Satış ve pazarlama süreçlerinde çok tanıdık bir senaryo var: Bir telefon numarası veya e-posta adresi doğrudan ilgili kişiden değil; referans, mevcut müşteri, iş ortağı, tavsiye ya da üçüncü kişilerden temin edilen bir liste aracılığıyla elde ediliyor. Ardından bu bilgiler kampanya, tanıtım veya satış amacıyla kullanılmak isteniyor.
Kişisel Verileri Koruma Kurumu’nun (“Kurum”) 21 Temmuz 2026 tarihli kamuoyu duyurusu, uygulamada sık karşılaşılan bu noktaya ilişkin önemli hatırlatmalar içeriyor.
Kurum’un temel mesajı açık: Bir kişisel verinin üçüncü kişiden elde edilmiş olması, o verinin reklam veya pazarlama amacıyla kullanılabileceği anlamına gelmez.
Başka bir ifadeyle, “bu numara bize tavsiye edildi”, “müşterimiz yönlendirdi”, “kişi zaten ilgilenebilir” veya “veri tabanından aldık” gibi gerekçeler, tek başına geçerli bir kişisel veri işleme şartı oluşturmaz.
Verinin nereden geldiği kadar neden işlendiği de önemli
6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) uyarınca kişisel verilerin işlenebilmesi için Kanun’da yer alan işleme şartlarından birinin bulunması gerekir. Reklam ve pazarlama faaliyetlerinde hangi hukuki sebebe dayanılabileceği ise her somut olay özelinde ayrıca değerlendirilmelidir.
Bu nedenle üçüncü kişilerden elde edilen telefon numarası, e-posta adresi veya benzeri iletişim bilgilerinin kullanılması planlanıyorsa, yalnızca verinin kaynağına bakmak yeterli değildir. Şirketlerin aynı zamanda bu veriyi hangi amaçla, hangi hukuki sebebe dayanarak ve hangi sınırlar içinde işleyeceğini de belirlemesi gerekir.
İlk temas yalnızca pazarlama mesajı olmamalı
Kanun’un 10. maddesi uyarınca veri sorumluları, kişisel verilerin elde edilmesi sırasında ilgili kişileri aydınlatmakla yükümlüdür. Bu aydınlatma; veri sorumlusunun kimliği, kişisel verilerin hangi amaçla işlendiği, kimlere ve hangi amaçlarla aktarılabileceği, veri toplama yöntemi ve hukuki sebebi ile ilgili kişinin haklarını kapsar.
Kişisel veriler doğrudan ilgili kişiden elde edilmemişse, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ayrıca dikkate alınmalıdır. Tebliğ’e göre kişisel veriler ilgili kişiyle iletişim kurulması amacıyla kullanılacaksa, aydınlatma yükümlülüğü en geç ilk iletişim sırasında yerine getirilmelidir.
Bu nedenle üçüncü kişiden alınan bir telefon numarası veya e-posta adresiyle yapılan ilk temas, yalnızca ürün tanıtımı ya da kampanya mesajı olarak kurgulanmamalıdır. İlgili kişiye verisinin kim tarafından, hangi kaynaktan, hangi amaçla ve hangi hukuki sebebe dayanılarak işlendiği açık ve anlaşılır biçimde aktarılmalıdır.
Sessizlik açık rıza değildir
Kurum’un özellikle altını çizdiği konulardan biri de açık rızanın nasıl yorumlandığıdır. Uygulamada, kişinin aramayı hemen sonlandırmaması, kampanya hakkında bilgi almaya devam etmesi veya SMS’e ret cevabı vermemesi açık rıza gibi değerlendirilebiliyor.
Kurum bu yaklaşımın doğru olmadığını hatırlatıyor. Kanun’a göre açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanıdır. Bu nedenle susma, pasif kalma, görüşmeyi sürdürme veya ret hakkını kullanmama gibi davranışlar tek başına açık rıza olarak kabul edilemez.
Aydınlatma ile açık rıza da birbirinden ayrı süreçlerdir. İlgili kişinin bilgilendirilmesi ayrı bir yükümlülük, açık rızasının alınması ise ayrı bir hukuki dayanaktır. Bu iki adımın birbirine karıştırılmadan yürütülmesi gerekir.
İYS boyutu unutulmamalı
Reklam ve pazarlama iletişimlerinde mesele yalnızca KVKK ile sınırlı değildir. Telefon, SMS, e-posta veya benzeri yollarla ticari ileti gönderilmesi halinde ticari elektronik ileti mevzuatı ve İleti Yönetim Sistemi (“İYS”) süreçleri de ayrıca gündeme gelebilir.
Bu nedenle pazarlama faaliyetleri değerlendirilirken KVKK’daki kişisel veri işleme şartları ile ticari elektronik ileti mevzuatındaki izin ve ret mekanizmalarının birlikte ele alınması gerekir. KVKK bakımından yapılan bir değerlendirme, tek başına İYS ve ticari elektronik ileti mevzuatı bakımından uyumun sağlandığı anlamına gelmeyebilir.
Değerlendirme
Kurum’un duyurusu yeni bir kural getirmekten çok, uygulamada sık esnetilen bir noktayı yeniden hatırlatıyor: Bir iletişim bilgisinin elde edilmiş olması, o bilginin pazarlama amacıyla serbestçe kullanılabileceği anlamına gelmez.
Özellikle üçüncü kişilerden gelen verilerle yürütülen satış ve pazarlama süreçlerinde şirketlerin veri kaynağını, işleme amacını, hukuki sebebi, aydınlatma yöntemini ve gerekiyorsa açık rıza sürecini birlikte değerlendirmesi gerekir.
Bu yönüyle duyuru, CRM, çağrı merkezi, referans, lead toplama ve kampanya süreçlerini veri koruma perspektifiyle yeniden gözden geçirmek için yerinde bir hatırlatma niteliği taşıyor.
