İşletmeler Müşteriyle WhatsApp'tan Yazışabilir mi? WhatsApp Business ve KVKK
İşletmenin WhatsApp'tan müşteriyle yazışması bir veri işlemedir. Grup kurup numara ifşa etme, yurt dışı aktarım, açık rıza riskleri, KVKK cezaları ve önlemler.
Kısa cevap: evet, yazışabilir, ama bu bir kişisel veri işleme faaliyetidir ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun bütün yükümlülükleri masaya gelir. Müşterinizin telefon numarasını rehbere kaydetmek, mesajlarını saklamak, siparişini ya da şikayetini WhatsApp üzerinden konuşmak; hepsi veri işlemedir. Uygulamanın herkesin cebinde olması bu gerçeği değiştirmez. Nitekim Kişisel Verileri Koruma Kurulu, WhatsApp'ın kendisini 3 Eylül 2021 tarihli ve 2021/891 sayılı kararında, kullanıcıdan özgür iradeyle açık rıza almadığı ve verileri yurt dışına güvence olmadan aktardığı için 1.950.000 TL idari para cezasına çarptırdı; 2023 yılında ise Meta ve WhatsApp'a VERBİS'e kaydolmadıkları için ayrı ayrı 2.665.000 TL ceza verdi. İşletmenin görevi, bu kolaylığı hukuka aykırı bir ifşaya dönüştürmemektir.
Neden bir KVKK meselesi olduğuna bakalım. Bir sohbet penceresinde göründüğünden çok daha fazla veri birikir. Müşterinin adı ve numarası kişisel veridir; ama iş orada bitmez. Bir kuyumcu müşteriye sipariş fotoğrafı gönderir, bir klinik hastaya randevu ve tahlil sonucu yazar, bir emlakçı tapu ve kimlik fotoğrafı ister, bir mağaza adres ve kart bilgisi konuşur. Bu akışta ad, adres, T.C. kimlik numarası, sağlık durumu, satın alma geçmişi gibi veriler tek tek WhatsApp'a düşer. Bu verileri işleyen işletme veri sorumlusudur; uygulamayı sunan şirket ise kendi amaçları bakımından ayrı bir veri sorumlusu konumundadır.
İki farklı durumu ayırmak işin anahtarı. Birincisi, müşterinin size yazması ya da bir işlemi yürütmek için mesajlaşmanız. Randevu teyidi, kargo takibi, bir arızanın çözümü gibi hallerde çoğu zaman açık rızaya gerek yoktur; işleme, 5. maddedeki sözleşmenin kurulması ve ifası ya da veri sorumlusunun meşru menfaati şartına dayanabilir. İkincisi, kampanya ve tanıtım için toplu mesaj göndermek. Bu bir ticari elektronik iletidir ve kendi rejimi vardır: alıcının önceden onayı ve İleti Yönetim Sistemi'ne (İYS) kayıt gerekir. Müşterinin size ürün sormak için yazmış olması, ona reklam gönderme hakkı vermez. Bu ikisini karıştırmak en sık yapılan hatalardan biridir.
En sinsi tuzak grup kurmakta gizli. Bir işletme müşterilerini tek bir WhatsApp grubuna eklediğinde, gruptaki herkes diğer herkesin telefon numarasını görür. Yani müşteri, numarasını yalnızca sizinle iletişim kurmak için verdiği halde, siz o numarayı onlarca yabancıya ifşa etmiş olursunuz. Bunun bir hukuki dayanağı yoktur ve kişisel verinin izinsiz üçüncü kişilere aktarılması, hatta bir veri ihlali sayılabilir. Ağır hallerde Türk Ceza Kanunu'nun 136. maddesi kapsamında verileri hukuka aykırı biçimde yayma suçu bile gündeme gelebilir. Çözüm basit: tek yönlü duyuru için grup yerine yayın listesi (broadcast) kullanın; orada alıcılar birbirini görmez. Gerçekten bir grup gerekiyorsa üyelerin açık rızasını alın.
Sohbet geçmişi de sessizce büyüyen bir risk. Yıllar içinde binlerce mesaj, fotoğraf ve belge telefonda birikir; çoğu hiç silinmez. İçinde sağlık şikayeti, kimlik fotoğrafı ya da finansal bilgi geçen yazışmalar özel önem taşır, çünkü bunların bir kısmı 6. madde anlamında özel nitelikli veridir ve daha katı korunma ister. Üstüne bir de yedekleme sorunu var. WhatsApp yedekleri çoğu zaman Google Drive ya da iCloud gibi bulut hizmetlerine, yani yurt dışındaki sunuculara kopyalanır. Böylece aynı veri hem cihazda hem bulutta, denetiminiz dışında ikinci bir yerde durur. Amaçla sınırlılık ilkesi burada devreye girer: işi biten yazışmaları saklama sürenize göre silin, gereksiz belge biriktirmeyin.
Yurt dışına aktarım boyutu WhatsApp'ın doğasında var. Uygulama verileri yurt dışındaki sunucularda işlediği için, kişisel veriyi WhatsApp üzerinden konuşmak çoğu zaman aynı anda yurt dışına aktarım sonucunu doğurur. Kurul'un 2021 kararındaki asıl sorunlardan biri de buydu. 6698 sayılı Kanun'da 2024 yılında yapılan değişiklikle yurt dışına aktarım kendi düzenine bağlandı; artık bir yeterlilik kararı, standart sözleşme gibi uygun güvenceler ya da sayılı istisnalar aranıyor. İşletmenin Meta'nın altyapısını değiştirme gücü yok. Bu yüzden pratikte yapılabilecek en gerçekçi şey, hassas ve gereksiz veriyi bu kanaldan hiç geçirmemektir.
Bir de kişisel telefon meselesi var. Birçok işletmede müşteri yazışmaları çalışanların kendi telefonlarından, kendi WhatsApp hesaplarından yürür. Müşteri rehberi çalışanın cihazına kaydolur. Çalışan işten ayrıldığında o numaralar ve yazışmalar kiminle gider, kim siler, nasıl denetlenir? Cevap çoğu zaman yoktur. Ayrıca çalışanın kişisel numarası da bir kişisel veridir; onu rızası olmadan müşteri ya da iş gruplarına eklemek de aynı sınırı zorlar. Sağlıklı yol, müşteri iletişimi için ayrı bir kurumsal hat ve cihaz kullanmak, veriyi kişisel telefonlarda dağıtmamaktır.
Kağıt üstündeki eksiklik de en az teknik hata kadar sorun yaratır. WhatsApp'ı bir müşteri iletişim kanalı olarak kullanıyorsanız bunu aydınlatma metninizde açıkça belirtmeniz gerekir: hangi verileri bu kanaldan işlediğinizi, ne kadar sakladığınızı, yurt dışı aktarımın söz konusu olduğunu. Aynı işlemeyi kişisel veri envanterinize de eklemelisiniz; çünkü envanterde hiç görünmeyen bir kanal, bir denetimde başlı başına açık sayılır. Pazarlama için ayrı bir onay alın ve bunu diğer işlemelerle tek bir 'hepsini kabul ediyorum' kutusuna sıkıştırmayın; böyle bir rıza geçerli olmaz.
Konunun ne kadar hassas görüldüğünü kamu tarafındaki tutum da gösteriyor. Kamu kurumlarına, vatandaşa ait verilerin resmi işlerde WhatsApp gibi uygulamalar üzerinden konuşulmaması yönünde uyarılar yapıldı. Özel sektörde de bazı alanlar ekstra dikkat ister. Sağlık kuruluşları hastayla randevu, sonuç ya da tedavi konuşurken doğrudan özel nitelikli veri işler. Avukatlar müvekkil dosyasını, muhasebeciler bordroyu, okullar öğrenci bilgisini bu kanaldan geçirdiğinde risk katlanır. Bu alanlarda WhatsApp'ı ancak sınırlı, genel ve kimliksizleştirilmiş mesajlarla kullanmak; asıl belgeyi güvenli bir kanaldan iletmek daha doğrudur.
Pratikte yapılacaklar sade bir listeye sığar. Müşteri iletişimi için kişisel telefon yerine ayrı bir kurumsal hat ayırın. Toplu duyuruda grup değil yayın listesi kullanın, gerçek grup gerekiyorsa rıza alın. Kimlik, sağlık, finans gibi hassas belgeleri zorunlu olmadıkça WhatsApp'tan istemeyin; istemek zorundaysanız işi biter bitmez silin. Bulut yedeğini kapatın ya da güvenli biçimde yönetin. Bir saklama süresi belirleyip eski yazışmaları düzenli temizleyin. WhatsApp'ı aydınlatma metninize ve veri envanterinize işleyin, pazarlama onayını ayrı tutun, çalışanları bu kurallar konusunda eğitin.
Yanlış yapmanın bedeli somut. Kişisel verilerin güvenliğine ilişkin 12. madde yükümlülüğünün ihlali 2026 yılında 256.357 TL ile 17.092.242 TL arasında, aydınlatma yükümlülüğünün ihlali ise 85.437 TL ile 1.709.200 TL arasında idari para cezasına konu olabilir. Buna görünmeyen maliyetler eklenir: müşteri güveninin sarsılması, sızan bir sohbet geçmişinin doğurduğu itibar zararı, ifşa olan bir numaranın açtığı şikayetler. WhatsApp'ın kendi başına yasak olmadığını, ama kuralsız kullanıldığında kolayca ihlale döndüğünü akılda tutmak gerekir.
İşletmenizde müşteri yazışmalarının hangi telefonlardan yürüdüğünü, WhatsApp gruplarında kimin numarasının kime göründüğünü ve aydınlatma metninizin bu kanalı kapsayıp kapsamadığını bilmiyorsanız, riski görmenin en hızlı yolu bir değerlendirmedir. KVKK Danışman'ın ücretsiz ön değerlendirmesinde WhatsApp ve benzeri kanallardaki iletişim süreçlerinizi gözden geçirip kurumsal hattan yayın listesine, aydınlatma metninden saklama süresine kadar öncelikli adımları birlikte çıkarabiliriz.