Kişisel Verileri Koruma Kurumu’nun 21 Temmuz 2026 tarihli kamuoyu duyurusu, pazarlama dünyasında yerleşik bir alışkanlığı doğrudan hedef alıyor: referans, tavsiye veya marka elçiliği programları üzerinden toplanan iletişim bilgilerinin, sahibine tek kelime sorulmadan pazarlama listesine eklenmesi. Çağrı merkezi üzerinden satış yapan veya “arkadaşını getir” tarzı kampanya yürüten her şirketin bu duyuruyu bu hafta gündemine alması gerekiyor.
Kurum ne diyor?
Kuruma gelen şikayetlerde ortak tablo şu: şirketler, mevcut müşterilerinden veya üçüncü kişilerden temin ettikleri telefon numarası ve e-posta adreslerini, ilgili kişilere aydınlatma yapmadan ve açık rızalarını almadan, sesli arama veya SMS yoluyla pazarlama için kullanıyor. Kurul çizgiyi net çekiyor: verinin üçüncü kişiden elde edilmiş olması, o veriyi reklam veya pazarlama amacıyla işlemek için tek başına hukuki dayanak oluşturmaz.
Bununla birlikte Kurul, işleme şartının her somut olay özelinde ayrıca değerlendirilmesi gerektiğini de hatırlatıyor; 6698 sayılı Kanun’un 5’inci maddesi, açık rıza dışında da işleme sebepleri öngörüyor. Yani doğru soru “rıza aldık mı” değil; “bu kampanya için hangi hukuki sebebe dayanıyoruz ve bunu yazılı olarak gösterebiliyor muyuz” sorusudur.
Duyurunun asıl kırılması: sessizlik rıza değil
Duyurunun en önemli tarafı, zımni rıza yaklaşımını açıkça reddetmesi. Kurul’a göre ilgili kişinin tanıtımı dinlemeye devam etmesi, görüşmeyi sonlandırmaması, soru sorması veya SMS’e ret cevabı vermemesi geçerli bir açık rıza değildir. Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış bir irade beyanı olmak zorundadır. Pasiflik bu tanımı karşılamıyor.
Bunun pratik anlamı şu: çağrı merkezi operasyonlarında yıllardır savunma hattı olarak kullanılan “itiraz etmedi, demek ki kabul etti” mantığı artık savunulabilir değil.
Uygulamada yapılması gerekenler
- Hukuki dayanağı kampanya bazında değerlendirin ve yazın. İşleme şartını otomatik olarak açık rızaya indirgemeyin; her kampanya için Kanun’un 5’inci maddesindeki sebeplerden hangisine dayandığınızı ayrıca değerlendirin. Bu değerlendirmenin yazılı kaydı, olası bir incelemede ilk savunma hattınızdır.
- Veri kaynağını belgeleyin. Pazarlama listesindeki her iletişim bilgisi için verinin hangi kaynaktan geldiğini (referans programı, tavsiye formu, marka elçiliği vb.) kayıt altına alın. Verinin elinizde olması, işleyebileceğiniz anlamına gelmez.
- Aydınlatmayı zamanında ve tam yapın. Veri doğrudan ilgili kişiden elde edilmediyse, Aydınlatma Tebliği’nin 6’ncı maddesi uyarınca aydınlatma; elde etmeden itibaren makul süre içinde, iletişim kurulacaksa ilk iletişimde, aktarım olacaksa en geç ilk aktarım anında yapılmalıdır. İçerikte veri sorumlusunun kimliği, işleme amacı, aktarım alıcıları ve amaçları, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları yer almalıdır. Sahada en sık atlanan adım tam olarak bu: aramalar aydınlatma yerine doğrudan tanıtımla başlıyor.
- Pasif davranışı CRM’de “rıza” olarak işaretlemeyin. Çağrı senaryolarını ve CRM kayıt alanlarını, dinlemeye devam etme veya ret vermeme gibi davranışları rıza saymayacak biçimde güncelleyin. Açık rıza yalnızca ayrı ve olumlu bir beyanla kaydedilmelidir.
- Aydınlatma ile açık rızayı ayrı süreçler olarak kurgulayın. Tebliğ’in 5’inci maddesi uyarınca bu iki yükümlülük bağımsızdır: önce aydınlatma, gerekli hallerde ayrı bir irade beyanıyla açık rıza. Kurul’un Şubat 2026 tarihli ilke kararı da aynı ayrımı zorunlu kılmıştı; duyuru bu çizgiyi pazarlama özelinde tekrarlıyor.
- Ret kanallarını düzenli test edin. SMS ile “RET” yazma veya arama sırasında sözlü talep gibi kanalların fiilen çalıştığını ve taleplerin derhal işleme alındığını periyodik olarak doğrulayın.
İnceleme gelirse ilk istenecek üç belge
Bu tür şikayetlerde Kurul’un tipik olarak ilk talep ettiği belgeler: verinin kaynağını gösteren kayıt, aydınlatmanın hangi anda yapıldığına dair kanıt ve açık rızanın ayrı bir beyanla mı yoksa pasif davranışla mı elde edildiğini gösteren kayıt. Bu üçünden biri eksikse, teknik altyapı ne kadar sağlam olursa olsun savunma zayıf kalır. Çağrı merkezi personeline yazılı prosedür ve düzenli eğitim, erişilebilir aydınlatma metinleri ve tarih, saat, kanal ve beyan içeriğini gösteren rıza kayıtları bu yüzden kritik.
Yaptırım riski
Duyuru esasen yeni bir yükümlülük getirmiyor; Kanun’un 5 ve 10’uncu maddeleri ile Aydınlatma Tebliği’nde zaten var olan kuralların referans pazarlaması özelinde nasıl uygulanacağını netleştiriyor. Ancak Kurul’un zımni rızayı bu kadar açık reddetmesi, bu alandaki şikayetlerde daha katı bir değerlendirme döneminin işareti. Aykırılık halinde Kanun’un 18’inci maddesi kapsamında 2026 yılı için 17.092.242 TL’ye kadar idari para cezası gündemde.
Vircon Legal ne yapabilir?
Mevcut referans ve tavsiye kampanyalarınızın, çağrı merkezi senaryolarınızın ve CRM rıza kayıtlarınızın bu duyuru karşısında hızlı bir sağlık taramasından geçirilmesi ve uyum adımlarının yönetilmesi için ekibimizle görüşün. KVKK pratiğimizden ilgili diğer içerikler: Site ve Apartman Yönetimleri için KVKK Uyumu ve KVKK’nın Etken Yapay Zekâ Rehberi.
Yazar
Bu konu masanızdaysa
Kurucu Akademisi'nde şablonlar ve kontrol listeleri ücretsiz; spesifik bir durum için 30 dakikalık ön görüşme planlayabilirsiniz.
Kurucu AkademisiGörüşme planlayın