İzinsiz Ticari SMS Göndermek Yasal mı? İYS ve KVKK

Kural olarak hayır. Müşterilerinize önceden izinlerini almadan reklam ya da kampanya içerikli SMS, e-posta veya otomatik arama göndermek hukuka aykırıdır. Üstelik burada tek bir izin değil, birbirinden bağımsız iki izin devreye girer. Birincisi, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun kapsamında alınan ve İleti Yönetim Sistemi'ne (İYS) kaydedilen ticari elektronik ileti onayıdır. İkincisi, alıcının telefon numarasını ya da e-posta adresini işleyebilmeniz için 6698 sayılı KVKK kapsamında gereken hukuki sebep, çoğu pazarlama senaryosunda açık rızadır. Bu ikisi ayrı mevzuattır ve biri diğerinin yerine geçmez.

İki düzenlemeyi birbirine karıştırmak en sık yapılan hatadır. Ticari elektronik iletinin içeriğini, onayını ve reddini düzenleyen 6563 sayılı Kanun ile Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik'in muhatabı Ticaret Bakanlığı'dır. Telefon numarası ve e-posta adresi ise birer kişisel veridir; bunların toplanması ve pazarlamada kullanılması Kişisel Verileri Koruma Kurulu'nun denetim alanına girer. Yani aynı gönderim, iki ayrı otorite tarafından iki ayrı gerekçeyle incelenebilir ve iki ayrı cezaya konu olabilir.

İYS, hizmet sağlayıcıların ticari elektronik ileti onaylarını, ret bildirimlerini ve şikayetleri yönettiği ulusal bir veri tabanıdır. Ticari elektronik ileti gönderen her işletmenin İYS'ye kayıtlı olması ve gönderim yapacağı adreslere ilişkin onayları bu sisteme işlemesi gerekir. Bir alıcıya ileti göndermeden önce onun İYS'de geçerli bir onayının bulunup bulunmadığını kontrol etmek zorunludur. İYS'de kaydı olmayan bir numaraya reklam göndermek, onaysız gönderim sayılır.

Her ileti için önceden onay şart değildir. Alıcı iletişim bilgisini kendisi vermişse, aldığı mal veya hizmete ilişkin bilgilendirme, değişiklik ya da bakım mesajları onaysız gönderilebilir. Devam eden bir üyelik, abonelik veya ortaklık ilişkisinde tahsilat, borç hatırlatma ve teslimat bildirimi gibi mesajlar da bu kapsamdadır, çünkü bunlar pazarlama değil ilişkinin gereğidir. Tacir ve esnaf alıcılara ise önceden onay almadan ticari ileti gönderilebilir; ancak bu durumda bile numaranın İYS'ye kaydedilmesi ve alıcının ret hakkını kullanıp kullanmadığının kontrol edilmesi gerekir.

Onaya dayanan her iletide iki unsur mutlaka bulunmalıdır: iletiyi gönderenin kim olduğu ve alıcının kolayca çıkabilmesini sağlayan bir ret imkanı. Ret, İYS üzerinden ya da mesajda gösterilen bir numara veya bağlantı üzerinden yapılabilmeli, alıcıya ek bir bedel yüklememelidir. Bir alıcı ret bildiriminde bulunduğunda, gönderimi en geç üç iş günü içinde durdurmanız gerekir. Ret talebini görmezden gelip mesaj atmaya devam etmek, başlı başına bir ihlaldir.

KVKK tarafında mesele iznin kaydı değil, verinin işlenmesidir. Bir kişinin telefonunu ya da e-postasını pazarlama amacıyla işlemek için Kanun'un 5. maddesinde sayılan hukuki sebeplerden birine dayanmanız gerekir. Doğrudan pazarlamada bu sebep genellikle açık rızadır. Geçerli bir açık rıza belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle verilmelidir. Bunu üyeliğin ya da alışverişin önkoşulu haline getirip kabul etmezsen hizmet yok dayatması yaparsanız, rıza özgür iradeye dayanmadığı için geçersiz sayılır.

Buradaki ince nokta şudur: İYS'de bir ticari ileti onayının bulunması, KVKK anlamında geçerli bir açık rızanız olduğu anlamına gelmez. İki onay farklı amaçlara hizmet eder ve ayrı ayrı, birbirine bağlanmadan alınmalıdır. Aynı kutucukta ticari ileti almayı ve kişisel verilerimin işlenmesini kabul ediyorum biçiminde birleştirilmiş tek bir onay, KVKK'nın aradığı belirli ve özgür rıza ölçütünü karşılamaz. Onay metinlerini ayırmak, bir denetimde en çok işinize yarayacak ayrıntılardan biridir.

Kurul bu ayrımı somut bir kararla ortaya koydu. 10 Şubat 2022 tarihli ve 2022/107 sayılı kararda bir tasarruf finansman şirketi, ilgili kişiyle aralarında bir ilişki bulunduğu tespit edilemeden ve açık rızası belgelenmeden bu kişinin cep telefonuna reklam içerikli SMS göndermişti. Kurul, ticari elektronik ileti mevzuatı kapsamında alınmış bir onayın KVKK'nın gerektirdiği açık rızanın yerine geçmediğini vurguladı. Sonuçta şirkete Kanun'un 18. maddesi uyarınca 75.000 TL idari para cezası verildi ve söz konusu verilerin imha edilmesine karar verildi. Bu tutar kararın verildiği tarihe aittir; idari para cezaları her yıl yeniden değerleme oranıyla artar.

Ceza riski çift taraflıdır. 6563 kapsamındaki onaysız gönderim için Ticaret Bakanlığı idari para cezası uygular; bu ceza alıcı başına hesaplanabildiğinden ve toplu gönderimlerde katlanabildiğinden, birkaç bin kişilik bir kampanya hızla yüksek bir faturaya dönüşebilir. Aynı olay KVKK tarafında hukuka aykırı veri işleme olarak ayrıca cezalandırılabilir. En riskli senaryo, dışarıdan satın alınan ya da kiralanan hazır numara listelerine gönderim yapmaktır: burada ne İYS onayı ne de KVKK hukuki sebebi vardır, üstelik listeyi satan taraf da veri hukuku bakımından ayrı bir sorumlulukla karşı karşıyadır.

Peki ne yapmalı? Önce İYS'ye kayıt olun ve elinizdeki tüm onayları sisteme aktarın. Ticari ileti onayı ile KVKK açık rızasını ayrı metinler halinde, hiçbir hizmetin önkoşulu yapmadan alın. Her iletide gönderen kimliğini ve kolay bir ret yolunu gösterin, ret taleplerini en geç üç iş günü içinde uygulayın. Onay ve ret kayıtlarını, mevzuatın öngördüğü süre boyunca (kural olarak üç yıl) saklayın ki bir uyuşmazlıkta izni ispatlayabilesiniz. Hazır satılan listelere ise hiçbir koşulda gönderim yapmayın.

Pazarlama mesajlarınızı gönderdiğiniz listenin ne kadarının geçerli izne dayandığını bilmiyorsanız, risk zaten oradadır. KVKK Danışman'ın ücretsiz ön değerlendirmesinde mevcut onay ve rıza yapınızı gözden geçirip İYS kaydınızdan açık rıza metinlerinize kadar eksikleri birlikte çıkarabiliriz.

Randevu Al