Konu: Kişisel Verileri Koruma Kurumu tarafından yayımlanan, üçüncü kişilerden temin edilen iletişim bilgilerinin reklam ve pazarlama amacıyla kullanılmasına ilişkin Kamuoyu Duyurusu.

1. Giriş

Kişisel Verileri Koruma Kurumu (“Kurum”), çeşitli sektörlerde faaliyet gösteren veri sorumlularının mevcut müşterilerinden veya üçüncü kişilerden temin ettikleri telefon numarası, elektronik posta adresi ve benzeri iletişim bilgilerini reklam ve pazarlama amacıyla kullanmalarına ilişkin çok sayıda ihbar ve şikâyet üzerine bir Kamuoyu Duyurusu yayımlamıştır.

Duyuruda; referans, tavsiye, marka elçiliği, tanıdık yönlendirmesi veya müşteri önerisi gibi yöntemlerle elde edilen iletişim bilgileri kullanılarak, ilgili kişilere gerekli aydınlatma yapılmadan ve açık rızaları alınmadan sesli arama veya kısa mesaj yoluyla pazarlama faaliyetinde bulunulduğu belirtilmiştir. Bu sirkülerde, söz konusu faaliyetler bakımından veri sorumlularının dikkat etmesi gereken temel yükümlülükler özetlenmektedir.

2. Üçüncü kişilerden veri elde edilmesinin hukuki niteliği

Kişisel verilerin üçüncü kişilerden elde edilmiş olması, veri sorumlusuna bu verileri reklam ve pazarlama amacıyla işleme konusunda doğrudan bir hukuki dayanak sağlamamaktadır. Söz konusu faaliyetlerin 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda (“Kanun”) düzenlenen kişisel veri işleme şartlarına ve veri sorumlularının yükümlülüklerine uygun şekilde yürütülmesi gerekmektedir.

Kanun’un 5’inci maddesinde sayılan işleme şartlarından birinin bulunması hâlinde kişisel veriler açık rıza aranmaksızın işlenebilmekle birlikte, reklam ve pazarlama faaliyetlerine dayanak oluşturacak işleme şartının her somut olay özelinde ayrıca değerlendirilmesi gerekmektedir.

3. Dolaylı yoldan elde edilen verilerde aydınlatma yükümlülüğü

Kanun’un 10’uncu maddesi uyarınca veri sorumluları; kimlikleri, kişisel verilerin işlenme amacı, verilerin aktarılabileceği kişiler ve aktarım amaçları, veri toplamanın yöntemi ve hukuki sebebi ile ilgili kişinin Kanun kapsamındaki hakları hakkında bilgi vermekle yükümlüdür.

Kişisel verilerin doğrudan ilgili kişiden elde edilmediği durumlarda, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’in (“Tebliğ”) 6’ncı maddesi uyarınca ilgili kişi;

  • kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde,
  • veriler iletişim kurulması amacıyla kullanılacaksa ilk iletişim sırasında,
  • veriler aktarılacaksa en geç ilk aktarım sırasında aydınlatılmalıdır.

Bu nedenle üçüncü kişilerden temin edilen iletişim bilgileri üzerinden pazarlama araması yapılması hâlinde, ilgili kişiye en geç ilk iletişim sırasında Kanun’a uygun aydınlatma yapılmalı veya ilgili kişi erişilebilir bir aydınlatma metnine yönlendirilmelidir.

4. Açık rızanın geçerlilik şartları

Kanun’a göre açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan irade beyanıdır. İlgili kişinin kampanyayı dinlemeye devam etmesi, görüşmeyi hemen sonlandırmaması, bilgi almak istemesi veya SMS yoluyla ret bildiriminde bulunmaması gibi zımni davranışlar tek başına geçerli bir açık rıza olarak değerlendirilemez.

Açık rızaya dayalı veri işleme faaliyetlerinde ilgili kişi öncelikle açık, anlaşılır ve eksiksiz şekilde bilgilendirilmeli; ardından açık rıza ayrıca ve bağımsız bir irade açıklamasıyla alınmalıdır. Aydınlatma yükümlülüğünün yerine getirilmesi ile açık rızanın alınması birbirinden ayrı işlemlerdir.

5. Veri sorumlularının dikkat etmesi gereken hususlar

Kurumun Kamuoyu Duyurusu doğrultusunda veri sorumlularının;

  • üçüncü kişilerden elde edilen iletişim bilgilerinin kullanımını uygun bir kişisel veri işleme şartına dayandırması,
  • aydınlatma yükümlülüğünü Tebliğ’de öngörülen sürede; açık, anlaşılır ve eksiksiz biçimde yerine getirmesi,
  • açık rızaya dayalı işlemlerde rızanın belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış olmasını sağlaması,
  • kampanyayı dinlemeye devam etme, görüşmeyi sonlandırmama, bilgi isteme veya SMS’e ret cevabı vermeme gibi davranışları açık rıza olarak değerlendirmemesi,
  • aydınlatma ve açık rıza alma süreçlerini birbirinden bağımsız yürütmesi ve reklam/pazarlama süreçlerinde Kanun ile ilgili mevzuata uygun hareket etmesi gerekmektedir.

6. Aykırılık hâlinde uygulanabilecek yaptırımlar

Kurum, Kanun’da öngörülen yükümlülüklere aykırı hareket ettiği tespit edilen veri sorumluları hakkında Kanun’un 18’inci maddesi kapsamında idari yaptırım uygulanabileceğini kamuoyuna duyurmuştur.

7. Sonuç

Kamuoyu Duyurusu, üçüncü kişilerden temin edilen iletişim bilgilerinin reklam ve pazarlama amacıyla kullanılmasının tek başına hukuka uygunluk sağlamadığını; veri işleme faaliyetinin uygun bir işleme şartına dayanması ve aydınlatma yükümlülüğünün süresinde yerine getirilmesi gerektiğini ortaya koymaktadır.

Bu nedenle veri sorumlularının referans, tavsiye, müşteri önerisi veya benzeri yöntemlerle elde ettikleri iletişim bilgilerine ilişkin süreçlerini gözden geçirmesi; ilk iletişim, aydınlatma ve açık rıza mekanizmalarını birbirinden ayırması ve zımni davranışları açık rıza olarak kabul eden uygulamalara son vermesi önem taşımaktadır.

Kişisel Verilerin Korunması Kanunu kapsamındaki detaylı hukuki değerlendirme veya ilave hukuki değerlendirme talebiniz olması hâlinde tarafımızla iletişime geçebilirsiniz.

İletişim:

Av. Tuğçe Gültekin

Şirket Ortağı
tugce.gultekin@tr.ey.com
(212) 315 30 00