Kişisel Verileri Koruma Kurumu (KVKK), üçüncü kişilerden elde edilen telefon numarası, e-posta adresi ve benzeri iletişim bilgilerinin reklam ve pazarlama faaliyetlerinde kullanılmasına ilişkin önemli bir kamuoyu duyurusu yayımladı. Kurum, ilgili kişilere gerekli bilgilendirme yapılmadan ve hukuki şartlar yerine getirilmeden gerçekleştirilen pazarlama faaliyetlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu’na aykırılık oluşturabileceğini vurguladı.

KVKK’ya son dönemde, farklı sektörlerde faaliyet gösteren şirketlerin mevcut müşterilerinden veya üçüncü kişilerden temin ettikleri iletişim bilgilerini reklam amacıyla kullandıklarına ilişkin çok sayıda ihbar ve şikâyet ulaştı. Başvurularda, telefon numarası ve e-posta adresi gibi kişisel verilerin referans, tavsiye, müşteri önerisi veya marka elçiliği gibi yöntemlerle elde edildiği, ardından kişilere önceden bilgilendirme yapılmaksızın arama ya da kısa mesaj yoluyla pazarlama faaliyetleri yürütüldüğü ifade edildi.

Kurumun yaptığı incelemelerde de benzer uygulamalara rastlandığı belirtilirken, kişisel verilerin üçüncü kişilerden elde edilmiş olmasının tek başına reklam ve pazarlama amacıyla işlenmesi için hukuki dayanak oluşturmadığının altı çizildi. Bu nedenle veri sorumlularının, kişisel verileri işlerken Kanun’da düzenlenen veri işleme şartlarına ve yükümlülüklere uygun hareket etmesi gerektiği belirtildi.

Aydınlatma yükümlülüğü hatırlatıldı

KVKK, kişisel verilerin doğrudan ilgili kişiden elde edilmediği durumlarda da veri sorumlularının aydınlatma yükümlülüğünün devam ettiğini hatırlattı. Buna göre veri sorumluları, kişisel verilerin elde edilmesinden sonra makul süre içinde, veriler iletişim amacıyla kullanılacaksa ilk temas sırasında, aktarım söz konusuysa ise en geç ilk aktarım anında ilgili kişiyi bilgilendirmekle yükümlü bulunuyor. Ancak uygulamada, çağrı merkezleri aracılığıyla yapılan pazarlama aramalarında kişilere gerekli aydınlatmanın yapılmadığı, ayrıca herhangi bir aydınlatma metnine de yönlendirilmedikleri tespit edildi.

Sessiz kalmak açık rıza anlamına gelmiyor

Kurum, bazı şirketlerin kişilerin görüşmeyi sürdürmesini, kampanya hakkında soru sormasını ya da gönderilen SMS’lere ret yanıtı vermemesini açık rıza olarak değerlendirdiğine dikkat çekti. Oysa Kanun’a göre açık rızanın; belirli bir konuya ilişkin, yeterli bilgilendirmeye dayanan ve kişinin özgür iradesiyle açıklanmış bir irade beyanı olması gerekiyor. Bu şartları taşımayan davranışların tek başına açık rıza olarak kabul edilmesi mümkün değil.

KVKK ayrıca, aydınlatma yükümlülüğü ile açık rıza alınmasının birbirinden bağımsız iki süreç olduğunu vurgulayarak, veri sorumlularının önce ilgili kişiyi eksiksiz şekilde bilgilendirmesi, açık rıza gerektiren durumlarda ise bunu ayrı bir irade beyanıyla alması gerektiğini hatırlattı.

İdari yaptırım uyarısı

Kurum, reklam ve pazarlama faaliyetlerinde kişisel veri işleme süreçlerinin Kanun ve ilgili mevzuata uygun yürütülmesi gerektiğini belirterek, yükümlülüklerini yerine getirmediği tespit edilen veri sorumluları hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18’inci maddesi kapsamında idari yaptırım uygulanabileceğini duyurdu.