Müşteri Listemi Meta'ya veya Google'a Yükleyebilir miyim? Özel Hedef Kitle, Hash'leme ve Yurt Dışına Aktarım

Kısa cevap: yükleyebilirsiniz, ama piyasadaki alışkanlıkla değil. Müşterilerinizin e-posta adreslerini ya da telefon numaralarını Meta'ya veya Google'a yüklemek, KVKK açısından iki ayrı sorunun aynı anda çözülmesini gerektiriyor. Birincisi o verileri pazarlama amacıyla işlemenizin hukuki sebebi, ikincisi listenin yurt dışındaki bir şirkete aktarılmasının ayrı dayanağı. Çoğu şirket yalnızca birincisini düşünüyor, çoğu ajans ikincisini hiç gündemine almıyor. Sahada tekrar eden üç cümle var: hash'lediğimiz için kişisel veri değil, açık rıza aldık zaten, müşterinin İYS'de onayı var. Üçü de yanlış. Yüklenen özetlenmiş liste hâlâ kişisel veridir, açık rıza yurt dışı aktarımda yalnızca arızi hâllerde dayanak olur ve İYS onayı bu işlemin konusu bile değildir.

Teknik akış her platformda birbirine benziyor. Listeyi bir dosyaya çıkarıyorsunuz, e-posta ve telefon alanları yükleme sırasında SHA-256 gibi bir özet fonksiyonundan geçiyor, platform kendi kullanıcı kayıtlarını aynı yöntemle işleyip iki tarafı eşleştiriyor, eşleşenlerden bir reklam kitlesi kuruluyor. Meta tarafında adı özel hedef kitle, Google tarafında müşteri eşleştirme. Pazarlamacı için bu bir dosya yükleme işi; hukuken kişisel verinin başka bir tüzel kişiye aktarılmasıdır ve aktarma, Kanun'un 3. maddesinde işleme sayılan fiiller arasında açıkça geçer. Hash'lemenin kurtarmamasının sebebi de aynı maddede: anonim hâle getirme, verinin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilememesi demek. Özet fonksiyonunun buradaki tek işlevi ise eşleştirmek. Yükleme işe yarıyorsa veri kişiyle ilişkilendirilebiliyor demektir, yani tanımın tam tersi gerçekleşiyor. Üstüne, Türkiye'deki cep telefonu numaraları dar ve tahmin edilebilir bir küme oluşturur; o kümenin tamamının özeti sıradan bir bilgisayarda üretilebilir. Hash'leme Kanun'un 12. maddesi anlamında değerli bir güvenlik tedbiridir, anonimleştirme değildir.

Birinci katman, listeyi pazarlama amacıyla kullanmanın dayanağı. Müşterinin telefonunu siparişi teslim edebilmek için almış olmanız, aynı numarayı reklam hedeflemesinde kullanmanıza izin vermiyor. Kanun'un 4. maddesindeki işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi tam olarak bunu engelliyor. Pazarlama tarafında uygulamada aranan şey açık rıza. Meşru menfaate dayanmak isteyen bir şirketin, 5. maddenin ikinci fıkrasının (f) bendini kullanabilmek için aktarımdan önce yazılı bir denge testi yapmış olması gerekir ve o testin sonucu her zaman lehinize çıkmaz.

İkinci katman aktarımın kendisi ve kuralları 1 Haziran 2024'ten beri farklı işliyor. 6698 sayılı Kanun'un 9. maddesi 7499 sayılı Kanun'la değişti, sıralama şöyle kuruldu: önce yeterlilik kararına bakılır, Kurum kendi sayfasında bu konuda henüz bir belirleme yapılmadığını yazıyor, yani bugün itibarıyla hiçbir ülke için yeterlilik kararı yok. Yeterlilik kararı yoksa uygun güvencelere geçilir. Bunlar kamu kurumları arasındaki anlaşmalar, Kurul onaylı bağlayıcı şirket kuralları, Kurul'un 4 Haziran 2024 tarihli ve 2024/959 sayılı kararıyla ilan ettiği standart sözleşme ve Kurul onaylı taahhütname. Standart sözleşme imzalandığında ayrıca izin gerekmiyor, fakat imza tarihinden itibaren beş iş günü içinde Kuruma bildirilmesi zorunlu. Bildirimi yapmamanın kendi başına bir idari para cezası var; 7499 sayılı Kanun'la 18. maddeye eklendi ve tutarı her yıl yeniden değerleme oranıyla güncelleniyor.

Asıl kırılma noktası maddenin altıncı fıkrasında. Yeterlilik kararı ve uygun güvence yokken aktarıma yalnızca sınırlı hâllerde ve arızi olmak kaydıyla izin veriliyor; ilgili kişinin muhtemel riskler hakkında bilgilendirilerek açık rıza vermesi de bu listenin içinde yer alıyor. Arızi kelimesi süreklilik taşımayan, tek seferlik ya da istisnai aktarımı anlatır. Her ay tazelenen, CRM'den otomatik beslenen, kampanya takviminin bel kemiği hâline gelmiş bir hedef kitle akışı arızi değildir. Kurum bu istisnaların dar yorumlanması gerektiğini de ayrıca söylüyor. Pratik sonuç şu: müşterilerden alınan açık rıza işleme tarafını çözer, düzenli bir liste yüklemesini tek başına ayakta tutmaz. Ajansların hazır sunduğu tek paragraflık yurt dışı aktarım rızası metinleri de çoğunlukla bu açığı kapatmıyor.

Karşı tarafta kimin durduğunu platformun kendi sözleşmesinden okumak gerekiyor. Meta'nın 3 Aralık 2025'te yürürlüğe giren müşteri listesi özel hedef kitle şartları, veri sorumlusunun reklam veren olduğunu söylüyor ve Meta'yı veri işleyen konumuna yerleştiriyor. Avrupa Birliği ve İngiltere kapsamındaki veriler için muhatap Meta Platforms Ireland Limited, geri kalan bütün hâllerde Amerika Birleşik Devletleri'nde kurulu Meta Platforms, Inc. Türkiye'den yüklenen bir liste o geri kalan kümeye giriyor. Veri işleyene yapılan aktarım da 9. madde kapsamındadır; Kurul'un ilan ettiği standart sözleşme setleri veri sorumlusundan veri işleyene yapılan aktarımı zaten ayrıca düzenliyor. Aynı şartların bir maddesi de reklam verene, listeyi paylaşmak ve kullanmak için gerekli bütün haklara ve hukuki dayanağa sahip olduğunu taahhüt ettiriyor. Yani sözleşme riski baştan size bırakıyor. Google'ın müşteri eşleştirme politikası benzer bir mantıkla yalnızca doğrudan kendi topladığınız verinin yüklenmesine izin veriyor ve gizlilik politikanızda bu paylaşımın yazılı olmasını istiyor.

Kurul'un bu tür bir akışa nasıl baktığını gösteren somut bir dosya var. 22 Temmuz 2020 tarihli ve 2020/559 sayılı kararda, bir reklam SMS'i şikâyetiyle başlayan inceleme, otomotiv sektöründeki veri sorumlusunun müşteri bilgisi, pazarlama bilgisi ve iletişim bilgisini SFTP yoluyla Avrupa Birliği üyesi bir ülkedeki bulut veri tabanına aktardığını ve verilerin orada bir dış kaynak firma tarafından işlendiğini ortaya çıkardı. Şirket, 108 sayılı Sözleşme'ye taraf ülkelere aktarımda hukuki engel bulunmadığını savundu. Kurul kabul etmedi: Sözleşme'ye taraf olmak değerlendirmede olumlu bir unsurdur, 9. maddedeki şartların yerine geçmez. Denge testi yapılmamış, taahhütname hazırlanmamış, izin başvurusu yapılmamıştı. Sonuç, 18. maddenin birinci fıkrasının (b) bendi uyarınca 900.000 TL idari para cezası, hukuka aykırı aktarılan verilerin imhası ve aydınlatma ile açık rızanın ayrı ayrı alınması talimatı oldu. Karar eski 9. madde dönemine ait, fakat mantığı yerinde duruyor: aktarımın kendi dayanağı olacak, iyi niyet varsayımı yürümüyor.

İYS onayı bu dosyanın neresinde duruyor? Hiçbir yerinde. Listeyi platforma yüklemek bir ticari elektronik ileti değil, kimseye mesaj gitmiyor; 6563 sayılı Kanun'un konusu ileti göndermek. Tersi de geçerli, Kurul'un 10 Şubat 2022 tarihli ve 2022/107 sayılı kararı ticari ileti onayının KVKK anlamında açık rızanın yerine geçmediğini söylüyor. İki sistem teknik olarak da bağlı değil. İYS üzerinden ret bildiren bir müşteri, aylar önce yüklenmiş bir hedef kitlede durmaya devam eder ve o kitle her gün reklam gösterilmesini sağlar. Kimse de fark etmez, çünkü platform tarafında ret diye bir kavram yok. Yükleme öncesinde ret listesini düşürmek beş dakikalık bir iştir ve şikâyet riskinin kayda değer bir kısmını kapatır.

Listenin içinde ne olduğu ayrı bir başlık. Bir eczanenin belirli bir ilaç grubundan alışveriş yapan müşterilerini, bir kliniğin belirli bir tedaviyi alan hastalarını ya da bir spor salonunun kilo programına kayıtlı üyelerini kitle olarak yüklemesi, Kanun'un 6. maddesi kapsamında sağlık verisi işlemek anlamına gelir ve oradaki sınırlı şartlara tabidir. Platformlar bunu kendi şartlarında da yasaklıyor; Meta'nın şartları sağlık ve finansal bilgi gibi hassas kategorileri ve 13 yaşından küçüklere ait verileri listenin dışında tutmayı açıkça istiyor. Üçüncü kişiden gelen listeler ise başlı başına bir risk. Kurum'un 21 Temmuz 2026 tarihli kamuoyu duyurusu, kişisel verinin üçüncü kişilerden elde edilmiş olmasının tek başına reklam ve pazarlama amacıyla işleme için hukuki dayanak sağlamadığını, 5. maddedeki şartların her olayda ayrıca değerlendirilmesi gerektiğini ve kişiye doğrudan ulaşılacaksa aydınlatmanın ilk temasta, her hâlde en geç ilk aktarımda yapılması gerektiğini hatırlattı.

Kâğıt tarafında üç şey gözden geçirilmeli. Aydınlatma metniniz 10. maddenin istediği gibi verinin kimlere ve hangi amaçla aktarıldığını söylemeli; iş ortaklarımız ile yurt içi ve yurt dışındaki kuruluşlar gibi torba bir cümle bu yükümlülüğü karşılamıyor, çünkü metni okuyan kişi bir reklam platformuna liste yüklendiğini anlayamıyor. VERBİS kaydınız varsa yurt dışına aktarılan veri kategorilerinin orada da görünmesi gerekir. Reklamları ajans yönetiyorsa ajans sizin veri işleyeniniz olur ve 12. maddenin ikinci fıkrası tedbirlerin alınmasında ikinizi müştereken sorumlu tutar; listenin ajansın kendi reklam hesabından yüklenmesi sorumluluğu taşımaz, yalnızca görünürlüğü azaltır. Bir de silme talebi var. 7. madde uyarınca veriyi sildiğinizde, 11. maddenin birinci fıkrasının (f) bendi ilgili kişiye bu işlemin aktarılan üçüncü kişilere bildirilmesini isteme hakkı veriyor. Uygulamada bu, platformdaki kitleden de çıkarmak demektir ve o kitleler çoğunlukla kimsenin açmadığı bir panelde bekler.

İki yaygın savunmayı da kapatalım. Birincisi, mevcut müşterileri reklamdan hariç tutmak için yüklüyorum. Amacınız hedeflemek değil elemek olabilir, ama liste yine karşı tarafa gidiyor, aktarım yine gerçekleşiyor ve dayanak sorusu olduğu yerde duruyor. İkincisi, sunucu taraflı gönderim. Dönüşüm verisini tarayıcıdan değil kendi sunucunuzdan göndermek çerez tarafındaki tartışmayı kolaylaştırır, aktarımı ortadan kaldırmaz; gönderilen şey yine e-posta, telefon numarası ya da kullanıcı kimliği, varış noktası yine yurt dışı. Çerez bildiriminde reddi seçmiş bir ziyaretçinin verisini sunucu üzerinden göndermek ise en sık rastlanan ve savunması en zor kurulum hatası. Tarayıcıda reddedilen bir işlemin arka kapıdan yapılması, rıza mimarisinin tamamını tartışmaya açar.

Bir günde toparlanabilecek bir sıra var. Reklam hesaplarınızdaki bütün kitleleri listeleyin, hangisinin ne zaman ve hangi dosyayla yüklendiğini, kaç kişi içerdiğini, hâlâ kullanılıp kullanılmadığını yazın; kullanılmayanları silin. Yüklenen listeleri pazarlama rızası ve İYS ret kayıtlarıyla karşılaştırıp eşleşmeyenleri ayıklayın. Aydınlatma metnine alıcıyı, ülkeyi ve amacı açıkça yazın, açık rızayı ayrı bir metinde alın. Platformla aranızdaki aktarımın hangi güvenceye dayandığını netleştirin; standart sözleşme imzalanabiliyorsa beş iş günlük bildirimi takvime koyun. Ajans sözleşmenize veri işleyen hükümleri ekleyin ve yükleme yetkisinin kimde olduğunu yazılı hâle getirin. Nereden başlayacağınızdan emin değilseniz, KVKK Danışman'ın ücretsiz ön değerlendirmesinde reklam hesaplarınızdaki kitleleri, aydınlatma metninizi ve aktarım dayanağınızı birlikte gözden geçirebiliriz.

Randevu Al