İzinsiz SMS: 1 Milyon TL Ceza

Tek bir reklam mesajı ilk bakışta sıradan bir pazarlama faaliyeti gibi görünebilir. Ancak telefon numarası hukuka uygun bir veri işleme şartına dayanmadan elde edilmiş, sisteme kaydedilmiş ve pazarlama amacıyla kullanılmışsa süreç ciddi bir kişisel veri uyumsuzluğuna dönüşebilir.

Kişisel Verileri Koruma Kurulunun 10 Haziran 2026 tarihli ve 2026/1183 sayılı kararında bir tasarruf finansman şirketine 1.000.000 TL idari para cezası uygulandı. Karar kamuoyunda “bir SMS nedeniyle 1 milyon TL ceza” şeklinde öne çıktı. Bununla birlikte yaptırım yalnızca gönderilen tek mesajın sayısına değil; telefon numarasının üçüncü kişiden alınması, kaydedilmesi, pazarlama aramalarında kullanılması, görüşmenin kayda alınması ve geçerli bir veri işleme şartının ortaya konulamamasıyla oluşan bütün sürece dayanıyor.

İşletmeler için temel mesaj açıktır: Bir telefon numarasını bilmek, o numarayı pazarlama amacıyla kullanma hakkına sahip olmak anlamına gelmez.

Kararın Kısa Özeti

• Karar tarihi: 10 Haziran 2026
• Karar numarası: 2026/1183
• Konu: Üçüncü kişiden alınan iletişim numarasının reklam ve pazarlama amaçlı SMS ve aramalarda kullanılması
• Yaptırım: 1.000.000 TL idari para cezası
• Temel tespit: Telefon numarası için geçerli bir veri işleme şartı ve Kanuna uygun açık rıza ortaya konulamadı.

Olay Nasıl Başladı?

Karara göre veri sorumlusu, “marka elçiliği” programındaki müşterilerinden üçüncü kişilere ait iletişim numaraları temin ediyor ve veri aktarımı karşılığında prim ödüyordu. Şikâyetçinin telefon numarası da bir müşteri tarafından uygulamaya eklendi. Ardından ilgili kişi arandı, tasarruf finansman kampanyası hakkında bilgilendirme yapıldı, görüşme kayda alındı ve pazarlama amaçlı bir SMS gönderildi.

İlgili kişi; telefon numarasının kaynağı, hangi amaçla ve hangi hukuki sebebe dayanılarak işlendiği ile pazarlama iletişiminin dayanağı konusunda işletmeye başvurdu. İşletme ise numaranın üçüncü bir müşteri tarafından sisteme girildiğini, görüşme sırasında kişinin bilgi almaya devam ettiğini, SMS’te ret seçeneği bulunduğunu ve başvurudan sonra verilerin silinerek numaranın gönderim panellerinde engellendiğini savundu.

Kişisel Verileri Koruma Kurulu bu savunmayı yeterli bulmadı.

Kurul Neyi Hukuka Aykırı Buldu?

Üçüncü Kişiden Gelen Veri Kontrol Edilmedi

Telefon numarasının bir müşteri veya başka bir üçüncü kişi tarafından sisteme eklenmesi, işletmenin veri sorumlusu sıfatını ve uyum yükümlülüklerini ortadan kaldırmaz. Veriyi kendi sisteminde kaydeden, kullanım amacını belirleyen ve pazarlama faaliyetine konu eden işletme; veri kaynağını, işleme şartını ve ilgili kişiye yapılacak bilgilendirmeyi yönetmek zorundadır.

Bu nedenle tavsiye, referans, marka elçiliği veya benzeri programlardan gelen iletişim bilgilerinin doğrudan CRM’e ve pazarlama listelerine aktarılması yüksek riskli bir uygulamadır.

Konuşmaya Devam Etmek Açık Rıza Sayılmadı

İşletme, ilgili kişinin çağrı sırasında kampanyayla ilgilenmesini ve konuşmayı sürdürmesini açık rıza olarak değerlendirdi. Kurul ise bu davranışın zımni rıza niteliğinde kaldığını belirtti.

Kanuna uygun açık rıza;

• belirli bir konuya ilişkin olmalı,
• bilgilendirmeye dayanmalı,
• özgür iradeyle açıklanmalıdır.

Kişinin yalnızca görüşmeyi sürdürmesi veya kampanyaya ilişkin soru sorması, kişisel verilerinin pazarlama amacıyla işlenmesine yönelik geçerli açık rıza bulunduğunu tek başına göstermez.

Aydınlatma ve Açık Rıza Ayrı Yönetilmedi

Kararda, ilk iletişim sırasında aydınlatma yapılmadan veya ilgili kişi bir aydınlatma kanalına yönlendirilmeden kampanya tanıtımına devam edildiği; ayrıca görüşmenin kayda alındığı konusunda da bilgilendirme yapılmadığı değerlendirildi.

Aydınlatma yükümlülüğü ile açık rıza aynı işlem değildir. Veri sorumlusu, kişisel veriyi hangi amaçla, hangi yöntemle ve hangi hukuki sebeple işlediğini açıklamalı; veri işleme açık rızaya dayanıyorsa rızayı bundan ayrı ve ispatlanabilir şekilde yönetmelidir.

Programın Bütünü Riskli Görüldü

Kurul, değerlendirmesinin yalnızca şikâyetçiyle sınırlı olmadığını; “marka elçiliği” programı kapsamında benzer yöntemle işlenen diğer kişilerin verileri bakımından da geçerli olduğunu belirtti. Bu nokta, yaptırımın yalnızca bir SMS adedine değil, kurumsal veri toplama ve pazarlama modeline ilişkin olduğunu gösteriyor.

Ret Seçeneği İlk İşlemi Düzeltmez

“Mesajda iptal seçeneği vardı” savunması, telefon numarasının başlangıçta hangi hukuki gerekçeyle elde edildiği ve işlendiği sorusunun yerine geçmez. Ret hakkı, gelecekteki iletilerin durdurulmasını sağlar; geçmişteki veri toplama ve kullanım faaliyetini kendiliğinden hukuka uygun hâle getirmez.

Aynı şekilde şikâyet sonrasında verinin silinmesi veya numaranın SMS panellerinde engellenmesi önemli bir düzeltici aksiyon olabilir. Ancak bu işlemler, daha önce gerçekleşmiş hukuka aykırı veri işlemeyi geriye dönük olarak ortadan kaldırmaz.

Telefon Numarası Kişisel Veridir

Telefon numarası, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilebildiği için kişisel veridir. Bu nedenle telefon numarasının elde edilmesi, kaydedilmesi, CRM sistemine aktarılması, çağrı merkezi tarafından kullanılması, SMS paneline yüklenmesi veya silinmesi kişisel veri işleme faaliyetidir.

Telefon numarası; e-posta adresi, IP bilgisi, konum kaydı ve çevrim içi davranış verileri gibi kişinin dijital kimliğini oluşturan diğer verilerle bir araya geldiğinde tüketim alışkanlıkları, ilgi alanları ve günlük yaşam düzeni hakkında ayrıntılı profiller kurulmasına imkân verebilir.

KVKK ve Ticari İleti Ayrı Kontrol Edilmeli

Pazarlama amaçlı SMS süreçleri iki ayrı uyum katmanını birlikte ilgilendirir. Telefon numarasının elde edilmesi ve kullanılması 6698 sayılı Kişisel Verilerin Korunması Kanunu açısından bir veri işleme faaliyetidir. Ticari elektronik iletinin gönderilmesi ise ayrıca 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili ikincil mevzuat kapsamında değerlendirilmelidir.

Bu nedenle yalnızca İleti Yönetim Sistemi kaydı veya mesajda ret seçeneği bulunması, kişisel veri işleme faaliyetinin KVKK bakımından otomatik olarak hukuka uygun olduğu anlamına gelmez. İşletmeler her iki mevzuat katmanını ayrı ayrı ve birlikte kontrol etmelidir.

İşletmeler Hangi Dersleri Çıkarmalı?

1. Veri Kaynağını Kayıt Altına Alın

CRM, çağrı merkezi veya SMS sistemine eklenen her telefon numarasının hangi kanaldan, ne zaman ve kim tarafından elde edildiği izlenebilir olmalıdır. “Sistemde kayıtlıydı” açıklaması tek başına yeterli değildir.

2. Veri İşleme Şartını Belirleyin

Her veri işleme faaliyetinin 6698 sayılı Kanun’un 5’inci maddesindeki şartlardan en az birine dayanması gerekir. Açık rızaya dayanılıyorsa rızanın belirli, bilgilendirilmiş, özgür iradeyle verilmiş ve gerektiğinde ispatlanabilir olması sağlanmalıdır.

3. Aydınlatma ve Rızayı Ayırın

Kişiye verilerinin nasıl işlendiğini anlatmak ile belirli bir işleme faaliyeti için açık rıza almak aynı şey değildir. Metinler, kayıtlar ve kullanıcı akışları bu ayrımı görünür kılmalıdır.

4. Üçüncü Kişi Verisini Doğrudan Pazarlamaya Açmayın

Referans, tavsiye, form girişi veya müşteri beyanıyla alınan telefon numaraları doğrulama yapılmadan pazarlama listesine eklenmemelidir. Numaranın sahibine ve işleme şartına ilişkin kontrol uygulanmalıdır.

5. Sistemler Arasında İzin Senkronizasyonu Kurun

Ana veri tabanı, CRM, çağrı merkezi, SMS paneli ve İleti Yönetim Sistemi kayıtları birbiriyle uyumlu çalışmalıdır. Bir kanaldaki ret veya silme talebi diğer sistemlere zamanında yansıtılmalıdır.

6. Başvurulara Kayıtlarla Cevap Verin

İlgili kişinin veri kaynağı ve işleme amacı hakkındaki sorularına genel ifadelerle değil; somut kayıtlar, tarih ve hukuki sebep bilgisiyle cevap verilmelidir. Başvuru süreci yasal süreler içinde yönetilmelidir.

İşletmeniz İçin Kontrol Listesi

Aşağıdaki sorulardan herhangi birine “hayır” cevabı veriyorsanız pazarlama veri süreçlerinizi yeniden değerlendirmeniz gerekebilir:

• Veri tabanımızdaki her telefon numarasının kaynağını gösterebiliyor muyuz?
• İlgili veri işleme şartını süreç ve sistem bazında belgeleyebiliyor muyuz?
• Pazarlama onaylarını kimden, ne zaman, hangi yöntemle aldığımızı kanıtlayabiliyor muyuz?
• Üçüncü kişiler tarafından girilen iletişim bilgilerini doğruluyor muyuz?
• Aydınlatma ve açık rıza adımlarını ayrı yönetiyor muyuz?
• Ret taleplerini CRM, çağrı merkezi ve SMS paneli dahil bütün kanallara yansıtıyor muyuz?
• Görüşme kaydı yapılıyorsa ilgili kişiyi bu konuda bilgilendiriyor muyuz?
• Eski, gereksiz veya hukuki dayanağı bulunmayan iletişim verilerini düzenli siliyor muyuz?
• İlgili kişi başvurularına süresi içinde ve kayıtlarla cevap verebiliyor muyuz?

Sonuç: Küçük Mesaj, Büyük Sorumluluk

İzinsiz SMS, yalnızca pazarlama ekibinin yaptığı küçük bir gönderim hatası olarak görülmemelidir. Tek bir ileti; veri toplama, doğrulama, aydınlatma, açık rıza, sistem entegrasyonu, çalışan eğitimi ve kurumsal denetim süreçlerindeki daha geniş bir eksikliği görünür hâle getirebilir.

2026/1183 sayılı kararın işletmelere verdiği temel mesaj şudur: Kaynağını ve hukuki dayanağını açıklayamadığınız kişisel verileri pazarlama amacıyla kullanmayın. “Başka biri ekledi”, “ret seçeneği vardı” veya “şikâyetten sonra sildik” açıklamaları tek başına sorumluluğu ortadan kaldırmayabilir.

Her olayın sonucu kendi koşullarına göre değerlendirilir. Kişisel veri işleme ve ticari ileti süreçlerinin, işletmenin faaliyet alanı ve güncel mevzuat dikkate alınarak ayrıca incelenmesi önerilir.

KVKK Danışmanlığını İnceleyin
Link: https://kvkkrehberi.com/
Telefon: 444 4 908

İzinsiz SMS Hakkında SSS

Bir telefon numarası referansla alınabilir mi?

Bir kişi üçüncü bir kişiye ait telefon numarasını işletmeyle paylaşabilir; ancak bu aktarım, işletmeye numarayı doğrudan pazarlama amacıyla kullanma hakkı vermez. Veri kaynağı, işleme şartı, bilgilendirme ve ticari ileti kuralları ayrıca değerlendirilmelidir.

Mesajdaki RET seçeneği yeterli midir?

Hayır. Ret seçeneği, sonraki iletilerin durdurulmasına hizmet eder. Telefon numarasının başlangıçta hukuka uygun şekilde elde edilip edilmediği ve işlendiği sorusunu ortadan kaldırmaz.

Açık rıza her veri işleme için zorunlu mudur?

Hayır. Kişisel veri işleme faaliyeti, 6698 sayılı Kanun’un 5’inci maddesindeki şartlardan birine dayanmalıdır. Açık rıza bu şartlardan biridir. Somut olayda ise Kurul, geçerli bir veri işleme şartı ve Kanuna uygun açık rıza bulunmadığı sonucuna ulaşmıştır.

İYS kaydı KVKK uyumunu tek başına sağlar mı?

Hayır. Ticari elektronik ileti süreçleri ile kişisel veri işleme süreçleri bağlantılı olsa da ayrı mevzuat katmanlarına tabidir. İYS kaydı, veri kaynağı ve KVKK kapsamındaki işleme şartının ayrıca değerlendirilmesi gereğini ortadan kaldırmaz.

Ceza gerçekten yalnızca bir SMS için mi verildi?

Hayır. Kararda bir SMS gönderildiği belirtilmekle birlikte yaptırım; üçüncü kişiden veri temini, kayıt, arama, görüşme kaydı, geçerli işleme şartı bulunmaması ve program kapsamında benzer yöntemle veri işlenmesi dahil bütün sürecin değerlendirilmesi sonucunda uygulandı.

KVKK Rehberi bu süreçte nasıl destek olur?

KVKK Rehberi; veri kaynağı ve işleme şartı kontrolleri, aydınlatma ve açık rıza akışları, CRM ve pazarlama sistemi uyumu, saklama-imha süreçleri ve ilgili kişi başvuru yönetimi için mevcut durum analizi ve danışmanlık desteği sunar.