Satın alınan bir data listesi KVKK açısından çoğu zaman güvenli bir pazarlama kaynağı değildir. Listedeki kişilerin verisinin size aktarılması için geçerli bir hukuki sebep, çoğunlukla sizi veya sektörünüzü belirten açık rıza gerekir; ticari ileti için ayrıca size ait İYS onayı aranır. İnternetten kazınmış veriler de yalnızca yayımlanma amacıyla sınırlı kullanılabilir. Güvenli yol, izinli kendi kitlenizi büyütmektir.
Hazır Liste Cazip Ama Riskli
Yeni bir ürün lansmanı yaklaşırken bir ajans ya da liste sağlayıcı “sektörünüzdeki 50 bin karar vericinin e-posta ve telefon listesi” teklif ettiğinde, bu teklif pazarlama ekibine hız ve erişim vaat eder. Oysa data listesi KVKK açısından değerlendirildiğinde, listenin nereden geldiği sorusunun cevabı çoğu zaman belirsizdir ve bu belirsizliğin hukuki sonucu listeyi kullanan şirkete kalır.
Bu yazıda satın alınan ve internetten kazınan listelerin taşıdığı riskleri, bir liste sağlayıcıdan istenmesi gereken güvenceleri, ajansla çalışırken rol dağılımını ve izinli bir kitleyi büyütmenin yollarını ele alıyoruz. Son bölümde elinizdeki mevcut listeleri temizlemek için uygulanabilir bir plan ve karar tablosu bulacaksınız.
Liste Satın Almanın Hukuki Dayanak Sorunu
Bir liste sağlayıcının elindeki kişisel verileri size satması ya da kiralaması, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) açısından bir aktarımdır. Kanun'un 8. maddesine göre kişisel veriler kural olarak ilgili kişinin açık rızası olmaksızın aktarılamaz; açık rıza dışındaki istisnalar ise 5. ve 6. maddelerdeki işleme şartlarına bağlıdır. Pazarlama amacıyla yapılan bir liste satışında sözleşmenin ifası veya hukuki yükümlülük gibi şartların uygulanabileceği durum nadirdir.
Açık rıza da kolayca sağlanmış sayılmaz. Rızanın belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış olması gerekir. Bir yarışma formundaki “bilgilerim iş ortaklarıyla paylaşılabilir” ifadesi, kişinin sizin şirketinize ve sizin kampanyanıza veri aktarımını öngördüğünü göstermez. Kurum'un Çerez Uygulamaları Hakkında Rehberi de açık uçlu ve belirsiz bir rızanın tek başına açık rıza kabul edilemeyeceğini vurgular.
Listeyi alan şirket de yeni bir veri sorumlusu olur ve kendi yükümlülükleri başlar. Aydınlatma Yükümlülüğü Tebliği'nin 6. maddesine göre veri ilgili kişiden elde edilmediğinde aydınlatma, verinin elde edilmesinden itibaren makul süre içinde, veri iletişim amacıyla kullanılacaksa en geç ilk iletişim sırasında yapılmalıdır. Yani ilk kampanya iletisinin kendisi, verinin nereden ve hangi hukuki sebeple alındığını açıklayabilmeyi gerektirir.
Ticari elektronik ileti tarafında durum daha da nettir. 6563 sayılı Kanun kapsamında onay, kural olarak onu alan hizmet sağlayıcı için geçerlidir ve İleti Yönetim Sistemi'nde (İYS) kayıtlı olmalıdır. Liste sağlayıcının veya başka bir şirketin aldığı onay, acentelik ve bayilik gibi sınırlı istisnalar dışında sizin adınıza ileti göndermeye dayanak olmaz. Bu konuyu İYS izni yazımızda ayrıntılı anlattık.
Son olarak ceza hukuku boyutu da göz ardı edilmemelidir. 5237 sayılı Türk Ceza Kanunu'nun 136. maddesi, kişisel verileri hukuka aykırı olarak başkasına vermeyi, yaymayı veya ele geçirmeyi hapis cezası öngörülen bir suç olarak düzenler. Kaynağı belirsiz bir listenin satın alınması, şirket çalışanlarını da bu riskin içine çekebilir.
Kazınmış (Scraping) Verinin Riski
Kazıma (scraping), web sitelerinden, profesyonel ağlardan veya dizinlerden kişisel verilerin otomatik araçlarla toplanmasıdır. Pazarlama ekiplerinde sık duyulan savunma, bu bilgilerin “zaten herkese açık” olduğudur. KVKK açısından herkese açık olmak, her amaçla kullanılabilir olmak demek değildir.
KVKK md. 5/2-d, ilgili kişinin kendisi tarafından alenileştirilmiş verilerin işlenmesine imkân tanır; ancak Kurum'un yaklaşımına göre alenileştirilen veri yalnızca alenileştirme amacıyla bağlantılı ve sınırlı olarak işlenebilir. Kişisel Verileri Koruma Kurulu'nun 01.09.2022 tarihli ve 2022/861 sayılı kararı bu ilkeyi somutlaştırır: arama motorunda yapılan aramalarla ulaşılan bir iş e-posta adresinin, bir pazarlama şirketi tarafından açık rıza olmaksızın ticari ileti gönderimi için kullanılması hukuka aykırı bulunmuştur. Kurul, adresin mesleki iletişim amacıyla yayımlandığını, pazarlama amacıyla değil, değerlendirmiştir.
Kazınmış Verinin Ek Riskleri
Kaynağın belgelenememesi: Hangi verinin hangi sayfadan, hangi tarihte ve hangi amaçla yayımlanmış hâlinden alındığı kayda geçirilmediğinde, ilgili kişi başvurusunda kaynağı açıklamak mümkün olmaz.
Platform kuralları: Pek çok platformun kullanım koşulları otomatik veri toplamayı yasaklar; bu durum KVKK dışında da sözleşmesel ve hukuki uyuşmazlık doğurabilir.
Veri kalitesi: Kazınmış veriler hızla eskir; görevi değişmiş, şirketten ayrılmış veya iletişim bilgisini değiştirmiş kişilere ulaşmak hem şikâyet hem itibar riski taşır.
Özel nitelikli veri: Profil fotoğrafı, dernek üyeliği veya sağlıkla ilgili ifadeler gibi bilgiler, kazıma sırasında farkında olmadan özel nitelikli veri toplanmasına yol açabilir.
Liste Sağlayıcıdan İstenmesi Gereken Güvenceler
Bir liste sağlayıcıyla çalışmaya yine de karar verildiyse, sözleşmeden önce aşağıdaki güvenceler yazılı olarak istenmelidir. Bu güvenceler riski azaltır, ancak sorumluluğu ortadan kaldırmaz: listeyi kullanan şirket, kendi işleme faaliyetinin hukuka uygunluğundan veri sorumlusu sıfatıyla sorumlu olmaya devam eder.
Sağlayıcı bu bilgilerin büyük kısmını veremiyorsa, listenin kullanılmaması en sağlıklı karardır. Sözleşmedeki tazminat hükümleri, Kurul incelemesinde veya bir ceza soruşturmasında şirketi korumaz; yalnızca sonradan sağlayıcıya rücu imkânı verir.
Liste Sağlayıcıdan İstenecek Güvenceler
| Güvence | Ne istenmeli? | Neden önemli? |
|---|---|---|
| Kaynak bilgisi | Her kaydın hangi kanaldan, hangi tarihte toplandığı | Aydınlatma ve ilgili kişi başvurularında kaynağı açıklayabilmek |
| Aydınlatma kanıtı | Toplama sırasında gösterilen aydınlatma metninin sürümü | Aktarım ve pazarlama amacının kişiye bildirildiğini görmek |
| Rıza metni ve kaydı | Alıcıları veya sektörü belirten açık rıza metni ve kayıt bazında rıza kanıtı | Rızanın belirli konuya ilişkin olduğunu doğrulamak |
| İYS durumu | Ticari ileti gönderimi için sizin adınıza geçerli bir onay olup olmadığı | Başkasının onayının size geçmemesi |
| Ret ve silme listesi | Rızasını geri alan veya silinmesini isteyen kişilerin güncel listesi | Geri çekilmiş rızaya dayanarak işleme yapmamak |
| Sözleşme hükümleri | Hukuka uygunluk beyanı, denetim hakkı, uyuşmazlıkta rücu ve iş bitiminde silme | Riskin dağılımını yazılı hâle getirmek |
Ajansla Çalışırken Rol ve Sorumluluk
Ajans ilişkilerinde ilk soru, ajansın KVKK'daki rolüdür. Kurum'un Veri Sorumlusu ve Veri İşleyen rehberindeki ayrıma göre, işlemenin amaç ve vasıtalarını belirleyen taraf veri sorumlusu, veri sorumlusunun verdiği yetkiye dayanarak onun adına işleme yapan taraf veri işleyendir. Rol, sözleşmedeki etikete göre değil, fiili ilişkiye göre belirlenir.
Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik, gönderim altyapısı sağlayan aracı hizmet sağlayıcıların başkaları adına, onların mal ve hizmetlerini tanıtmak amacıyla ticari ileti göndermek için onay alamayacağını düzenler. Bu nedenle “bizim izinli veritabanımıza gönderelim” teklifinde, onayın kime ve hangi kapsamda verildiği yazılı olarak sorgulanmalıdır.
Ajans hangi rolde olursa olsun, kampanyanın sahibi olarak şirketin şu üç konuyu kontrol etmesi önerilir: ajansın kullandığı listelerin kaynağı, gönderim öncesi İYS kontrolünün kim tarafından yapıldığı ve ret taleplerinin şirkete ve tüm gönderim araçlarına nasıl yansıtıldığı.
Ajans Senaryoları ve Roller
| Senaryo | Ajansın olası rolü | Dikkat edilecek nokta |
|---|---|---|
| Ajans sizin müşteri listenize sizin talimatınızla gönderim yapıyor | Veri işleyen | Veri işleme sözleşmesi, güvenlik tedbirleri, alt işleyenler ve iş bitiminde silme |
| Ajans kendi topladığı listeye sizin ürününüzü tanıtıyor | Ayrı veri sorumlusu | Listenin hukuki dayanağı ajansta; ancak ileti sizin adınıza ise İYS onayının kimde olduğu belirleyici |
| Ajans size liste satıyor veya kiralıyor | Aktarımı yapan veri sorumlusu | Aktarımın dayanağı ve sizin aydınlatma yükümlülüğünüz |
| Ajans reklam platformlarına sizin müşteri verinizi yüklüyor | Veri işleyen; platform açısından ayrıca aktarım değerlendirmesi | Yükleme amacının aydınlatmada yer alması ve yurt dışı aktarım |
Güvenli Alternatif: İzinli Kendi Kitlenizi Büyütmek
İzinli kitle, daha yavaş büyür ama daha uzun yaşar. Kendi kanallarınızda doğru aydınlatma ve ayrı onay adımıyla toplanan her kayıt, ileride bir şikâyet hâlinde kaynağı gösterilebilen, İYS'de karşılığı bulunan ve ilgili kişinin beklentisiyle örtüşen bir kayıttır.
İzinli Kitleyi Büyütmenin Yolları
İçerik karşılığı kayıt: Rehber, kontrol listesi veya rapor gibi bir içerik karşılığında e-posta toplanabilir. İndirme, ticari ileti onayına bağlanmamalı; onay kutusu ayrı ve işaretsiz olmalıdır.
Etkinlik ve web seminerleri: Kayıt formunda etkinlik için gerekli bilgiler ile pazarlama iletişimi onayı birbirinden ayrılmalıdır. Katılımcı listesinin sponsorlarla paylaşılacaksa bu, kayıt anında açıkça belirtilmelidir.
Web sitesi ve çerez kurgusu: Kitle ölçümü ve yeniden pazarlama için doğru kurulmuş bir rıza ekranı, çerez onayı KVKK yazımızda anlattığımız kontrol noktalarıyla izinli bir veri tabanı oluşturur.
Ortak pazarlama: İş ortağıyla birlikte yapılan kampanyalarda listelerin birbirine aktarılması yerine her tarafın kendi izinli kitlesine kendi kanalından duyuru yapması, aktarım riskini ortadan kaldırır.
Mevcut müşteriler: Mevcut müşterilere yönelik iletişimde de ticari ileti onayı ve aydınlatma kapsamı kontrol edilmeli; satış sırasında alınan iletişim bilgisi kendiliğinden pazarlama onayı anlamına gelmez.
Mevcut Listeleri Temizleme Planı
Çoğu şirketin sorunu yeni liste satın almak değil, yıllar içinde farklı kaynaklardan birikmiş mevcut listelerdir. Aşağıdaki plan, bu listeleri kontrollü biçimde ayıklamak için uygulanabilir. Silme ve imha adımları, şirketin kişisel veri saklama ve imha politikasına ve Silme, Yok Etme veya Anonim Hale Getirme Yönetmeliği'ne uygun biçimde kayıt altına alınmalıdır.
Bu tablo genel bir çerçeve sunar ve hukuki değerlendirmenin yerini tutmaz. Somut olay özelinde hukuki değerlendirme alınmalıdır.
Liste Temizleme Adımları
Envanteri çıkarın: CRM, e-posta pazarlama aracı, SMS platformu, satış ekibinin tablo dosyaları ve ajanslardaki kopyalar dahil tüm pazarlama listelerini tek bir dökümde toplayın.
Kaynağı etiketleyin: Her kaydı geldiği kaynağa göre işaretleyin: kendi formunuz, mağaza, etkinlik, satın alınan liste, kazıma veya bilinmiyor.
Kaynağı belgelenemeyenleri durdurun: Satın alınmış, kazınmış veya kaynağı bilinmeyen kayıtlara gönderimi derhal durdurun ve bu kayıtları diğer listelerle birleştirmeyin.
İYS ve ret kontrolü yapın: Gönderim yapılacak kayıtların ilgili kanal için İYS'de onayı olduğunu ve ret listesinde bulunmadığını doğrulayın.
Yeniden izin isteme tuzağına düşmeyin: Onayı olmayan adreslere “izin vermek ister misiniz?” iletisi göndermek, Yönetmelik'te yasaklanan onay talebi amaçlı ileti olabilir. İzin, kişinin kendi başlattığı temaslarda istenmelidir.
Silin ve kaydedin: Hukuki dayanağı olmayan kayıtları tüm sistemlerden ve ajans kopyalarından silin; silme işlemini tarih, kapsam ve yöntemle tutanağa bağlayın.
Kaynağı kalıcı hâle getirin: Bundan sonra her yeni kayıtla birlikte kaynak, tarih, aydınlatma sürümü ve onay bilgisini zorunlu alan olarak saklayın.
Liste Kaynağına Göre Karar Tablosu
| Liste kaynağı | Risk düzeyi | Önerilen karar |
|---|---|---|
| Kendi formunuz, ayrı onay kutusu ve İYS kaydı var | Düşük | Kullanılabilir; ret ve İYS kontrolü düzenli yapılmalı |
| Mevcut müşteri, aydınlatma var ama ticari ileti onayı yok | Orta | Ticari ileti gönderilmez; onay kişinin kendi başlattığı temasta istenir |
| İş ortağından veya ajanstan gelen, rıza kanıtı belgeli liste | Orta–yüksek | Rıza metni, kapsamı ve İYS durumu doğrulanmadan kullanılmaz |
| Satın alınmış, kaynağı belgesiz liste | Yüksek | Kullanılmaz; silinir ve silme kaydı tutulur |
| İnternetten kazınmış iletişim bilgileri | Yüksek | Pazarlama amacıyla kullanılmaz; somut olay özelinde hukuki değerlendirme alınır |
Sonuç ve Sonraki Adım
Data listesi KVKK açısından değerlendirildiğinde temel soru, “bu kişiler bize ve bu amaca izin verdi mi, bunu gösterebilir miyiz?” sorusudur. Satın alınan ve kazınan listelerde bu sorunun cevabı çoğu zaman olumsuzdur; liste sağlayıcıdan alınan güvenceler ve ajans sözleşmeleri riski azaltabilir, ancak veri sorumlusu olarak şirketin sorumluluğunu kaldırmaz.
Karar aşamasındaki şirketler için önerimiz iki adımlıdır: önce mevcut listelerinizi yukarıdaki planla temizleyin, ardından bütçeyi izinli kitle oluşturan kanallara yönlendirin. Bu çalışmayı tek bir departmanla sınırlı tutmak yerine şirket genelindeki uyum çalışmasının parçası yapmak isterseniz Standart KVKK Uyum Paketi ve KVKK danışmanlığı sayfalarımızı inceleyebilirsiniz. Olası yaptırımlar için 2026 idari para cezaları yazımıza bakabilirsiniz.
Sık Sorulan Sorular
Evet. Ad ve soyadı içeren kurumsal e-posta adresi veya doğrudan hat numarası belirli bir gerçek kişiye ait olduğu için kişisel veridir. Kurul'un 2022/861 sayılı kararı da iş e-posta adresine ilişkindir. Tacir ve esnafa yönelik ticari ileti istisnası ise ayrı değerlendirilmeli ve somut olay özelinde hukuki değerlendirme alınmalıdır.
Tek başına yeterli değildir. Taahhüt, kayıt bazında kaynak, aydınlatma ve rıza kanıtıyla desteklenmiyorsa Kurul incelemesinde şirketin hukuka uygunluğu göstermesini sağlamaz; yalnızca sağlayıcıya rücu imkânı verebilir.
Hayır. Ticari amaçlı aramalar da ticari elektronik ileti kapsamında değerlendirilir ve arama kanalı için ayrı onay gerekir. Ayrıca verinin aktarımı ve işlenmesine ilişkin KVKK soruları kanal değişse de aynı kalır.
KVKK md. 11 ve Aydınlatma Tebliği kapsamında verinin toplanma yöntemi ve kaynağı açıklanabilmelidir. Kaynak belgelenemiyorsa bu, listenin hukuki dayanağının da gösterilemeyeceğine işaret eder; başvuru en geç 30 gün içinde yanıtlanmalıdır.
Listelerinizi ve kampanya süreçlerinizi birlikte gözden geçirelim
Liste kaynaklarının denetimi, ajans ve sağlayıcı sözleşmeleri, izin ve çerez kurgusu için pazarlama departmanınıza özel çalışmanın kapsamını belirleyelim.
Departmanınız için teklif alınKaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu — Mevzuat Bilgi Sistemi
- Kurul'un 01.09.2022 tarihli ve 2022/861 sayılı karar özeti (arama motorundan elde edilen e-posta adresine ticari ileti) — Kişisel Verileri Koruma Kurumu (2022-09-01)
- Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ — Resmî Gazete (2018-03-10)
- Veri Sorumlusu ve Veri İşleyen (Yayın 106) — Kişisel Verileri Koruma Kurumu
- Çerez Uygulamaları Hakkında Rehber (KVKK Yayınları No: 69) — Kişisel Verileri Koruma Kurumu (2025-07)
- Ticari Elektronik İletiler — Genel Bilgiler — T.C. Ticaret Bakanlığı
