KVKK Kurulu, SMS doğrulama kodları için ilke kararını yayımladı

Kişisel Verileri Koruma Kurulu, ürün ve hizmet sunumu sırasında ilgili kişilere SMS ile doğrulama kodu gönderilerek kişisel verilerin işlenmesine ilişkin 10/06/2025 tarihli ve 2025/1072 sayılı İlke Kararını yayımladı. Karar, 26 Haziran 2025 tarihli ve 32938 sayılı Resmî Gazete’de yayımlandı.

Karar, ödeme yapma, kayıt açma, üyelik oluşturma ve teklif oluşturma gibi süreçlerde gönderilen SMS doğrulama kodlarının ticari elektronik ileti izniyle birlikte kullanılmasına yönelik uygulamalara ilişkin değerlendirmeleri içeriyor.

Şikâyet ve ihbarlar üzerine inceleme yapıldı

Kişisel Verileri Koruma Kurumuna ulaşan şikâyet ve ihbarlarda, ürün ve hizmet süreçlerinde iletişim bilgilerinin alındığı ve ardından SMS ile doğrulama kodu gönderildiği aktarıldı. Kodun ödeme işlemini tamamlama, fatura oluşturma, faturayı iletişim adresine gönderme veya bilgileri güncelleme amacıyla gerekli olduğu belirtilerek ilgili kişilerden kodu görevliye bildirmeleri ya da sisteme girmeleri istendiği; sonrasında ise ticari elektronik ileti gönderildiği yönündeki iddialar incelendi.

Kurulun incelemelerinde, bazı SMS’lerde veya SMS gönderilmeden önce gerekli aydınlatmanın yapılmadığı ve kodun belirli işlemler için gerekli olduğu gerekçesiyle istenmesine rağmen bu yolla ticari elektronik ileti gönderimi için açık rıza alındığı tespitine yer verildi.

Aydınlatma ve açık rıza ayrı yürütülmeli

Kurul, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 5’inci maddesi uyarınca kişisel verilerin işlenmesinde açık rıza ve diğer işleme şartlarının dikkate alınması gerektiğini hatırlattı. Kanun’un 3’üncü maddesindeki tanım doğrultusunda açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanı olması gerektiği belirtildi.

Kanun’un 10’uncu maddesi kapsamında aydınlatma yükümlülüğünün, açık rıza alınmasından veya diğer işleme şartlarının sağlanmasından bağımsız olarak yerine getirilmesi gerektiği vurgulandı. Açık rızaya dayalı işlemlerde aydınlatma ile rıza alma süreçlerinin ayrı ayrı yürütülmesi ve aydınlatmanın ilgili Tebliğ hükümlerine uygun olması gerektiği ifade edildi.

Tek SMS ile farklı izinler alınamayacak

İlke Kararında, üyelik sözleşmesinin onaylanması, kişisel verilerin işlenmesine izin verilmesi ve ticari elektronik ileti onayı gibi farklı işlemlerin tek bir SMS doğrulama kodu üzerinden gerçekleştirilmesine yönelik uygulamalara son verilmesi gerektiği belirtildi. Açık rıza gerektiren işlemler için ilgili kişilere ayrı seçenekler sunulması ve rızaların ayrı ayrı alınması istendi.

Ticari elektronik ileti izni için SMS doğrulama kodu kullanılacaksa rızanın Kanun’daki tüm unsurları taşıması, bu iznin ürün veya hizmet sunumunun tamamlanması için zorunlu bir koşul olarak sunulmaması gerektiği kaydedildi. İlgili kişilere, kodun paylaşılmamasının ürün veya hizmet sunumuna engel olmayacağı ve verilen izinlerin ya da tercihlerin değiştirilebileceği açıkça bildirilmelidir.

Kurul ayrıca, veri sorumlularının süreçlerde görev alan personele yönelik eğitim ve farkındalık çalışmalarını periyodik olarak yürütmesi gerektiğine karar verdi. Kanun’un 12’nci maddesi kapsamındaki teknik ve idari tedbirlere uyulmaması halinde Kanun’un 18’inci maddesi çerçevesinde işlem tesis edilebileceği bildirildi.