KVKK’dan Üçüncü Kişilerden Alınan Verilerle Pazarlama Uyarısı

Kişisel Verileri Koruma Kurumu, 21 Temmuz 2026 tarihli kamuoyu duyurusunda, üçüncü kişilerden elde edilen iletişim bilgilerinin reklam ve pazarlama faaliyetlerinde kullanılmasına ilişkin değerlendirmelerini paylaştı. Duyuru, çeşitli sektörlerdeki veri sorumluları hakkında Kuruma ulaşan ihbar ve şikâyetler üzerine yayımlandı.

İhbar ve şikâyetlerde telefon numarası, elektronik posta adresi ve benzeri bilgilerin referans, tavsiye, marka elçiliği, tanıdık yönlendirmesi veya müşteri önerisi gibi yöntemlerle temin edilerek sesli arama ve SMS pazarlamasında kullanıldığı belirtildi. Kurum, bu bilgilerin üçüncü kişilerden elde edilmiş olmasının tek başına reklam ve pazarlama faaliyeti için hukuki dayanak oluşturmadığını bildirdi.

Üçüncü kişilerden alınan veriler için ayrıca hukuki şart aranıyor

Kişisel Verileri Koruma Kurulu incelemelerinde, üçüncü kişilerden elde edilen kişisel verilerin reklam ve pazarlama faaliyetlerinde kullanıldığı görüldü. Ancak veri sorumlularının bu verileri kullanabilmesi için 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda düzenlenen kişisel veri işleme şartlarına ve yükümlülüklere uygun hareket etmesi gerekiyor.

Kanun’un 5’inci maddesinde sayılan şartlardan birinin bulunması halinde kişisel veriler açık rıza olmadan işlenebiliyor. Reklam ve pazarlama faaliyetleri bakımından hangi işleme şartının bulunduğunun ise her somut olayda ayrıca değerlendirilmesi gerekiyor.

Aydınlatma, verinin elde edilme biçimine göre yapılmalı

Kanun’un 10’uncu maddesi uyarınca veri sorumluları; kimlikleri, işleme amacı, aktarım yapılabilecek kişiler ve amaçlar, veri toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları hakkında bilgilendirme yapmakla yükümlü. Kişisel veriler doğrudan ilgili kişiden alınmadığında uygulanacak usul ve esaslar ise Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’de düzenleniyor.

Fiili imkânsızlık veya ilgili kişiye ulaşılamaması nedeniyle veriler doğrudan kişiden elde edilemiyorsa aydınlatma, verilerin elde edilmesinden itibaren makul süre içinde yapılmalı. Veriler iletişim kurmak için kullanılacaksa ilk iletişim sırasında, aktarılacaksa en geç ilk aktarım esnasında ilgili kişinin bilgilendirilmesi gerekiyor.

Sessiz kalmak açık rıza anlamına gelmiyor

Kurum, çağrı merkezi aramalarında gerekli aydınlatmanın yapılmadığı veya kişilerin bir aydınlatma metnine yönlendirilmediği uygulamalara dikkat çekti. Kampanyayı dinlemeye devam etmek, görüşmeyi sonlandırmamak, bilgi istemek ya da SMS’e ret cevabı vermemek gibi davranışların tek başına açık rıza kabul edilemeyeceği belirtildi.

Kanun’a göre açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanı olmalı. Tebliğ’in 5’inci maddesi doğrultusunda aydınlatma yükümlülüğünün yerine getirilmesi ile açık rıza alınması birbirinden ayrı işlemler olarak yürütülmeli.

Veri sorumluları için yükümlülükler

Duyuruda, üçüncü kişilerden alınan iletişim bilgilerinin kullanılması halinde Tebliğ’in 6’ncı maddesine uygun biçimde ve süresinde aydınlatma yapılması, ilgili kişilerin süreçler hakkında açık ve eksiksiz bilgilendirilmesi gerektiği hatırlatıldı. Reklam ve pazarlama kapsamındaki tüm veri işleme faaliyetlerinde Kanun ve ilgili mevzuata uyulması, kişilerin temel hak ve özgürlüklerinin gözetilmesi gerekiyor.

Kişisel verilerin korunmasına ilişkin yükümlülüklere aykırı hareket ettiği tespit edilen veri sorumluları hakkında 6698 sayılı Kanun’un 18’inci maddesi kapsamında idari yaptırım uygulanabileceği bildirildi.