihli ve 2023/1610 sayılı karar tam bu kalıbı konu alıyor. Bir çevrimiçi platform, üyeliğin diğer bütün koşullarını tamamlayan kişiye canlı maç yayınını ancak ticari elektronik ileti onayı verdiği takdirde açıyordu. Kurul, açık rızanın unsurlarından biri olan özgür irade şartının zedelendiğini tespit etti, hizmet sunumunun açık rıza koşuluna bağlanması uygulamasına son verilmesi talimatını verdi ve platforma 250.000 TL idari para cezası uyguladı. Çekilişe katılmak için pazarlama onayını zorunlu kutuya koymak aynı yapıdır ve ödül beklentisi baskıyı artırdığı için savunması daha zayıftır. İkinci hata doğrulama adımında saklanıyor. 10 Haziran 2025 tarihli ve 2025/1072 sayılı ilke kararı 26 Haziran 2025 tarihli ve 32938 sayılı Resmî Gazete'de yayımlandı; konusu, hizmet sunumu sırasında gönderilen SMS doğrulama kodunun aynı adımda ticari ileti onayına dönüştürülmesi. Kurul kodun yalnızca doğrulama amacıyla kullanılmasını, pazarlama onayının ayrı bir irade beyanıyla ve reddin hizmeti engellemeyeceği açıkça belirtilerek istenmesini şart koştu. Kupon kodunu SMS ile doğrulatan çekiliş akışları doğrudan bu tarifin içinde kalıyor.

Onayı doğru aldıysanız iş bitmiyor, onayın bir yaşam döngüsü var. Ticari elektronik ileti onayı alındıktan sonra üç iş günü içinde İleti Yönetim Sistemi'ne yüklenmek zorunda ve sisteme kaydedilmeyen onaya dayanılarak ileti gönderilemiyor. Onay kayıtlarının üç yıl saklanması gerekiyor, yani "çekiliş formunda işaretlemişti" cümlesini ispatlayacak kaydı tutmak size düşüyor. Bir ayrım daha var: çekilişe katılmak ticari ileti onayı vermek anlamına gelmez, katılımcı listesini otomatik olarak gönderim listesine çeviren entegrasyon en sık ceza üreten yerlerden biri. Sonuç bildirimi ayrı değerlendirilir. Talihliye kazandığını ve ikramiyesi için nereye başvuracağını söylemek kampanyanın yürütülmesine ilişkin bir bildirimdir; aynı mesajın sonuna indirim kuponu, yeni ürün duyurusu ya da mağaza daveti eklendiği anda ticari elektronik iletiye dönüşür ve onay aranır. Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik, önceden onay gerektirmeyen bildirimlerde mal veya hizmet tanıtımı yapılmasına izin vermiyor. Kural basit: sonuç mesajında yalnızca sonuç olsun.

Sosyal medya çekilişlerinde sorun genellikle mekanikten çıkıyor. Takip et, beğen, yorumda iki arkadaşını etiketle diyen bir kampanyada veri sorumlusu markadır; platform kendi işleme faaliyeti bakımından ayrıca sorumludur ama sizin yükümlülüğünüzü üstlenmez. Aydınlatmayı gönderi metnine sığdırmak mümkün olmadığı için katmanlı kurgu gerekiyor: gönderide kısa bilgi ve çekiliş kuralları sayfasına bağlantı, sayfada tam aydınlatma metni. Kazanana özel mesajdan ulaşıp ad, adres ve kimlik bilgisi topluyorsanız o kanal artık bir veri toplama kanalıdır, sohbet geçmişi de öyle. Etiketleme mekaniği ise başlı başına bir risk. Etiketlenen kişi katılımcı değil, üçüncü kişidir; adını, kullanıcı adını ya da numarasını kampanya veri tabanına yazmanın hukuki sebebi yok. Kurum 21 Temmuz 2026 tarihli kamuoyu duyurusunda bu noktaya ayrıca değindi: üçüncü kişilerden, tavsiye ve referans yoluyla elde edilen iletişim bilgilerinin reklam ve pazarlama amacıyla kullanılması, verinin üçüncü kişiden gelmiş olmasıyla hukuka uygun hale gelmiyor ve veri doğrudan ilgili kişiden alınmamışsa aydınlatmanın makul sürede, iletişim amacıyla kullanılacaksa ilk iletişim anında yapılması gerekiyor. Duyuruda sessizliğin rıza sayılmadığı da hatırlatıldı: aramayı sonlandırmamak ya da mesaja hayır yazmamak onay değil. Arkadaşının numarasını gir, ikisi de kazansın kurgusunu bu çerçevede baştan kapatın.

Kazanan listesinin ilanı iki kuralın çarpıştığı yer gibi görünüyor, aslında değil. Çekiliş mevzuatı sonuçların ilan edilmesini ve talihlilere bildirim yapılmasını istiyor, KVKK ise ölçülülük arıyor. Çözüm, mevzuatın istediği kadarını yayımlayıp fazlasını yayımlamamak. Kimlik numarası, telefon, adres, e-posta, sipariş ya da müşteri numarası ilan metninde yer almaz. Ad ve soyadın kısmen maskelenmesi, çekiliş sırası veya başvuru numarasının öne çıkarılması, listenin ilan süresi dolduktan sonra siteden kaldırılması işin pratik tarafı. Kurul'un 1 Temmuz 2026 tarihli ve 2026/1301 sayılı ilke kararı 28 Temmuz 2026 tarihli Resmî Gazete'de yayımlandı ve doğrudan kamu tüzel kişiliğini haiz veri sorumlularını bağlıyor; sınav, kura ve çekiliş sonuçlarının herkesin erişebileceği listeler halinde yayımlanması yerine yalnızca ilgilinin kendi sonucunu görebileceği yöntemlerin kullanılmasını, yayımlanması gereken belgelerde maskeleme uygulanmasını istiyor. Özel sektör bu kararın muhatabı değil, gerekçesi ise öğretici; aynı ölçülülük testi sizin ilan metniniz için de geçerli. Talihlinin fotoğrafını, videosunu veya ödül teslim görüntüsünü paylaşmak apayrı bir konu ve ayrı bir açık rıza gerektiriyor. Çekilişe katıldıysa paylaşıma da razıdır varsayımı tutmuyor.

Kampanyayı tek başınıza yürütmüyorsunuz; zincirde genellikle reklam ajansı, çekiliş yazılımı veya form aracı, SMS ve e-posta sağlayıcısı var. Bunların çoğu veri işleyen konumunda ve Kanun'un 12. maddesinin ikinci fıkrası veri güvenliği bakımından sizi onlarla müştereken sorumlu tutuyor. Yazılı veri işleyen sözleşmesi olmadan katılımcı listesini bir ajansa göndermek, ihlal çıktığında savunmasız kalmak demek. Sözleşmede aranacaklar belli: işleme talimatının sınırı, alt işleyen kullanımının izne bağlanması, ihlalde derhal bildirim, kampanya bitiminde verinin iadesi veya imhası ve imhanın kayda geçirilmesi. Araç seçimi de hukuki sonuç doğuruyor. Katılım formunuz yurt dışında barındırılan bir hizmette duruyorsa, listeyi yurt dışındaki bir e-posta pazarlama aracına yüklüyorsanız ya da reklam platformunda müşteri listesi eşleştiriyorsanız Kanun'un 9. maddesindeki yurt dışına aktarım rejimi devreye girer. Kurul bugüne kadar hiçbir ülke için yeterlilik kararı yayımlamadı, dolayısıyla çoğu kampanya için yol standart sözleşmeden geçiyor; standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi zorunlu ve usul ile esaslar 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan yönetmelikte düzenlendi. Üç haftalık bir kampanyada bu adımların takvime sığması gerekiyor.

Katılımcı listesi, kampanya bittikten sonra en savunmasız hale geliyor. Tipik hikaye şöyle: liste dışa aktarılır, mesajla ajansa gider, ajansta iki kişinin kişisel bilgisayarına iner, biri kendi bulut hesabına yedekler, kampanya için açılan geçici site aylarca ayakta kalır ve formun arkasındaki veri tabanını kimse sormaz. Veri güvenliği tedbirlerinin alınmaması 2026 tutarlarıyla 256.357 TL ile 17.092.242 TL arasında idari para cezası anlamına geliyor, aydınlatma yükümlülüğünün ihlali ise 85.437 TL ile 1.709.200 TL arasında. Yapılacaklar sıkıcı ama işe yarıyor: listeye erişecek kişileri isimle sınırlayın, dışa aktarma yetkisini ayrıca tanımlayın ve her aktarmayı kayda geçirin, dosyayı paylaşırken kalıcı bağlantı yerine süreli erişim kullanın, kampanya bitiminde ajanstaki kopyaların imha edildiğini yazılı olarak teyit ettirin. Sızıntı olursa takvim acımasız: Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı, ihlalin öğrenilmesinden itibaren 72 saat içinde Kuruma bildirim yapılmasını, ilgili kişilere de makul olan en kısa sürede ulaşılmasını istiyor. Veri işleyen sıfatıyla hareket eden ajans bildirimi kendi başına yapmaz, gecikmeksizin size haber verir.

Saklama süresi sorusunda iki mevzuat yan yana duruyor ve aslında birbirini tamamlıyor. Çekiliş mevzuatı; biletlerin, kuponların, katılım numaralarının ve çekiliş kurulu tutanaklarının son ikramiyenin teslim edildiği tarihten itibaren bir yıl saklanmasını, düzenlenen çekilişe ilişkin bir uyuşmazlık yargıya taşınmışsa dava sonuçlanana kadar tutulmasını istiyor. Bu bir üst sınır değil, bir yükümlülük; kampanya biter bitmez her şeyi silmek de doğru değil. Süre dolduğunda ise elde kalan verinin gerekçesi kalmıyor. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik periyodik imha aralığının altı ayı geçemeyeceğini söylüyor; kampanya verisini bu takvime bağlayın ve saklama süresini aydınlatma metninde yazın. Pazarlama onayı veren katılımcıların verisi ayrı bir yerde ve ayrı bir mantıkla yaşar: onay sürdüğü sürece tutulur, onay geri alındığında gönderim listesinden çıkarılır. Şikayet dosyalarının çoğu tam burada başlıyor. Çekiliş için toplanan liste, kampanya bittikten sonra hiçbir onay ayrımı yapılmadan müşteri yönetim sistemine aktarılıyor, bir yıl sonra kimsenin hatırlamadığı bir kampanya yüzünden SMS almaya başlayan kişi de haklı olarak nereden buldunuz diye soruyor.

Son iki başlık yaş ve düzen. Çekiliş kurallarında yaş sınırını açıkça yazın; on sekiz yaşından küçüklerin katılımına açık bir kampanyada velinin bilgilendirilmesi ve rızası gerekir, bu da çevrimiçi bir formda pratikte doğrulanamıyor. Katılımı on sekiz yaş ve üzeriyle sınırlamak çoğu marka için en temiz çözüm, ama sınırı yazıp uygulamayan kampanya kendi kuralını ihlal etmiş olur. Kalanı bir kontrol listesine sığıyor: çekiliş izni alındı mı ve kampanya takvimine işlendi mi, formdaki her alan için bu veri neden gerekli sorusuna yazılı cevabınız var mı, katılımcıdan istenen veri ile talihliden istenen veri ayrıldı mı, aydınlatma metni ayrı mı ve pazarlama kutusu gerçekten opsiyonel mi, onayı reddeden katılabiliyor mu, alınan onaylar üç iş günü içinde İleti Yönetim Sistemi'ne yüklendi mi, ilan metni maskeli mi, ajans ve yazılım sağlayıcılarıyla veri işleyen sözleşmesi imzalandı mı, yurt dışına aktarım varsa standart sözleşme ve beş iş günlük bildirim tamam mı, kampanya sonu için imha tarihi belirlendi mi. Bu soruların birkaçında net cevap veremiyorsanız, KVKK Danışman'ın ücretsiz ön değerlendirmesinde kampanya akışınızı, katılım formunuzu ve onay kurgunuzu birlikte gözden geçirip önce hangi adımı atmanız gerektiğini çıkarabiliriz.

Randevu Al