Mobil Uygulamadan Kampanya Bildirimi Göndermek İçin Açık Rıza Şart mı? Anlık Bildirimlerde KVKK'nın 2026 Duyurusu, İYS Sorusu ve Reklam Kurulu Kararı

Kısa cevap: kampanya, indirim ve ürün tanıtımı içeren anlık bildirimler için kullanıcının açık rızası gerekiyor, siparişin hazırlandığını ya da kargonun yola çıktığını söyleyen bildirimler için gerekmiyor. İkisini tek bir onay kutusunda toplamak ise baştan sakat. Kişisel Verileri Koruma Kurumu 14 Ocak 2026 tarihli kamuoyu duyurusunda tam olarak buna işaret etti: operasyonel bildirimlerle reklam bildirimlerinin aynı onaya bağlanması, kullanıcıyı ya hepsini kabul etmeye ya hepsini reddetmeye zorladığı için açık rızanın özgür irade unsurunu zedeliyor. Telefonun çıkardığı "bildirim göndermesine izin ver" penceresine basılmış olması da bu rızanın yerine geçmiyor. İşin kafa karıştıran tarafı şu: aynı bildirimler Ticaret Bakanlığı uygulamasında ticari elektronik ileti olarak ele alınmadığı için İYS'ye kaydedilmiyor. Yani İYS'de izin kaydı aramayan, buna rağmen KVKK tarafında geçerli bir dayanak olmadan kullanamayacağınız bir kanaldan söz ediyoruz.

Duyurunun arkasındaki tespit sahadan tanıdık. Kurumun incelediği yapıda uygulama ilk açıldığında kullanıcıya tek bir onay sunuluyor, o onayın içinde hem kampanyalardan haberdar olma hem de sipariş durumunu anlık takip etme amacı birlikte duruyor. Siparişini takip etmek isteyen kullanıcı, reklam bildirimlerini de kabul etmiş sayılıyor. Kurum bunun karşısına parçalı açık rıza ilkesini koydu ve farklı amaçlarla bildirim gönderilen hallerde operasyonel, ticari, teknik ve benzeri her bir bildirim türü için kullanıcılara ayrı ayrı onay verme seçeneği sunulması gerektiğini söyledi. Duyurunun ikinci yarısı tasarıma bakıyor: kullanıcı, uygulama içi ayarlar ya da cihazın işletim sistemi ayarları üzerinden hangi tür bildirimleri almak istediğini özelleştirebilmeli. Dayanak olarak 6698 sayılı Kanun'un genel ilkeleri düzenleyen 4., işleme şartlarını sayan 5. ve veri güvenliğini düzenleyen 12. maddeleri gösterildi.

Hangi bildirimin hangi hukuki sebebe oturduğunu ayırmak sanıldığından kolay. Siparişin onaylandığı, kuryenin yaklaştığı, iadenin tamamlandığı ya da hesaba yeni bir cihazdan giriş yapıldığı bilgisi hizmetin kendisidir ve 5. maddenin ikinci fıkrasındaki sözleşmenin ifası şartına dayanır. Kampanya, indirim, yeni ürün duyurusu, kişiselleştirilmiş öneri ve anket daveti ise hizmetin ifası için gerekli değildir, bunlar açık rıza ister. Kanun'un 3. maddesi açık rızayı belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlıyor. Üç unsurdan biri eksikse ortada rıza yok, işaretlenmiş bir kutu var. Diyelim ki yemek siparişi uygulamanız var. Kullanıcı kuryenin kapıya geldiğini bilmek istiyor ama akşam yedide gelen indirim bildirimini istemiyor. Bu ikisini ayıramayan bir mimari, hukuken kusurlu olmasının yanında kaldırılma sebeplerinin başında geliyor.

İşletim sisteminin bildirim izni ile Kanun'un aradığı rıza da aynı şey değil. iOS'ta bildirim gönderebilmek için kullanıcıdan izin istemek zorunlu, Android tarafında da 13 sürümüyle birlikte bildirim izni ayrı bir çalışma zamanı izni haline geldi. Bu pencere teknik bir kapıyı açar, o kapıdan geçen pazarlama iletişiminin hukuki sebebini kurmaz. Reklam Kurulu da aynı sonuca farklı bir kanundan vardı. 2025 yılının Eylül ayında yayımlanan basın bülteniyle duyurulan 2024/4177 sayılı kararında Kurul, incelediği e-ticaret uygulamasının ayarlarında yer alan duyuru tercihleri başlığı altında yalnızca e-posta, SMS ve telefon görüşmesi seçeneklerine yer verildiğine, anlık bildirimlerin ise yalnızca telefon ayarlarından kapatılabildiğine dikkat çekti. Telefon ayarından kapatıldığında da uygulamadan hiçbir bildirim gelmiyordu. Sipariş, kargo ve iade bildirimi almak isteyen kullanıcının pazarlama bildirimlerine katlanmak zorunda bırakılması haksız ticari uygulama sayıldı ve durdurma cezası verildi.

Bu karar tek başına değil. Reklam Kurulu bir süredir anlık bildirim izinlerine karanlık tasarım başlığı altında bakıyor. 2024/4454 sayılı kararında bir bankacılık uygulamasında reklam bildirimlerini kapatma seçeneği sunulmamasının ve yönlendirici araçlar kullanılmasının tüketicinin karar verme ve seçim yapma iradesine etki ettiğini değerlendirmişti. Daha öncesinde bir market uygulamasının bildirim içeriklerinin tüketiciyi yanıltıcı nitelikte olduğuna hükmedilen 2023/1104 sayılı karar var. Tablonun tamamına bakınca iki ayrı kurumun aynı ekranı incelediği ortaya çıkıyor. Kişisel Verileri Koruma Kurulu rızanın geçerliliğini sorguluyor, Reklam Kurulu tüketicinin seçim iradesini. Bildirim tercih ekranınız ikisinden birinde takılıyorsa büyük ihtimalle diğerinde de takılır.

Varsayılan ayar meselesi Kurul'un önüne yıllar önce geldi. 13 Nisan 2021 tarihli ve 2021/361 sayılı kararda, cihazlarında Android işletim sistemi bulunan banka müşterilerinin yükledikleri uygulamanın ayarlarında elektronik ileti alma tercihinin otomatik olarak onaylı gelmesi incelendi. Kullanıcı ayara girip kapatmadığı sürece tanıtım iletisi alıyordu. Kurul, usulüne uygun açık rıza alınmaksızın tanıtım iletisi gönderilmesini Kanun'un 12. maddesinin birinci fıkrası kapsamında uygun güvenlik düzeyini temin etmeye yönelik tedbirlerin alınmaması olarak değerlendirdi, 18. maddenin birinci fıkrasının (b) bendi uyarınca idari para cezası uyguladı ve süreçlerin geçerli açık rıza alınacak şekilde yeniden düzenlenerek sonucun Kuruma bildirilmesini istedi. Kurumun Mart 2025'te güncellenen Mobil Uygulamalarda Mahremiyetin Korunmasına Yönelik Tavsiyeler rehberi de aynı yere bakıyor ve başlangıçtan itibaren mahremiyet ilkesini hatırlatıyor: bireyin ilave bir eylemine gerek kalmadan, ilk kullanımda mahremiyet odaklı ayarlar açık gelmeli. Pazarlama bildirimi için bunun karşılığı nettir, anahtar kapalı başlar.

Şimdi herkesin takıldığı yere gelelim. Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik ticari elektronik iletiyi telefon, çağrı merkezleri, faks, otomatik arama makineleri, akıllı ses kaydedici sistemler, elektronik posta ve kısa mesaj hizmeti gibi vasıtalar kullanılarak gönderilen iletiler olarak tanımlıyor. Listenin sonundaki "gibi" ifadesi kapıyı açık bırakıyor, dolayısıyla anlık bildirimlerin de kapsama girebileceği savunulabiliyor. Ancak 6563 sayılı Kanun'un uygulanmasından sorumlu Ticaret Bakanlığı bugüne kadar anlık bildirimleri ticari elektronik ileti olarak ele almadı. En somut göstergesi İleti Yönetim Sistemi'nin kendisi: sistemde anlık bildirimler için ayrı bir izin kategorisi tanımlı değil, alıcı listeleri de sisteme girilmiyor. Buna karşılık Kurul, 2021/361 sayılı kararında elektronik ileti alma tercihini tartışırken 6563 sayılı Kanun'un 6. maddesine atıf yaptı. Ortada iki kurumun farklı okuduğu gri bir alan var ve bu alan henüz kapanmadı.

Pratikte bu gri alanın size söylediği şey basit. Anlık bildirim için İYS'ye kayıt beklenmiyor, ama bu izin gerekmiyor anlamına gelmiyor; KVKK tarafı açık rıza istiyor, Reklam Kurulu da pazarlama bildirimleri için ayrı bir tercih bekliyor. Aynı kampanyayı SMS veya e-posta ile de gönderiyorsanız orada İYS rejimi tam olarak işliyor ve onay kayıtlarının sistemde bulunması gerekiyor. 25 Aralık 2025 tarihli ve 33118 sayılı Resmî Gazete'de yayımlanan tebliğle güncellenen tutarlara göre 2026 yılında onay alınmadan ya da onaya aykırı biçimde ticari elektronik ileti gönderilmesi 2.859 TL ile 14.309 TL arasında idari para cezasına konu oluyor. KVKK tarafındaki risk daha büyük: veri güvenliğine ilişkin yükümlülüklerin ihlali 2026'da 256.357 TL ile 17.092.242 TL arasında idari para cezası anlamına geliyor.

Tercih merkezini kurarken işe yarayan birkaç ayrıntı var. Bildirimleri kullanıcının anlayacağı kategorilere bölün: sipariş ve teslimat, güvenlik uyarıları, kampanya ve indirim, kişiselleştirilmiş öneri, anket ve geri bildirim. Pazarlama kategorilerini kapalı başlatın, kabul ve ret seçeneklerini aynı görsel ağırlıkta verin, tek dokunuşla kapatılabilsin. Tercih değişikliğinin gönderim altyapısına ne kadar sürede yansıdığını da kontrol edin; segment listeleri gece toplu olarak hazırlanıyorsa, akşam rızasını geri alan kullanıcı ertesi sabah kampanya bildirimi almaya devam eder ve bu sizin için ilk şikayet dosyasıdır. Rızanın ispatı veri sorumlusunda olduğu için hangi kullanıcının hangi tarihte, hangi metinle ve uygulamanın hangi sürümünde onay verdiğini kaydedin. Ekran tasarımı değiştiğinde eski metni de arşivde tutun.

Aydınlatma tarafı ayrı bir başlık ve rızadan bağımsız. Kurul'un 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı, açık rıza ile aydınlatmanın ayrı ayrı düzenlenmesi gerektiğini söylüyor. Bildirim izni ekranında tek bir kutuya "aydınlatma metnini okudum ve kampanya bildirimi almayı kabul ediyorum" yazmak iki yükümlülüğü birden sakatlıyor. Doğrusu önce hangi verinin hangi amaçla işleneceğini anlatan kısa bir bilgilendirme, ardından ayrı bir anahtar. Teknik tarafta da sessizce ilerleyen bir işleme var: cihazın bildirim jetonu tek başına anlamsız bir karakter dizisi gibi görünür, kullanıcı hesabıyla eşleştiği anda belirli bir kişiye bağlanır. Rehber zaten çevrim içi tanımlayıcıları mobil uygulamalarda işlenen kişisel veri kategorileri arasında sayıyor.

Bildirim altyapısını dışarıdan alan ekipler için iki soru daha var. Birincisi rol: bildirim sağlayıcınız ya da pazarlama otomasyonu aracınız sizin adınıza veri işliyorsa veri işleyendir, aranızda Kanun'un 12. maddesine uygun bir sözleşme bulunması gerekir. İkincisi konum: sağlayıcının sunucuları yurt dışındaysa her gönderim 9. madde kapsamında bir aktarımdır ve standart sözleşme ya da diğer yöntemlerden biriyle dayanak kurulmalıdır. Hedefleme tarafında da dikkat isteyen bir nokta var. Sepette bırakılan ürüne, incelenen kategoriye veya uygulamada geçirilen süreye göre kurgulanan bildirimler profilleme üretir. Rıza metniniz yalnızca kampanya bildirimi alınmasından söz ederken sistem alışveriş geçmişini işliyorsa, belirlilik unsuru tartışmaya açılır. Kullanıcıya hiç görünmeyen sessiz bildirimlerle arka planda veri toplanması ise bambaşka bir veri işleme faaliyetidir ve kendi dayanağını ister.

Tarayıcı bildirimlerinde de mantık değişmiyor. Site açılır açılmaz çıkan izin kutusu, çerez yönetim panelinden bağımsız bir onay değildir; pazarlama amaçlı web bildirimi gönderecekseniz o rızayı ayrıca ve anlaşılır biçimde almanız gerekir. Bugün yapabileceğiniz kontrol kısa: uygulamanızı yeni bir cihaza kurun, ilk açılışta kaç onay istendiğine ve kaçının varsayılan olarak açık geldiğine bakın, ayarlardan yalnızca kampanya bildirimlerini kapatmayı deneyin ve kapattıktan sonra yirmi dört saat içinde kampanya bildirimi gelip gelmediğini izleyin. Üç adımın birinde takılıyorsanız sorun tasarımdadır. Uygulamanızın bildirim izinlerini, tercih merkezini ve gönderim altyapınızın hukuki dayanaklarını gözden geçirmek isterseniz, KVKK Danışman'ın ücretsiz ön değerlendirmesinde bu akışı birlikte inceleyebiliriz.

Randevu Al