Kişisel Verileri Koruma Kurulu, bir tasarruf finansman şirketinin “marka elçiliği” programı kapsamında müşterileri aracılığıyla üçüncü kişilere ait telefon numaralarını toplaması ve bu kişilerle reklam ve pazarlama amacıyla iletişime geçmesi hakkında önemli bir karar verdi.
Kurul, ilgili kişiye ait telefon numarasının geçerli bir kişisel veri işleme şartı bulunmaksızın işlendiğini belirleyerek veri sorumlusu hakkında 1.000.000 TL idari para cezası uygulanmasına karar verdi.
Karar, özellikle referans, tavsiye, arkadaşını getir veya marka elçiliği gibi programlar aracılığıyla üçüncü kişilerin iletişim bilgilerinin şirketlere aktarılması bakımından dikkat çekici sonuçlar içeriyor.
Telefon Numarası Marka Elçisi Tarafından Şirkete Verildi
Şikâyete göre tasarruf finansman şirketi, marka elçiliği programına katılan müşterilerinden üçüncü kişilere ait iletişim bilgilerini temin ediyor ve bu veri aktarımı karşılığında marka elçilerine prim ödüyordu.
Şikâyetçi kişinin telefon numarası da bir başka müşteri tarafından şirketin sistemine eklendi.
Bunun ardından şirket tarafından ilgili kişiye telefonla ulaşıldı ve daha sonra kampanya içerikli SMS gönderildi.
İlgili kişi, telefon numarasının açık rızası alınmadan ve gerekli bilgilendirme yapılmadan işlendiğini, reklam ve pazarlama amacıyla kullanıldığını ileri sürerek Kişisel Verileri Koruma Kurumuna başvurdu.
Şirket “Açık Rıza Aldık” Savunması Yaptı
Veri sorumlusu şirket ise telefon numarasının ilgili kişinin tanıdığı olduğu düşünülen bir müşteri tarafından sisteme girildiğini bildirdi.
Şirketin savunmasına göre müşteri, ilgili kişinin tasarruf finansman sistemi hakkında bilgi almak istediğini belirterek telefon numarasını uygulamaya ekledi.
Şirket ayrıca ilk telefon görüşmesinde ilgili kişinin bilgilendirildiğini, açık rızasının alındığını, görüşmenin kaydedildiğini ve ilgili kişinin tasarruf finansmanı hakkında sorular sorarak görüşmeye devam ettiğini savundu.
SMS içerisinde ileti gönderimini durdurmaya yönelik iptal seçeneğinin de bulunduğu belirtildi.
Ancak Kurul bu savunmayı yeterli görmedi.
Konuşmaya Devam Etmek “Açık Rıza” Sayılmadı
Kurul kararındaki en önemli değerlendirmelerden biri açık rızanın niteliğine ilişkin oldu.
Kurula göre ilgili kişinin kampanya anlatımı sırasında konuşmaya devam etmesi ve konuya ilgi göstermesi, kişisel verilerinin işlenmesine yönelik hukuken geçerli bir açık rıza anlamına gelmiyor.
Açık rızanın KVKK bakımından geçerli olabilmesi için;
- belirli bir konuya ilişkin olması,
- bilgilendirmeye dayanması,
- özgür iradeyle açıklanması
gerekiyor.
Bu nedenle yalnızca kişinin telefon görüşmesini sonlandırmaması, kampanya hakkında soru sorması veya anlatılanları dinlemeye devam etmesi zımni rıza niteliğinde değerlendirildi ve KVKK anlamında geçerli açık rıza kabul edilmedi.
Açık Rıza Veri İşlendikten Sonra Alınamaz
Kurul ayrıca veri işleme sürecinin sıralamasına dikkat çekti.
Somut olayda telefon numarası önce üçüncü kişi tarafından şirkete aktarılmış, şirket sistemine kaydedilmiş ve ardından ilgili kişi aranmıştı.
Dolayısıyla kişisel veri, ilgili kişiyle henüz iletişime geçilmeden önce işlenmiş durumdaydı.
Kurul, açık rızaya dayanılarak kişisel veri işlenecekse açık rızanın veri işleme faaliyetine başlanmadan önce alınması gerektiğini vurguladı.
Telefon numarasının önce sisteme kaydedilip daha sonra arama sırasında rıza alınmaya çalışılması, önceki hukuka aykırı veri işleme faaliyetini geçerli hâle getirmiyor.
Görüşmenin Kaydedilmesi Konusunda da Bilgilendirme Yapılmadı
Şirket, telefon görüşmesinin kayıt altına alındığını savunmasında belirtmişti.
Kurul ise ses kaydı alınmasına ilişkin olarak ilgili kişinin ayrıca bilgilendirilmediğini tespit etti.
Bu durum da telefon görüşmesi sırasında gerçekleştirilen veri işleme faaliyetlerinin kapsamının ilgili kişiye yeterince açıklanmadığını gösteren unsurlardan biri olarak değerlendirildi.
“Marka Elçiliği” Programının Tamamı Açısından Değerlendirme Yapıldı
Kurulun kararı yalnızca şikâyette bulunan kişinin telefon numarasıyla sınırlı kalmadı.
İlgili kişinin verisinin marka elçiliği sistemi kapsamında işlendiği ve aynı yöntemin diğer kişiler bakımından da kullanıldığı dikkate alınarak program genelinde değerlendirme yapıldı.
Kurul, herhangi bir hukuka uygun veri işleme şartı bulunmaksızın üçüncü kişilerden temin edilen iletişim bilgilerinin işlenmesinin KVKK’ya aykırı olduğunu belirledi.
Dolayısıyla müşterinin bir arkadaşının veya tanıdığının telefon numarasını şirkete vermesi, şirket açısından tek başına hukuka uygun kişisel veri işleme sebebi oluşturmuyor.
Sonradan SMS İptali İmkânı Hukuka Aykırılığı Ortadan Kaldırmadı
Şirket, SMS mesajlarında “iptal” seçeneği bulunduğunu ve kişinin istediği zaman reklam iletilerini durdurabileceğini de savundu.
Ancak bu imkân, telefon numarasının başlangıçta hangi hukuki sebebe dayanılarak toplandığı sorununu ortadan kaldırmadı.
Kurulun yaklaşımına göre, kişiye sonradan “mesaj almak istemiyorsanız iptal edin” seçeneğinin sunulması, başlangıçta hukuka aykırı şekilde gerçekleştirilen veri işleme faaliyetini hukuka uygun hâle getirmiyor.
Aydınlatma Yükümlülüğü İçin Ayrıca Ceza Verilmedi
Kararda dikkat çeken bir diğer nokta ise aydınlatma yükümlülüğüne ilişkin oldu.
Kurul, somut olayda kişisel verinin zaten KVKK’nın 5’inci maddesinde bulunan herhangi bir veri işleme şartına dayanmadan işlendiğini tespit etti.
Bu nedenle ayrıca aydınlatma yükümlülüğünün ihlal edilip edilmediği yönünden ilave bir işlem yapılmasına gerek olmadığı sonucuna vardı.
Başka bir ifadeyle temel hukuka aykırılık, telefon numarasının baştan itibaren geçerli bir veri işleme sebebi bulunmadan işlenmiş olması olarak kabul edildi.
Başvuruya Cevap Verildiği Tespit Edildi
Şikâyetçi ayrıca şirketin KVKK kapsamındaki başvurusuna süresi içinde cevap vermediğini ileri sürmüştü.
Şirket ise talep edilen şekilde e-posta yoluyla 30 günlük süre içerisinde yanıt verdiğini bildirdi.
Kurul incelemesinde başvurunun cevaplandığı tespit edildiğinden bu iddia yönünden herhangi bir işlem yapılmadı.
1 Milyon TL İdari Para Cezası
Kişisel Verileri Koruma Kurulu, ilgili kişinin telefon numarasının KVKK’nın 5’inci maddesinde öngörülen geçerli bir işleme şartı bulunmadan işlendiği sonucuna ulaştı.
Bu durumun, KVKK’nın 12’nci maddesinde veri sorumlularına yüklenen kişisel verilerin hukuka aykırı olarak işlenmesini önlemeye yönelik gerekli teknik ve idari tedbirleri alma yükümlülüğüne aykırı olduğuna karar verildi.
Bu nedenle veri sorumlusu şirket hakkında Kanun’un 18’inci maddesinin birinci fıkrasının (b) bendi kapsamında 1.000.000 TL idari para cezası uygulandı.
Karar, referans ve tavsiye sistemleri kullanan şirketler açısından önemli bir uyarı niteliği taşıyor: Bir müşterinin başka bir kişinin telefon numarasını şirkete vermesi, o kişinin reklam, kampanya veya pazarlama amacıyla aranabilmesi için tek başına yeterli bir hukuki dayanak oluşturmuyor.
Karar Künyesi: Kişisel Verileri Koruma Kurulunun 10.06.2026 tarihli ve 2026/1183 sayılı Kararı.