Pazarlama Amaçlı Veri İşleme ve Ticari Elektronik İleti Göndermenin Şartları Nelerdir?

Pazarlama faaliyetleri bakımından iki farklı ama birbiriyle bağlantılı hukuki rejim söz konusudur:

1. KVKK açısından: Kişisel verilerin (ad, soyad, e-posta, telefon, alışveriş geçmişi gibi) pazarlama amacıyla işlenmesi, KVKK m. 5 kapsamında bir işleme şartına dayanmalıdır. Çoğu zaman bu şart açık rızadır; zira pazarlama amaçlı profilleme veya hedefli reklam, kanundaki diğer istisnai işleme şartlarına kolayca uymaz.
2. Elektronik ticaret mevzuatı açısından: 6563 sayılı Kanun, alıcının önceden onayı olmaksızın ticari elektronik ileti (e-posta, SMS, anlık mesaj vb.) gönderilmesini yasaklar. Bu onay, kişisel veri işleme rızasından ayrı ve bağımsız bir izindir.

Bu iki rejim aynı formda, birbirinden bağımsız olarak ve açıkça ayrıştırılarak alınmalıdır. Tek bir onay kutucuğu ile hem veri işleme rızasının hem de ileti izninin alınmaya çalışılması, ilgili kişinin hangi konuya rıza gösterdiğinin belirsizleşmesine yol açar.

KVKK anlamında geçerli bir açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış olmalıdır. Pazarlama amaçlı veri işleme bakımından bu şu anlama gelir:

• ilgili kişiye hangi verilerinin, hangi amaçla (örneğin kişiselleştirilmiş reklam, kampanya bilgilendirmesi, profil oluşturma) işleneceği açıkça anlatılmalı,
• rıza, önceden işaretli bir kutucukla değil, kişinin kendi aktif eylemiyle (kutucuğu işaretlemesiyle) verilmeli,
• diğer sözleşmesel onaylarla (üyelik sözleşmesi, kullanım koşulları gibi) birlikte, ayrıştırılmadan sunulmamalı,
• rızanın geri alınması en az rıza vermek kadar kolay olmalı.

Bir sipariş formunun tamamlanabilmesinin, pazarlama amaçlı veri işlemeye rıza verilmesi şartına bağlanması, rızanın özgür iradeyle verilmediği yönünde ciddi bir risk oluşturur; çünkü temel hizmetin ifası pazarlama rızasına bağlanmış olmaktadır.

6563 sayılı Kanun m. 6 uyarınca ticari elektronik ileti, alıcıların önceden onayı alınmadan gönderilemez. Onay; yazılı olarak veya her türlü elektronik iletişim aracıyla, kişinin kendi iradesiyle ve olumlu hareketiyle alınmalıdır.

Onayın kapsamı da önemlidir: Bir müşteri, yalnız e-posta yoluyla iletişim için onay vermişse, aynı onayın SMS veya telefon araması için de geçerli sayılması doğru olmayabilir. Bu nedenle onay formunda hangi iletişim kanallarının (e-posta, SMS, arama, anlık mesaj) kullanılacağının ayrı ayrı belirtilmesi önerilir.

Onay Aranmayan Hâller

Kanun, belirli koşullarda önceden onay aranmaksızın ticari elektronik ileti gönderilmesine izin vermektedir; örneğin mevcut bir müşteri ilişkisi çerçevesinde temin edilen iletişim bilgileriyle, kendi mal ve hizmetlerine ilişkin değişiklik, kullanım ve bakım bildirimi niteliğindeki iletiler bu kapsamda değerlendirilebilir. Bu istisnaların kapsamı dar yorumlanır ve her ileti içeriğinin somut olarak değerlendirilmesi gerekir.

6563 sayılı Kanun m. 8 uyarınca gönderilen ticari elektronik iletide, gönderenin tanınmasını sağlayan bilgiler ile birlikte, alıcının hizmeti reddetme (ret) hakkını kolayca kullanabilmesini sağlayan bilgi ve araçlara yer verilmesi gerekir. Uygulamada bu, e-postalarda "abonelikten çık" bağlantısı veya SMS'lerde belirli bir kısa koda mesaj gönderilerek ret hakkının kullanılabilmesi biçiminde karşımıza çıkar.

Alıcı, istediği zaman hiçbir gerekçe göstermeksizin ticari elektronik ileti almayı reddedebilir. Ret talebi ulaştıktan sonra makul bir süre içinde uygulamaya geçirilmelidir. Ret bildirimini görmezden gelerek ileti göndermeye devam etmek, hem KVKK açısından açık rızanın geri alınmasına rağmen veri işlemeye devam etmek hem de ticari elektronik ileti mevzuatı açısından ayrı bir ihlal oluşturur.

Ticari elektronik ileti onaylarının ve ret taleplerinin merkezi olarak takip edilebilmesi amacıyla oluşturulan izin kayıt sistemi (İYS), hizmet sağlayıcıların onay ve ret bilgilerini bu sisteme kaydetmesini öngörür. Belirli hacmin üzerinde ticari elektronik ileti gönderen işletmelerin bu sisteme kayıt ve entegrasyon yükümlülüğü söz konusu olabilir; somut yükümlülüğün kapsamı, ilgili düzenlemeler çerçevesinde ayrıca değerlendirilmelidir.

Onayı olmadan ticari elektronik ileti alan veya rızası olmadan pazarlama amaçlı verisi işlenen kişi, iki ayrı başvuru yolunu birlikte veya ayrı ayrı kullanabilir:

• KVKK açısından: Veri sorumlusuna KVKK m. 11 kapsamında başvuru yapabilir, ardından Kurul'a şikâyette bulunabilir.
• Elektronik ticaret mevzuatı açısından: İlgili idari makamlara şikâyette bulunarak idari para cezası uygulanmasını talep edebilir.

Aynı fiil, hem KVKK hem de elektronik ticaret mevzuatı bakımından ayrı ayrı yaptırım konusu olabilir; bu iki rejim birbirini dışlamaz.

Kullanıcıların site içi davranışlarının (tıklama, gezinme, satın alma geçmişi) izlenerek profil oluşturulması ve buna göre kişiselleştirilmiş reklam sunulması, pazarlama amaçlı veri işlemenin en yaygın biçimlerinden biridir. Bu tür profilleme faaliyetlerinde çerez (cookie) kullanımı da ayrı bir izin rejimine tabi olabilir; zorunlu olmayan çerezler için kullanıcıdan ayrıca onay alınması ve çerez tercihlerinin kolayca değiştirilebilir olması önerilir. Profilleme sonucunda kişi hakkında hassas çıkarımlar yapılması (örneğin sağlık durumuna ilişkin tahminler) hâlinde, işlemenin özel nitelikli veri rejimine girip girmediği ayrıca değerlendirilmelidir.

Bir işletmenin topladığı müşteri verilerini pazarlama amacıyla üçüncü bir şirketle (iş ortağı, reklam ağı gibi) paylaşması, ayrı ve açık bir rıza gerektirir. Yalnız kendi pazarlama faaliyetleri için rıza alınmışken bu rızanın üçüncü kişilerle veri paylaşımını da kapsadığının varsayılması, KVKK'ya aykırılık oluşturur. Aydınlatma metninde verinin aktarılabileceği alıcı grupları açıkça belirtilmelidir.

• KVKK rızası ile ticari elektronik ileti iznini tek bir onay kutucuğunda birleştirmek,
• önceden işaretlenmiş onay kutucukları kullanmak,
• temel hizmetin sunumunu pazarlama rızasına bağlamak,
• ret talebini aldıktan sonra makul süre içinde uygulamaya geçirmemek,
• farklı iletişim kanalları için ayrı onay almadan tüm kanallardan ileti göndermek,
• istisna kapsamına girdiği düşünülen iletilerin içeriğinin aslında doğrudan pazarlama niteliğinde olduğunu gözden kaçırmak.

Pazarlama faaliyetleri, hem kişisel verilerin korunması hem de elektronik ticaret mevzuatının kesiştiği bir alandır. İki ayrı rejimin gerektirdiği izinlerin birbirine karıştırılması, işletmelerin hem KVKK hem de elektronik ticaret mevzuatı bakımından eş zamanlı risk altına girmesine yol açabilir. Onay formlarının, ret mekanizmalarının ve iletişim kanallarına özgü izinlerin ayrı ayrı ve açık biçimde kurgulanması, uzun vadede hem müşteri güvenini hem de hukuki uyumu güçlendirir.

Pazarlama ve reklam süreçlerinizde kullanılan onay formlarının ve ticari elektronik ileti uygulamalarınızın mevzuata uygunluğunun değerlendirilmesi için Günser + Partners ile iletişime geçebilirsiniz.