Kişisel Verileri Koruma Kurulu (KVKK), bir tasarruf finansman şirketinin “marka elçiliği” programı kapsamında üçüncü kişilerden elde ettiği telefon numaralarını reklam ve pazarlama faaliyetlerinde kullanmasını hukuka aykırı buldu. Kurul, geçerli bir kişisel veri işleme şartı bulunmadan gerçekleştirilen faaliyet nedeniyle veri sorumlusuna 1 milyon TL idari para cezası uygulanmasına karar verdi.
10 Haziran 2026 tarihli ve 2026/1183 sayılı karara konu olayda, şirket müşterilerinin mobil uygulama üzerinden tanıdıklarına ait telefon numaralarını sisteme ekleyebildiği ve bu kişilerin tasarruf finansman hizmetleri hakkında bilgilendirilmek üzere şirket tarafından aranabildiği belirtildi. Şikâyetçi de telefon numarasının bu yöntemle şirkete aktarıldığını, ardından kendisine pazarlama amaçlı SMS gönderildiğini ve telefonla arama yapıldığını ileri sürdü.
Şirket savunmasında, telefon numarasının bir müşterisi tarafından bilgi almak isteyen bir tanıdığı olduğu gerekçesiyle sisteme girildiğini bildirdi. İlk telefon görüşmesinde kişinin bilgilendirildiğini ve açık rızasının alındığını savunan şirket, kişinin görüşme sırasında hizmet hakkında sorular sorduğunu ve bilgi almaya devam etmek istediğini belirtti. Ayrıca daha sonra yapılan başvuru üzerine arama ve SMS gönderiminin durdurulduğu, ilgili kişinin verilerinin silindiği ifade edildi.
Kurul ise süreci farklı değerlendirdi. Telefon numarasının öncelikle üçüncü bir kişi aracılığıyla şirkete ulaştığına ve kaydedildiğine dikkat çekildi. Ardından gerçekleştirilen görüşmede kişisel verilerin işlenmesine ilişkin usulüne uygun açık rıza alınmadığı, kişinin kampanya tanıtımına ilgi göstererek görüşmeye devam etmesinin KVKK kapsamında geçerli açık rıza olarak kabul edilemeyeceği sonucuna varıldı. Görüşmenin kayıt altına alınmasına ilişkin de kişiye bilgilendirme yapılmadığı tespit edildi.
Kararda, geçerli açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olması gerektiği vurgulandı. Kurul, yalnızca şikâyetçinin değil, marka elçiliği programı kapsamında benzer yöntemlerle verileri elde edilen diğer gerçek kişilerin de aynı durumdan etkilenebileceğini değerlendirdi.
Bu tespitler doğrultusunda, kişisel verilerin geçerli bir işleme şartı olmadan işlendiğine ve veri sorumlusunun hukuka aykırı veri işlemeyi önlemek için gerekli tedbirleri alma yükümlülüğüne aykırı hareket ettiğine karar verildi. Şirkete 1 milyon TL idari para cezası uygulanırken, şikâyetçinin şirkete yaptığı başvurunun süresinde yanıtlandığı tespit edildiğinden bu konuda ayrıca işlem yapılmadı. Karar, özellikle müşteri tavsiyesi ve referans programlarıyla üçüncü kişilerin iletişim bilgilerini toplayan şirketler açısından, kişinin görüşmeyi sürdürmesinin veya pazarlama içeriğine ilgi göstermesinin tek başına geçerli açık rıza sayılamayacağını ortaya koyması bakımından önem taşıyor.
