Üçüncü Kişilerden Elde Edilen Kişisel Verilerin Reklam ve Pazarlama Amaçlı Kullanılması: KVKK'nin 21.07.2026 Tarihli Duyurusu Işığında Bir Değerlendirme

Özet

21.07.2026 tarihli Kamuoyu Duyurusu ile Kişisel Verileri Koruma Kurumu, üçüncü kişiler vasıtasıyla (referans ve tavsiye kampanyaları, marka elçiliği programları, satın alınan veya kiralanan iletişim listeleri gibi yöntemlerle) elde edilen kişisel verilerin reklam ve pazarlama amacıyla kullanılmasında uygulamada sıklıkla ihlal edilen hususları ortaya koymuştur. İşbu çalışmada, Duyuru'nun içeriği Kişisel Verileri Koruma Kurulunun 10.06.2026 tarihli ve 2026/1183 sayılı kararı üzerinden somutlaştırılmakta ve kişisel verinin üçüncü kişiden elde edilmiş olmasının aydınlatma ve açık rıza alma yükümlülüğünü ortadan kaldırmadığı, ticari elektronik ileti mevzuatı ile birlikte irdelenmektedir. Ayrıca açık rızanın ve aydınlatma yükümlülüğünün doğru zamanlaması meselesine değinilmekte, konuya ilişkin Avrupa Birliği Adalet Divanı, CNIL ve ICO kararları üzerinden karşılaştırmalı hukuktaki yaklaşım aktarılmakta ve son olarak veri sorumluları bakımından hukuka uygun bir süreç yürütülebilmesi adına izlenmesi gereken aşamalar ortaya konulmaktadır.

Anahtar Kelimeler

Kişisel verilerin korunması, açık rıza, ticari elektronik ileti, üçüncü kişiden elde edilen veri, reklam ve pazarlama.

1. Giriş

Veri sorumlusu şirketlerin, iletişim bilgilerini doğrudan ilgili kişiden değil üçüncü kişiler vasıtasıyla (referans gösterme, tavsiye kampanyaları, marka elçiliği programları, satın alınan ya da kiralanan iletişim listeleri gibi yöntemlerle) temin ederek reklam ve pazarlama faaliyetlerinde kullanması, günümüz ticari uygulamasında sıkça başvurulan; buna karşın hukuki risklerinin çoğu zaman gözden kaçırıldığı bir yöntemdir. Kişisel Verileri Koruma Kurumunun ("Kurum") 21.07.2026 tarihinde yayımladığı "Üçüncü Kişilerden Elde Edilen Kişisel Verilerin Reklam ve Pazarlama Amaçlı Kullanılmasına İlişkin Kamuoyu Duyurusu" ("Duyuru") ile Kurum, mezkûr uygulamanın 6698 sayılı Kişisel Verilerin Korunması Kanunu ("Kanun") karşısındaki konumunu, veri sorumlularınca dikkat edilmesi gereken hususları ve uygulamada sıklıkla ihlal edilen kuralları ortaya koymuştur.¹  

İşbu çalışmada, Duyuru'nun içeriği Kişisel Verileri Koruma Kurulunun ("Kurul") yakın tarihli bir kararı üzerinden somutlaştırılacak; açık rızanın zamanlaması meselesi ticari elektronik ileti mevzuatı ile birlikte irdelenecek; nihayetinde konuya ilişkin karşılaştırmalı hukuk örneklerine yer verilecektir.

2. Duyurunun İçeriği 

Duyuru'nun asli tespiti, bir kişisel verinin üçüncü bir kişi vasıtasıyla elde edilmiş olmasının, o verinin reklam ve pazarlama amacıyla işlenmesi bakımından tek başına yeterli bir hukuki dayanak teşkil etmediği yönündedir. Nitekim Kanun'un 5. maddesi uyarınca kişisel veriler, kural olarak ilgili kişinin açık rızası bulunmaksızın işlenemez; Kanun’un 5. maddesinin 2. fıkrasında sayılan istisnai hallerden biri mevcut olduğu takdirde ise açık rıza aranmaksızın, öncelikle bu istisnai hukuki sebeplere dayanılarak kişisel veriler işlenebilecektir.

Kanun’un 5. maddesinin 2. fıkrasında yer verilen istisnai haller bilindiği üzere; “(i) kanunlarda açıkça öngörülmesi, (ii) fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, (iii) bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, (iv) veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, (v) ilgili kişinin kendisi tarafından alenileştirilmiş olması, (vi) bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ve (vii) ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması”dır.

Kişisel verinin doğrudan ilgili kişiden değil üçüncü bir kişiden temin edilmiş olması, bu kuralı değiştirmemekte; diğer bir ifadeyle kişisel veri kaynağının kim veya ne olduğu, veri sorumlusunu Kanun'un 5. maddesindeki yükümlülükten muaf tutmamaktadır. 

Duyuru ayrıca, ilgili kişinin pasif nitelikteki davranışlarının (örneğin görüşmeyi sonlandırmaması, kampanyayı dinlemeye devam etmesi veya kendisine gönderilen ticari elektronik iletiye ret cevabı vermemesi) açık rıza olarak değerlendirilemeyeceğine işaret etmektedir. Gerçekten de Kanun’un 3. maddesine göre açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan irade beyanıdır. Dolayısıyla aktif bir davranış (bir irade beyanı) olmaksızın pasif bir davranışın açık rıza olarak varsayılması Kanun’a uygun olmayacaktır.

Esasında Kurumun bu Duyuru’yu yayımlamasının arkasında, 10.08.2026 tarihinde paylaşılan Kurul kararlarından Kurul'un 10.06.2026 tarihli ve 2026/1183 sayılı kararı olduğunu düşünüyoruz. Zira, aşağıdaki bölümlerde daha detaylı şekilde ele alınacağı üzere, söz konusu karara konu olayda veri sorumlusu bir şirket, mevcut müşterilerine aracılık ettirmek suretiyle üçüncü kişilere ait telefon numaralarını temin etmiş, veriyi ileten müşteriye prim ödemesi yapmış ve elde edilen numaralara SMS ile arama yoluyla doğrudan pazarlama faaliyeti yürütmüştür. Son dönemlerde “marka elçiliği” adı verilen yöntemle veri sorumlusu şirketler, “elçileri” vasıtasıyla pazarlama faaliyetlerini yürüterek çokça kişisel veri bu şekilde üçüncü kişilerden temin etmektedir. 

3. Ticari Elektronik İleti Mevzuatı

Duyuru’nun yalnızca Kanun kapsamında değil ticari elektronik ilet mevzuatı açısından da ele alınarak değerlendirilmesi gerektiğini düşünüyoruz. Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik’te (“Yönetmelik”) telefon, çağrı merkezleri, faks, otomatik arama makineleri, akıllı ses kaydedici sistemler, elektronik posta, kısa mesaj hizmeti gibi vasıtalar kullanılarak elektronik ortamda gerçekleştirilen ve ticari amaçlarla gönderilen veri, ses ve görüntü içerikli iletiler “ticari elektronik ileti” olarak tanımlanmıştır. Yönetmelik’teki “alıcı”yı Kanun’daki “ilgili kişi” ile eşdeğer düşünmek mümkündür. 

Yönetmelik’e göre “hizmet sağlayıcının, mal ve hizmetlerini tanıtmak, pazarlamak, işletmesini tanıtmak ya da kutlama ve temenni gibi içeriklerle tanınırlığını artırmak amacıyla alıcıların elektronik iletişim adreslerine gönderdiği ticari elektronik iletiler için kendisi tarafından ya da İYS üzerinden önceden onay alınması” gerekmektedir. Yönetmelik’te sayılan bazı istisnai haller dışında alıcılardan (Kanun anlamında: ilgili kişilerden) onay alınmaksızın ticari ileti gönderimi hukuka aykırıdır. Yönetmelik’teki “onay” kavramının Kanun’daki izdüşümü ise “açık rıza”dır.

Dolayısıyla bir ilgili kişiye (yani Yönetmelik anlamında bir alıcıya) ticari elektronik ileti gönderilmesinin tek şartı, ilgili kişinin/ alıcının onayının yani açık rızasının bulunmasıdır. 

Açık rıza (yani alıcının ticari elektronik ilet onayı) olmaksızın kendisine ileti gönderilmesi ise hem Yönetmelik’i (ve bu suretle dayanak kanun olan 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun’u) hem de 6698 sayılı Kişisel Verilerin Korunması Kanunu’nu ihlal edecektir.

Ancak Yönetmelik ek olarak şu kuralı da koymaktadır: Alıcının önceden verilmiş bir onayı bulunmuyorsa, söz konusu onayı talep etmek amacıyla dahi olsa kendisine ticari elektronik ileti gönderilemez.²  Diğer bir ifadeyle, "iletişime geçilmesi için önce izin talep edilmesi" biçimindeki bir mesaj dahi, önceden alınmış bir onay bulunmadığı sürece mevzuata aykırılık teşkil etmektedir. Şüphesiz ki buradaki “mevzuat” hem Yönetmelik (ve 6563 s. Kanun) hem de Kanun’u ifade etmektedir.

Bu kural, Kanun'un 5. maddesindeki açık rıza şartıyla birlikte değerlendirildiğinde, uygulanması gereken sıra netleşmektedir: önce aydınlatma yükümlülüğü yerine getirilir, bunu takiben aydınlatmadan bağımsız, ayrı bir irade beyanıyla açık rıza/ ticari elektronik ileti onayı alınır ve iletişim ancak bu aşamadan sonra başlatılabilir. Bu sıranın tersine çevrilmesi; yani iletişimin başlatılıp rızanın süreç içinde zımnen edinilmeye çalışılması, gerek Kanun gerekse Yönetmelik (ve 6563 s. Kanun) bakımından hukuka uygun kabul edilmemektedir.  

Bu noktada şikâyet edilen veri sorumlularının savunmaları genellikle “alıcıya ret hakkı tanınmış olması”, “İYS üzerinden ret imkanının bulunması” gibi noktalarda toplansa da Yönetmelik son derece açık bir şekilde onayın ileti gönderilmeden önce alınması gerektiğini ifade etmektedir.

4. Kişisel Verilerin Üçüncü Kişiden Elde Edilmesi Sorunu

Duyuru'nun bir diğer önemli tespiti, "kişisel verilerin üçüncü kişiden elde edilmesi" olgusuna ilişkindir. Kanaatimizce "üçüncü kişiden elde edilen kişisel veri" ifadesinin altında tek bir olgu değil, hukuki risk düzeyleri birbirinden farklı çok sayıda senaryo yatmaktadır. Bunlardan ilkini, ilgili kişinin bir tanıdığı, arkadaşı veya yakını eliyle iletilen iletişim bilgileri (referans/tavsiye kampanyaları, marka elçiliği programları) oluşturmakta; ikincisini kişisel veri simsarları ya da pazarlama şirketleri aracılığıyla satın alınan veya kiralanan iletişim listeleri teşkil etmektedir. Üçüncü bir grubu ise kamuya açık kaynaklardan (sosyal medya profilleri, ticaret sicili gazetesi, meslek odası üyelik listeleri, dernek/vakıf üyelikleri gibi) derlenen kişisel veriler oluşturmaktadır. 

Kişisel verinin veri sorumlusunun doğrudan kontrolü dışında bir kaynaktan ve çoğunlukla meşru görünen bir vesileyle (bir tavsiye, bir üyelik listesi, bir kamuya açık kayıt) elde edilmiş olması, o kişisel veriyi işlemeyi kendiliğinden hukuka uygun kılmamakta; oysa uygulamada sıklıkla bu yönde bir varsayıma rastlanmaktadır. Bu varsayımın Kanun'un sistematiğiyle bağdaşmadığı kanaatindeyiz; zira Kanun'un 5. maddesi, kişisel veri işleme şartını verinin elde edildiği kaynağa göre değil, işlemenin amacına ve niteliğine göre belirlemektedir. Dolayısıyla kişisel verinin kaynağı ne olursa olsun, reklam ve pazarlama amaçlı bir kişisel veri işleme faaliyeti bakımından Kanun'un 5. maddesinde öngörülen açık rızanın aranması gerekmektedir. 

Ayrıca kamuya açık kaynaklardan elde edilen kişisel veriler açısından da aynı yorum yapılabilir. Başka bir ifadeyle, bir kişisel verinin kamuya açık olması, yalnızca o kişisel veriye erişimin nispeten kolay olduğu anlamına gelmekte olup o kişisel verinin hangi amaçla işlenebileceği sorusuna doğrudan bir cevap içermemektedir. Nitekim ilgili kişinin, kişisel verilerini belirli bir bağlamda (örneğin meslek odası kaydı, dernek üyeliği) kamuya açık hale getirmiş olması, o kişisel verinin tamamen farklı bir bağlamda (örneğin ticari pazarlama iletişiminde) kullanılmasına peşinen 

ve varsayılan bir rıza gösterdiği şeklinde yorumlanamaz. Nitekim gerek kişisel verilerin korunmasına gerekse ticari iletişime ilişkin mevzuatımızda “varsayılan rıza” gibi bir kavram öngörülmemiş; bilakis “varsayılan” olanın rıza değil “rızasızlık” olduğu kabul edilerek açık rıza “irade beyanında bulunma” gibi aktif bir davranışa bağlanmıştır. Aynı sonuç, ticari iletilerdeki “onay” bakımından da geçerlidir.

Bu noktada Kanun'un 10. maddesindeki aydınlatma yükümlülüğünün işlevi de ayrıca önem kazanmaktadır. İlgili kişi, bir veri sorumlusu tarafından kişisel verisinin kendisinden habersiz bir şekilde, üçüncü bir kaynaktan elde edilerek işlenmesi halinde, kişisel veri işleme faaliyetinden bizzat haberdar olma imkanından mahrum kalmaktadır. Tam da bu nedenle kanun koyucu “kişisel verilerin üçüncü kişilerden elde edilmesi” halinde aydınlatma yükümlülüğünü ayrıca ele alarak düzenlemiştir. Kişisel verilerin ilgili kişiden doğrudan değil de üçüncü bir kişi aracılığıyla elde edildiği haller, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’de düzenlenmiş olup mezkur düzenlemede veri sorumlusuna aydınlatma yükümlülüğünü yerine getirmek üzere üç alternatif zamanlama sunulmuştur: (i) kişisel verinin elde edilmesinden itibaren makul bir süre içinde, (ii) ilgili kişiyle ilk defa iletişime geçildiği anda veya (iii) söz konusu verinin bir başka alıcıya aktarılmasından önce ilgili kişiler aydınlatılmak zorundadır. Nitekim Duyuru’da da vurgulanan husus, üçüncü kişilerden elde edilen kişisel verilerin reklam ve pazarlama amaçlı kullanımına ilişkin ticari elektronik ileti gönderim faaliyetlerinde ilgili kişilere Kanun kapsamında gerekli aydınlatmanın yapılmadığı ve kişilerin herhangi bir aydınlatma metnine de yönlendirilmediğidir.

5. Türkiye’den Emsal Kurul Kararları 

Yukarıda izah edilen kuralların uygulamaya yansımasını, Kurul'un 10.06.2026 tarihli ve 2026/1183 sayılı kararında görmekteyiz.³ Mezkûr kararda, konut ve taşıt edinimine yönelik organizasyon hizmeti sunan bir tasarruf finansman şirketinin yürüttüğü "marka elçiliği" programı incelenmiştir. Anılan programda şirket, mevcut müşterilerine aracılık ettirmek suretiyle üçüncü kişilere ait telefon numaralarını temin etmekte, veriyi ileten müşteriye prim ödemesi yapmakta ve elde edilen numaralara SMS ile arama yoluyla doğrudan pazarlama faaliyeti yürütmektedir. Kurul, ilgili kişilerden herhangi bir açık rıza alınmadığını tespit etmiş; aramaya ait ses kaydında ise ilgili kişiyi usulüne uygun şekilde aydınlatmak yerine kampanya tanıtımında ısrarcı davranıldığını; ilgili kişinin görüşmeyi sonlandırmayıp sorular sormaya devam etmesinin ise veri sorumlusu tarafından açık rıza yerine geçen bir davranış olarak sunulduğunu tespit etmiştir. Kurul bu değerlendirmeyi isabetli bulmamıştır. Kanun'un 3. maddesindeki açık rıza tanımına atıfla, konuşmaya devam etmenin yalnızca kampanya tanıtımının sürmesine gösterilen zımni bir ilgiden ibaret olduğunu; açık rızanın ise "belirli bir konuya ilişkin olma", "bilgilendirmeye dayanma" ve "özgür iradeyle açıklanma" unsurlarını birlikte taşıması gerektiğini vurgulamıştır. 

Gönderilen SMS'lerde "iptal" yazılarak gönderimin durdurulabilmesi imkanının tanınmış olması da Kurul'u bu değerlendirmeden döndürmemiştir; zira mesele iletişimin sonradan durdurulabilir olması değil, başlatılmadan önce açık rıza aranmasıdır; ki bu da işbu çalışmanın III no'lu bölümünde ele aldığımız ilkenin somut olaydaki karşılığıdır. Kurul, ilgili kişinin verilerinin Kanun'un 5. maddesi kapsamında geçerli bir işleme şartı bulunmaksızın işlendiğini tespit etmiş; bu durumun veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini önleyecek teknik ve idari tedbirleri alma yükümlülüğü getiren Kanun'un 12. maddesinin (1) numaralı fıkrasının (a) bendine aykırılık teşkil ettiğini değerlendirerek Kanun'un 18. maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 1.000.000 TL idari para cezasına hükmetmiştir. 

Aydınlatma yükümlülüğüne ilişkin ayrıca bir inceleme yapılmasına ise, geçerli bir işleme şartı zaten bulunmadığından, gerek görülmemiştir. Kararın önemi, istisnai bir olgu değil, ticari uygulamada büyüme aracı olarak yaygın biçimde kullanılan bir modelin doğrudan konusu olmasından ileri gelmektedir.

Ayrıca Duyuru’da bir de “zımni rıza” konusu irdelenmiş olup zımni rıza kavramı da Kurul'un yerleşik uygulamasında yeni bir konu değildir. Örneğin Kurul'un 16.10.2018 tarihli ve 2018/119 sayılı kararında da çok sayıda başvuruda tekrar eden ortak bir uygulamaya işaret edilmiştir. Kararda, ilgili kişilerin açık rızası ya da Kanun'un 5. maddesinin 2. fıkrasındaki bir işleme şartı bulunmaksızın telefon numaralarına SMS gönderilmesi, arama yapılması veya e-posta adreslerine reklam içerikli ileti yönlendirilmesi hususu ele alınmıştır.⁴ Kurul, veri sorumluları adına bu şekilde hareket eden veri işleyenlerin de aynı yükümlülüğe tabi olduğunu, geçerli bir hukuki sebep bulunmaksızın yürütülen veri işleme faaliyetinin Kanun'un 15. maddesinin (7) numaralı fıkrası uyarınca derhal durdurulması gerektiğini; veri işleyenin de veri sorumlusuyla birlikte Kanun'un 12. maddesi kapsamında gerekli teknik ve idari tedbirleri alma yükümlülüğünden müştereken sorumlu olduğunu belirtmiştir. Ayrıca Kurul, bu şekilde işlenen kişisel verilerin hukuka aykırı olarak elde edilmiş olabileceğini de göz önünde bulundurarak, ilgili veri sorumluları hakkında 5237 sayılı Türk Ceza Kanunu'nun "Verileri Hukuka Aykırı Verme veya Ele Geçirme" başlıklı 136. maddesi çerçevesinde gerekli hukuki işlemlerin tesisi amacıyla, konunun 5271 sayılı Ceza Muhakemesi Kanunu'nun 158. maddesi uyarınca ilgili Cumhuriyet Başsavcılığına ihbar edileceğini de karara bağlamıştır. Duyuru'nun aynı ilkeyi sekiz yıl sonra yeniden ve daha vurgulu biçimde hatırlatması, uygulamada özellikle çağrı merkezi kanalıyla yürütülen satış süreçlerinde bu ayrımın hala yeterince gözetilmediğine işaret etmektedir.

6. Karşılaştırmalı Hukuktaki Örnekler 

Söz konusu yaklaşımın, özellikle de üçüncü kişilerden elde edilen kişisel verilerin reklam ve pazarlama amacıyla, zımni rıza varsayımıyla kullanılması sorununun yalnızca Türk hukukuna özgü olmadığı, Avrupa Birliği ve İngiltere uygulamasında da benzer gerekçelerle veri koruma otoritelerince ele alındığı görülmektedir. 

Avrupa Birliği Adalet Divanı'nın Planet49 kararında (C-673/17, 01.10.2019), önceden işaretlenmiş (ilgili kişinin önüne işaretli şekilde gelen) bir onay kutucuğunun Genel Veri Koruma Tüzüğü ("GDPR") anlamında geçerli bir açık rıza teşkil etmediği, açık rızanın ilgili kişinin aktif ve bilinçli bir davranışıyla verilmesi gerektiği hükme bağlanmıştır.⁵ Bu karar, önceden işaretlenmiş şekilde kullanıcının karşısına çıkartılan onay kutucuğunun işaretinin kaldırılmamasının (yani ilgili kişinin pasif kalmasının) açık rıza anlamına gelmeyeceğini ortaya koymuş olup bu durum, Kurul'un zımni davranışların açık rıza sayılamayacağı yönündeki yaklaşımıyla örtüşmektedir.

Fransız veri koruma otoritesi CNIL'in Foriou kararında da benzer bir yaklaşım benimsenmiştir. Telefon yoluyla sadakat kartı pazarlaması yapan şirketin, çeşitli veri sağlayıcılardan edindiği ve kökeninde çevrimiçi bir yarışmaya katılım formları bulunan müşteri listelerini kullandığı tespit edilmiştir. CNIL, kişisel veriyi devralan tarafın yalnızca veri sağlayıcının sözleşmesel taahhüdüyle yetinemeyeceğini, kaynaktaki açık rıza sürecinin fiilen doğrulanması gerektiğini belirterek 310.000 Euro tutarında bir idari para cezası vermiştir.⁶ Bu karar, üçüncü kişiden elde edilen kişisel verinin kullanımında kaynağın meşruiyetinin araştırılması yükümlülüğüne işaret etmesi bakımından Duyuru ile paralellik göstermektedir.

Son olarak, İngiliz veri koruma otoritesi ICO'nun Ocak 2026 tarihli iki ayrı kararı da aynı doğrultudadır. Allay Claims Ltd, gönderdiği 4 milyonu aşkın SMS'i "hizmet bildirimi" olarak nitelendirmiş; ancak içeriğin gerçekte tanıtım amaçlı olduğu tespit edilerek 120.000 sterlin idari para cezasına çarptırılmıştır. ZMLUK Limited ise üçüncü taraf bir internet sitesinden temin ettiği kişisel verilerle 67 milyonu aşkın pazarlama e-postası göndermiş; ancak ilgili kişilere, sitede listelenen 361 "iş ortağından" hangisiyle iletişime geçileceğini seçme imkânı tanınmadığı gerekçesiyle 105.000 sterlin idari para cezasına muhatap olmuştur. Her iki kararda da telefon ve elektronik posta yoluyla yapılan pazarlamayı düzenleyen İngiliz mevzuatı olan PECR'nin ("Privacy and Electronic 

Communications Regulations") 22. maddesi kapsamında geçerli bir rızanın bulunmadığı; keza mevcut ticari ilişki çerçevesinde önceden rıza aranmaksızın pazarlama yapılabilmesine iimkântanıyan istisnai bir muafiyet olan "soft opt-in" uygulamasının koşullarının da somut olayda sağlanmadığı sonucuna varılmıştır. 

7. Hukuka Uygun Yöntem Nedir?

Gerek Kurum’un Duyuru’su gerekse yukarıda zikredilen emsal kararlar karşısında, veri sorumlusu bakımından hukuka uygun bir sürecin hangi aşamalardan oluşması gerektiğinin ortaya konulması isabetli olacaktır.

Sürecin ilk aşamasını aydınlatma yükümlülüğü oluşturmaktadır. Verinin ilgili kişiden doğrudan değil üçüncü bir kişi aracılığıyla elde edildiği hallerde, yukarıda da izah olunduğu üzere mevzuat, veri sorumlusuna üç alternatif zamanlama sunmaktadır: (i) kişisel verinin elde edilmesinden itibaren makul bir süre içinde, (ii) ilgili kişiyle ilk defa iletişime geçildiği anda veya (iii) söz konusu verinin bir başka alıcıya aktarılmasından önce.⁸  Bu üç seçenekten hangisinin uygulanacağı somut olayın koşullarına göre belirlenmekle birlikte, tümündeki ortak nokta, aydınlatmanın pazarlama iletişiminden önce ve açık rızadan bağımsız bir işlem olarak tamamlanmış olması gerekliliğidir. Nitekim Duyuru’da da bu husus net bir şekilde vurgulanmıştır.

İkinci aşama, açık rızanın alınmasıdır. Kanun'un 5. maddesi anlamında hukuka uygun bir açık rızanın belirli bir konuya ilişkin, bilgilendirilmeye dayalı ve özgür iradeyle verilmiş olması aranmaktadır. Aydınlatma yükümlülüğü ile açık rızanın tek bir işlemde birleştirilmesi veya açık rızanın önceden işaretlenmiş bir kutucuk, kapalı bir onay metni ya da genel bir üyelik sözleşmesi içine gizlenmesi bu şartları karşılamamaktadır. Açık rızanın varlığını ispat yükü veri sorumlusuna ait olduğundan, açık rızanın alınma anını, kapsamını ve içeriğini gösterir kayıtların ayrıca saklanması gerekmektedir.

Üçüncü aşamada (esasında ikinci aşamaya paralel/ ikinci aşamayla eş zamanlı olarak) pazarlama amaçlı açık rızadan bağımsız olarak, ticari elektronik ileti gönderimi için Yönetmelik kapsamında ayrı bir onayın alınması gerekmektedir. Bu onay, yukarıda açıklandığı üzere iletişim başlamadan önce alınmalı; onayı bulunmayan kişilere onay talebi içeren dahi olsa herhangi bir ticari elektronik ileti gönderilmemelidir. 

Marka elçiliği veya referans temelli kampanyalar özelinde bu ilkelerin pratik sonucu ise, aydınlatma ve açık rıza alma yükümlülüğü bizzat veri sorumlusuna aittir ve veri sorumlusunun, üçüncü kişiye ait iletişim bilgisini kullanmadan önce doğrudan o kişiyle temasa geçerek aydınlatma yükümlülüğünü yerine getirmesi, ayrıca Kanun’a uygun yöntemlerle açık rıza alması ve buna ek olarak Yönetmelik kapsamında da ticari elektronik ileti onayı alması gerekmektedir. Bu süreç tamamlanmadan yürütülen herhangi bir pazarlama faaliyeti, yukarıda incelenen 2026/1183 sayılı kararda olduğu gibi, Kanun'un 5. maddesi kapsamında hukuka aykırılık teşkil edecektir.

8. Sonuç ve Değerlendirme

Kurul'un 21.07.2026 tarihli Duyurusu, esasen yerleşik bir ilkeyi (üçüncü kişiden elde edilen verinin reklam ve pazarlama amaçlı kullanımının Kanun'un 5. maddesindeki genel rejime tabi olduğunu) yeniden ve güncel bir vurguyla ortaya koymaktadır. 

Nitekim Duyuru’dan henüz bir ay önce Kurul tarafından verilen 10.06.2026 tarihli 2026/1183 sayılı karar da şüphesiz ki mezkûr Duyuru’yu tetiklemiş olup, ilgili karar da söz konusu ilkenin marka elçiliği ve benzeri referans temelli pazarlama modellerine doğrudan uygulandığını göstermesi bakımından oldukça değerlidir. Veri sorumlularının, referans/tavsiye kampanyaları, marka elçiliği programları ile satın alınan veya kiralanan iletişim listelerine dayalı pazarlama süreçlerini, aydınlatma yükümlülüğünün açık rızadan ve ticari elektronik ileti onayından bağımsız ve kişisel veri elde edilir edilmez yerine getirilip getirilmediği, açık rızanın iletişim başlamadan önce ve ayrı bir irade beyanıyla alınıp alınmadığı yönlerinden yeniden gözden geçirmesi önerilmektedir. 

Bu bağlamda İYS'ye kayıtlı bir ticari elektronik ileti onayının, Kanun'un 5. maddesi anlamındaki açık rızanın yerine geçmediği, her iki onay/ açık rıza türünün ayrı hukuki temellere dayandığı ve ayrı ayrı sağlanması gerektiği hususu özellikle dikkate alınmalı ve veri sorumluları tarafından iş süreçleri gözden geçirilerek hukuka uygun hale getirilmelidir.  Aksi halde -Duyuru’da da vurgulandığı üzere- Kanun’un 18. maddesi uyarınca idari yaptırım uygulanabilecek olup iş süreçlerini Duyuru’ya ve dolayısıyla Kanun ile ikincil düzenlemelerine uygun hale getirmeyen veri sorumluları nezdinde 2026 yılı için 85.437 TL’den 17.092.242 TL’ye kadar idari para cezası riski bulunmaktadır. Bilindiği üzere söz konusu idari para cezaları, her takvim yılı başında, yeniden değerleme oranında artmaktadır. Son olarak, gerek Kurul’un yerleşik uygulaması haline gelmiş kararları gerekse karşılaştırmalı hukuktaki emsal kararlar da göstermektedir ki ilgili kişinin pasifliği veya sessizliği, hiçbir koşulda rızanın yerine geçmemektedir.
Kaynakça

• Kişisel Verileri Koruma Kurumu, Üçüncü Kişilerden Elde Edilen Kişisel Verilerin Reklam ve Pazarlama Amaçlı Kullanılmasına İlişkin Kamuoyu Duyurusu, 21.07.2026.
• Kişisel Verileri Koruma Kurulu, 2026/1183 sayılı Karar, 10.06.2026.
• Kişisel Verileri Koruma Kurulu, 2018/119 sayılı İlke Kararı, 16.10.2018.
• Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik.
• Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ.
• Avrupa Birliği Adalet Divanı, Planet49 GmbH v. Bundesverband der Verbraucherzentralen und Verbraucherverbände Kararı, C-673/17, 01.10.2019.
• CNIL (Commission Nationale de l'Informatique et des Libertés), Foriou Kararı.
• Information Commissioner's Office (ICO), Allay Claims Ltd Kararı, Ocak 2026.
• Information Commissioner's Office (ICO), ZMLUK Limited Kararı, Ocak 2026.

Yazar: Arda ALTINOK

Kaynak: Lebib Yalkın Aylık Mevzuat Dergisi Eylül Sayısı 2026