Üçüncü Kişilerden Elde Edilen Kişisel Verilerin Reklam ve Pazarlama Amaçlı Kullanılmasına İlişkin Kamuoyu Duyurusu
Kurumumuza, çeşitli sektörlerde faaliyet gösteren veri sorumlularının mevcut müşterilerinden veya üçüncü kişilerden temin ettikleri iletişim bilgilerini reklam ve pazarlama amacıyla kullandıklarına ilişkin çok sayıda ihbar ve şikâyet ulaşmıştır. Şikayetlerde, ilgili kişilere ait telefon numarası, elektronik posta adresi ve benzeri iletişim bilgilerinin; referans, tavsiye, marka elçiliği, tanıdık yönlendirmesi veya müşteri önerisi gibi yöntemlerle üçüncü kişilerden elde edildiği belirtilerek ilgili kişilere aydınlatma yapılmadan ve açık rızaları alınmadan sesli arama veya kısa mesaj (SMS) yoluyla pazarlama faaliyetinde bulunulduğu belirtilmektedir.
Kişisel Verileri Koruma Kurulu tarafından yapılan incelemelerde de, kişisel verilerin üçüncü kişilerden elde edilerek reklam ve pazarlama faaliyetlerinde kullanıldığı görülmüştür. Ancak kişisel verilerin üçüncü kişilerden elde edilmiş olması, veri sorumlularına bu verileri reklam ve pazarlama amacıyla işleme konusunda doğrudan bir hukuki dayanak sağlamamaktadır. Bu nedenle, söz konusu faaliyetlerin 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda (Kanun düzenlenen kişisel veri işleme şartlarına ve veri sorumlularının yükümlülüklerine uygun şekilde yürütülmesi gerekmektedir.
Bu doğrultuda, üçüncü kişilerden elde edilen iletişim bilgilerinin reklam ve pazarlama amacıyla kullanılması sırasında veri sorumlularının yükümlülüklerine ilişkin farkındalığın artırılması ve hak ihlallerinin önlenmesi amacıyla kamuoyunun bilgilendirilmesine ihtiyaç duyulmuştur.
6698 sayılı Kanun’un amacı, kişisel verilerin işlenmesinde kişilerin temel hak ve özgürlüklerini, özellikle de özel hayatın gizliliğini korumak ve kişisel veri işleyen gerçek ve tüzel kişilerin uyması gereken usul ve esasları düzenlemektir.
Kanun uyarınca kişisel veriler, kural olarak ilgili kişinin açık rızası olmaksızın işlenememektir ancak Kanun’un 5’inci maddesinde sayılan hukuki işleme şartlarından birinin bulunması halinde ilgili kişinin açık rızası aranmaksızın da kişisel veri işlenmesi mümkündür. Bu açıdan reklam ve pazarlama faaliyetleri bakımından kişisel veri işleme şartının her somut olay özelinde ayrıca değerlendirilmesi gerektiği unutulmamalıdır.
Öte yandan, Kanun’un 10’uncu maddesi uyarınca veri sorumluları, kişisel verilerin elde edilmesi sırasında ilgili kişileri; veri sorumlusunun kimliği, kişisel verilerin işlenme amacı, işlenen kişisel verilerin aktarılabileceği kişiler ve amaçlar, kişisel veri toplamanın yöntemi ve hukuki sebebi ile ilgili kişinin Kanun kapsamındaki hakları hakkında bilgilendirmekle yükümlüdür.
Kişisel verilerin doğrudan ilgili kişiden elde edilmediği durumlarda uygulanacak usul ve esaslar, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’de (Tebliğ) düzenlenmiştir. Buna göre; fiili imkânsızlık veya ilgili kişiye ulaşılamaması nedeniyle kişisel veriler doğrudan ilgili kişiden elde edilemiyorsa, veri sorumluları;
- Kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde,
- Kişisel veriler ilgili kişiyle iletişim kurulması amacıyla kullanılacaksa ilk iletişim sırasında,
- Kişisel veriler aktarılacaksa en geç ilk aktarım esnasında
ilgili kişiyi aydınlatmakla yükümlüdür.
Buna rağmen uygulamada, üçüncü kişilerden temin edilen iletişim bilgileri kullanılarak çağrı merkezleri aracılığıyla doğrudan pazarlama aramaları yapıldığı; bu aramalarda ilgili kişilere Kanun kapsamında gerekli aydınlatmanın yapılmadığı ve kişilerin herhangi bir aydınlatma metnine de yönlendirilmediği görülmektedir.
Kurumumuza yansıyan uygulamalarda, ilgili kişilerin tanıtımlar hakkında bilgi almaya devam etmesi, görüşmeyi hemen sonlandırmaması, veri sorumlusunun faaliyetlerine ilişkin soru sorması veya SMS yoluyla ret bildiriminde bulunmaması gibi davranışların zaman zaman veri sorumluları tarafından açık rıza olarak değerlendirildiği anlaşılmaktadır. Ancak Kanun’a göre “açık rıza”, belirli bir konuya ilişkin, bilgilendirmeye dayanana ve özgür iradeyle açıklanan bir irade beyanıdır. Bu kapsamda belirtilen unsurları taşımayan zımni davranışlar tek başına geçerli bir açık rıza olarak kabul edilememektedir.
İlgili kişinin hangi kişisel verilerinin işleneceği ve bunun sonuçları hakkında yeterli bilgi sahibi olabilmesi için, bilgilendirmenin açık, anlaşılır ve tereddüde yer vermeyecek şekilde yapılması gerekmektedir. Bu bilgilendirme tamamlandıktan sonra, açık rızaya dayanan kişisel veri işleme faaliyetlerinde ilgili kişinin açık rızasının ayrıca alınması zorunludur. Nitekim Tebliğ’in 5’inci maddesinde, açık rızaya dayalı kişisel veri işleme faaliyetlerinde aydınlatma yükümlülüğünün yerine getirilmesi ile açık rıza alınmasının birbirinden ayrı işlemler olduğu açıkça düzenlenmiştir. Dolayısıyla veri sorumluları, öncelikle aydınlatma yükümlülüğünü yerine getirmeli, ardından gerekli hallerde ilgili kişinin açık rızasını ayrı bir irade açıklamasıyla almalıdır.
Bu çerçevede söz konusu uygulamalar nedeniyle ortaya çıkabilecek hak ihlallerinin önüne geçilebilmesi ve kişisel veri işleme faaliyetlerinin hukuka uygun yürütülebilmesi için;
- Kişisel verilerin doğrudan ilgili kişiden temin edilemediği durumlarda, Tebliğ’in 6’ncı maddesi uyarınca aydınlatma yükümlülüğünün süresinde ve usulüne uygun şekilde yerine getirilmesi,
- İlgili kişilerin kişisel verilerinin işlenme süreçleri hakkında açık, anlaşılır ve eksiksiz biçimde bilgilendirilmesi,
- Açık rızaya dayalı kişisel veri işleme faaliyetlerinde; açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış olması,
- İlgili kişilerin kampanyayı dinlemeye devam etmesi, görüşmeyi sonlandırmaması, bilgi almak istemesi veya SMS’e ret cevabı vermemesi gibi davranışlarının tek başına geçerli bir açık rıza olarak değerlendirilmemesi,
- Tebliğ hükümleri doğrultusunda, aydınlatma yükümlülüğü ile açık rıza alma süreçlerinin birbirinden bağımsız şekilde yürütülmesi,
- Reklam ve pazarlama faaliyetleri kapsamında gerçekleştirilen tüm kişisel veri işleme süreçlerinde, Kanun ile ilgili mevzuat hükümlerine uygun hareket edilmesi ve ilgili kişilerin temel hak ve özgürlüklerinin gözetilmesi
gerekmektedir.
Bu çerçevede, Kanun’da öngörülen yükümlülüklere aykırı hareket ettiği tespit edilen veri sorumluları hakkında 6698 sayılı Kanun’un 18’inci maddesi kapsamında idari yaptırım uygulanabileceği hususu kamuoyuna saygıyla duyurulur.