Olayın Arka Planı: "Tavsiye Üzerine" Gelen Ceza
Kurula intikal eden şikâyet dilekçesine göre; veri sorumlusu sıfatına sahip bir finans şirketi, "marka elçiliği" programı kapsamında mevcut müşterilerine prim dağıtarak onların rehberlerindeki üçüncü kişilerin telefon numaralarını toplamıştır. Bu yöntemle telefonu alınan ilgili kişiye, herhangi bir aydınlatma yükümlülüğü yerine getirilmeden ve açık rızası alınmadan doğrudan pazarlama araması yapılmış ve kampanya SMS'leri gönderilmiştir.
Şirket savunmasında; ilgili kişinin "tasarruf finans sistemi hakkında bilgi almak istediği için" bir tanıdığı (marka elçisi) aracılığıyla numarasının sisteme eklendiğini, çağrı merkezi aramasında kişinin telefonu kapatmayarak kampanyayı dinlediğini ve soru sorarak "zımni rıza" (sessiz onay) verdiğini iddia etmiştir. Üstelik gönderilen SMS'in iptal linki barındırdığını ve kişinin dilediği an sistemden çıkabildiğini belirterek ceza iptali talep etmiştir.
| Şirketin İddiası (Savunma) | KVKK Kurulunun Değerlendirmesi |
|---|---|
| Müşteri telefonu kapatmadı, kampanya detaylarını sordu. Bu "Zımni Rıza"dır. | Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle veri işlenmeden ÖNCE verilen onaydır. Zımni rıza geçersizdir. |
| Numarayı biz bulmadık, marka elçisi olan bir tanıdığı referans olarak sisteme ekledi. | Kişisel veri doğrudan ilgili kişiden elde edilmemiştir. Veri sorumlusunun aydınlatma yapmadan numara işleme ve arama hakkı yoktur. |
| Gönderilen SMS'in sonuna "İPTAL" seçeneği koyduk. | İptal seçeneği sunmak, en baştaki "izinsiz veri işleme" ihlalini ortadan kaldırmaz. İhlal baştan gerçekleşmiştir. |
Aydınlatma Yükümlülüğünün Zamanlaması Hayatidir
Kurulun vurguladığı en hassas nokta şudur: Bir kişisel veri, kişinin kendi rızası dışında (bir başkasının referansıyla) sisteme giriyorsa, veri sorumlusu ilk iletişimi kurduğu anda (veya veriyi işlemeden hemen önce) aydınlatma yapmak zorundadır. Şirketin çağrı merkezi çalışanı, telefonu açtığında "Size aydınlatma metnimizi okuyacağım" demek yerine doğrudan kampanya satmaya başlarsa, veri ihlali o saniye gerçekleşmiş olur.
Pazarlama Departmanları İçin Kurumsal Önlemler
Milyon liralık idari para cezalarından ve şirket itibarının zedelenmesinden korunmak için (özellikle e-ticaret, gayrimenkul ve finans şirketleri) pazarlama stratejilerinde şu adımları zorunlu kural haline getirmelidir:
-
1. "Referans / Tavsiye" Uygulamalarını Gözden Geçirin
Müşterilerinize "Arkadaşını getir, prim kazan" kampanyaları yapıyorsanız; o arkadaşın numarasını sisteme kaydetmeden önce o kişinin "Açık Rızası"nın sistemde olup olmadığını teyit edecek SMS Onay mekanizmaları (Double Opt-in) kurmalısınız.
-
2. Çağrı Merkezi Senaryolarını (Script) Güncelleyin
Outbound (dış arama) ekipleriniz, telefonu açan potansiyel müşteriye kampanyayı satmaya başlamadan saniyeler önce; verisini nereden bulduğunu ve konuşmanın kayıt altına alındığını belirten standart bir Aydınlatma Metni (KVKK Girişi) okumakla yükümlüdür.
-
3. Zımni Rızaya Güvenmeyin (Açık Rıza Alın)
Karşı tarafın telefonu yüzünüze kapatmaması, sizinle sohbet etmesi veya "Bana bir SMS atın, inceleyeyim" demesi sizi hukuken korumaz. Hukuka uygun açık rıza; sadece konu üzerinde değil, kişinin rızasının sonuçları üzerinde tam bir bilgi sahibi olmasını gerektirir.
İdari Tedbirlerin Alınmaması ve 12. Madde İhlali
KVKK Kurulu, şirketlerin sadece teknik şifreleme veya firewall kurmasını yeterli bulmaz. Kanun'un 12/1-a maddesi, veri sorumlusuna "kişisel verilerin hukuka aykırı olarak işlenmesini önlemek" için idari tedbirler alma zorunluluğu getirir. Pazarlama personelinize düzenli KVKK eğitimi vermemek, satış hedefleri uğruna izinsiz arama yapılmasına göz yummak, idari tedbir eksikliği sayılır ve doğrudan 1 Milyon TL'lik cezanın kapısını aralar.