Giriş
Kişisel Verileri Koruma Kurumu (KVKK), yayımladığı "Üçüncü Kişilerden Elde Edilen Kişisel Verilerin Reklam ve Pazarlama Amaçlı Kullanılmasına İlişkin Kamuoyu Duyurusu" ile iş dünyasında ve özellikle çağrı merkezleri bünyesinde sıklıkla uygulanan hatalı bir veri işleme pratiğine doğrudan müdahale etmiştir.
Kurum’a ulaşan yoğun ihbar ve şikâyetler doğrultusunda yapılan incelemelerde; "referans", "tavsiye", "marka elçiliği", "tanıdık yönlendirmesi" veya "müşteri önerisi" gibi yöntemlerle üçüncü kişilerden temin edilen iletişim bilgilerinin (telefon numarası, e-posta vb.), ilgili kişilere aydınlatma yapılmaksızın ve açık rızaları alınmaksızın pazarlama amaçlı arama ve SMS gönderimlerinde kullanıldığı tespit edilmiştir.
Yayımlanan duyuru, bu tür uygulamaların hukuka aykırılıklarını ve veri sorumlularının katı yaptırımlarla karşılaşmamak adına uyması gereken temel ilkeleri netleştirmektedir.
1. Verinin Üçüncü Kişiden Alınmış Olması "Hukuki Sebep" Oluşturmaz
Hukuki doktrin ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca, veri sorumlularının kişisel verileri üçüncü kişilerden elde etmiş olması, söz konusu veriyi reklam ve pazarlama amacıyla işlemek için tek başına geçerli bir hukuki dayanak sunmaz.
Kanun'un 5'inci maddesi uyarınca kişisel veriler kural olarak ilgili kişinin açık rızası olmaksızın işlenemez. Bununla birlikte Kanun'da sayılan diğer kişisel veri işleme şartlarının bulunması hâlinde açık rıza aranmaksızın da veri işlenmesi mümkündür. Reklam ve pazarlama faaliyetlerinde uygulanacak hukuki işleme şartının ise her somut olay özelinde ayrıca değerlendirilmesi gerekmektedir.
2. Dolaylı Veri Elde Etmede Aydınlatma Yükümlülüğünün Zamanlaması
Kişisel verilerin doğrudan ilgili kişiden temin edilmediği senaryolarda uygulanacak usul ve esaslar, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ kapsamındadır. Duyuruda Kurum, veri sorumlularının aydınlatma yükümlülüğünü yerine getirirken uymak zorunda olduğu zaman aralıklarını yeniden hatırlatmıştır. Buna göre veri sorumlusu;
- Kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde,
- Veriler ilgili kişiyle iletişim kurulması amacıyla kullanılacaksa ilk iletişim anında,
- Veriler üçüncü kişilere aktarılacaksa en geç ilk aktarım esnasında
ilgili kişiyi eksiksiz bir şekilde aydınlatmakla yükümlüdür. Çağrı merkezlerince yapılan pazarlama aramalarında ilgili kişinin aydınlatılmaması veya bir aydınlatma metnine yönlendirilmemesi, Kanun’un 10’uncu maddesinin açık bir ihlalidir.
3. Zımni Rıza Hukuken Geçersizdir: "Aramayı Sonlandırmamak Rıza Sayılamaz"
Uygulamada veri sorumlularının en sık düştüğü yanılgı, ilgili kişinin aramayı dinlemeye devam etmesini, görüşmeyi hemen kapatmamasını, soru sormasını veya gelen SMS’e ret cevabı vermemesini bir "zımni (örtülü) açık rıza" olarak kabul etmeleridir.
KVKK, bu yaklaşımın açık rıza olarak kabul edilemeyeceğini vurgulamıştır. Kanun’un 3’üncü maddesi uyarınca açık rıza;
1. Belirli bir konuya ilişkin olma,
2. Bilgilendirmeye dayanma,
3. Özgür iradeyle açıklanma
unsurlarını eş zamanlı taşımak zorundadır. Bu şartları sağlamayan pasif davranışlar, sessiz kalmalar veya eylemsizlikler hukuken geçerli bir açık rıza beyanı olarak değerlendirilemez.
4. Aydınlatma ile Açık Rıza Süreçlerinin Bağımsızlığı
Tebliğ’in 5’inci maddesi uyarınca aydınlatma yükümlülüğü ile açık rıza alma işlemleri hukuken birbirinden tamamen ayrı iki süreçtir. Veri sorumlusunun önce aydınlatma yükümlülüğünü yerine getirmesi (hangi verilerin ne amaçla işleneceğini açıkça aktarması), ardından açık rızayı ayrı ve bağımsız bir irade beyanı olarak talep etmesi gerekmektedir. İlgili kişi aydınlatılmadan alınan rıza hukuken geçerlilik şartlarını taşımamaktadır.
Sonuç ve Yaptırım Riski
Kişisel Verileri Koruma Kurulu, yayımladığı bu kamuoyu duyurusu ile pazarlama faaliyetlerinde tavsiye ve referans mekanizmalarını kullanan tüm veri sorumlularına ciddi bir uyarıda bulunmuştur.
İlgili kişilerin hak ihlallerine yol açan, aydınlatmasız ve rızasız yürütülen pazarlama faaliyetlerinin tespiti halinde, Kanun'da öngörülen yükümlülüklere aykırı hareket ettiği tespit edilen veri sorumluları hakkında 6698 sayılı Kanun'un 18'inci maddesi uyarınca idari yaptırım uygulanabileceği Kurul tarafından kamuoyuna duyurulmuştur. Veri sorumlularının acilen çağrı merkezi senaryolarını, pazarlama metinlerini ve referans sistemlerini bu ilkeler doğrultusunda revize etmeleri gerekmektedir.
Av. Beyza GÜLTEKİN
