Kişisel Verileri Koruma Kurumu (“Kurum”), 21 Temmuz 2026 tarihli kamuoyu duyurusu (“Duyuru”) ile üçüncü kişilerden elde edilen iletişim bilgilerinin reklam ve pazarlama amacıyla kullanılmasına ilişkin değerlendirmelerini paylaşmış ve veri sorumlularının yükümlülüklerine ilişkin farkındalığın artırılması ve hak ihlallerinin önlenmesi amacıyla önemli hususlara dikkat çekmiştir.
Duyuru, bu uygulamalar bakımından veri sorumlularının 6698 sayılı Kişisel Verilerin Korunması Kanunu (“
Kanun”) kapsamındaki yükümlülükleri konusunda kamuoyunu bilgilendirmek amacıyla hazırlanmıştır.
Duyuruda Öne Çıkan Değerlendirmeler
Kurum, kişisel verilerin üçüncü kişilerden elde edilmiş olmasının bu verilerin reklam ve pazarlama amacıyla işlenmesi için tek başına yeterli olmadığını vurgulamıştır. Duyuru ile veri sorumlularının ilgili yükümlülükleri yeniden hatırlatılmış. Bu kapsamda aşağıdaki hususlar öne çıkmaktadır:
- Kişisel veriler, kural olarak ilgili kişinin açık rızası olmaksızın işlenemez. Bununla birlikte, Kanun’un 5. maddesinde sayılan işleme şartlarından birinin bulunması halinde açık rıza aranmaksızın da kişisel veriler işlenebilmektedir. Reklam ve pazarlama faaliyetleri bakımından uygun bir veri işleme şartının bulunup bulunmadığı her somut olay özelinde ayrıca değerlendirilmelidir.
- Kişisel verilerin, doğrudan ilgili kişiden elde edilmediği durumlarda uygulanacak usul ve esaslar için Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ düzenlemeleri hatırlatılmıştır. Buna göre, fiili imkânsızlık veya ilgili kişiye ulaşılamaması nedeniyle kişisel veriler doğrudan ilgili kişiden elde edilemiyorsa, veri sorumluları; (i) kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde, (ii) kişisel veriler ilgili kişiyle iletişim kurulması amacıyla kullanılacaksa ilk iletişim sırasında, (iii) kişisel veriler aktarılacaksa en geç ilk aktarım esnasında ilgili kişiyi aydınlatmakla yükümlüdür.
- Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanı olmalıdır. Bu kapsamda, ilgili kişilerin kampanyayı dinlemeye devam etmesi, görüşmeyi sonlandırmaması, bilgi almak istemesi veya SMS’e ret cevabı vermemesi gibi zımni davranışlar tek başına açık rıza sayılmamaktadır.
- İlgili kişilerin, kişisel verilerinin işlenmesine ilişkin süreçler hakkında Kanun'a uygun olarak açık, anlaşılır ve eksiksiz biçimde bilgilendirilmesi gerekmektedir.
- Aydınlatma yükümlülüğü ile açık rıza alınmasına ilişkin süreçler birbirinden bağımsız olarak yürütülmelidir. Veri sorumlusu, öncelikle ilgili kişiyi usulüne uygun şekilde aydınlatmalı; açık rızanın gerekli olduğu hallerde ise, aydınlatma sürecinden bağımsız olarak ilgili kişinin özgür iradesine dayanan ayrı bir irade beyanı ile açık rızasını temin etmelidir.
Sonuç
Sonuç olarak bu Duyuru ile Kurum, reklam ve pazarlama faaliyetleri kapsamında gerçekleştirilen tüm kişisel veri işleme süreçlerinde, Kanun ile ilgili mevzuat hükümlerine uygun hareket edilmesi ve ilgili kişilerin temel hak ve özgürlüklerinin gözetilmesi gerektiğini ortaya koymuştur. Kanun’a aykırı hareket ettiği tespit edilen veri sorumluları hakkında Kanun’un 18. maddesi kapsamında idari yaptırım uygulanabileceği hatırlatılmıştır.
Bu kapsamda, referans, tavsiye, tanıdık yönlendirmesi veya müşteri önerisi gibi yöntemlerle üçüncü kişilerden elde edildiği belirtilen iletişim bilgilerini kullanarak ilgili kişilere sesli arama veya kısa mesaj (SMS) yoluyla pazarlama faaliyetinde bulunan veri sorumlularının, veri işleme süreçlerini Duyuru'da belirtilen esaslar çerçevesinde gözden geçirmeleri önem taşımaktadır.
Kurum’un ilgili duyurusuna
buradan ulaşabilirsiniz.
Aslı Kınsız, Yönetici Avukat
Sevim Özkan, Avukat