Müşteri Verisiyle Pazarlama

Müşteri Verisi Hangi Hukuki Sebeple Pazarlamada Kullanılır?

Kişisel Verilerin Korunması Kanunu m.5/1 uyarınca kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez; m.5/2 ise açık rıza aranmayan hâlleri sayar. Siparişin teslimi veya faturanın düzenlenmesi için adres ve telefonun işlenmesi, sözleşmenin ifasıyla doğrudan ilgili olduğundan açık rıza gerektirmez (m.5/2-c).

Aynı verinin kampanya duyurusu, kişiselleştirilmiş teklif veya profil oluşturma için kullanılması ise sözleşmenin ifası için zorunlu değildir. Bu amaçlar için genellikle açık rızaya dayanılır. Veri sorumlusunun meşru menfaati de bir hukuki sebeptir, ancak ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla ve işleme zorunlu olduğu ölçüde kullanılabilir (m.5/2-f); pazarlamada bu sebebe dayanılması dar yorumlanmalıdır.

Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır (KVKK m.3/1-a). Hizmetin verilmesini pazarlama iznine bağlamak veya önceden işaretlenmiş kutucuklar kullanmak, rızanın özgür iradeye dayandığı konusunda tartışma yaratır.

Aydınlatma Yükümlülüğü Nasıl Yerine Getirilir?

Veri sorumlusu, kişisel verileri elde ederken ilgili kişiye kimliğini, verilerin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve m.11’deki haklarını bildirmekle yükümlüdür (KVKK m.10).

Aydınlatma ile açık rıza farklı işlemlerdir. Aydınlatma her durumda yapılır; açık rıza ise yalnızca açık rızaya dayanan işlemler için alınır. Pazarlama izni, aydınlatma metninin içine gömülmek yerine ayrı ve anlaşılır bir onay adımıyla alınmalıdır.

Veriler; hukuka ve dürüstlük kuralına uygun, belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü şekilde ve yalnızca gerekli süre kadar işlenebilir (KVKK m.4/2). Satış amacıyla toplanan her verinin pazarlama havuzuna aktarılması, özellikle ölçülülük ilkesiyle çatışabilir.

SMS ve E-Posta Kampanyası İçin Ayrıca Onay Gerekir mi?

Evet. 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun m.6/1 uyarınca ticari elektronik iletiler, alıcılara ancak önceden onayları alınmak kaydıyla gönderilebilir. Onay yazılı olarak veya her türlü elektronik iletişim aracıyla alınabilir. Bu onay, KVKK kapsamındaki açık rızadan ayrı bir yükümlülüktür.

Alıcı kendisiyle iletişime geçilmesi amacıyla iletişim bilgilerini vermişse, satın aldığı mal veya hizmete ilişkin değişiklik, kullanım ve bakım iletileri için ayrıca onay alınmaz (m.6/1). Esnaf ve tacirlere ise önceden onay alınmaksızın ticari elektronik ileti gönderilebilir (m.6/2); bu istisna bireysel tüketicileri kapsamaz.

İletinin içeriği alınan onaya uygun olmalı ve gönderenin kimliği ile erişilebilir iletişim bilgilerini içermelidir (m.7). Alıcı dilediği zaman gerekçe göstermeden iletiyi reddedebilir; ret talebinin ulaşmasından itibaren 3 iş günü içinde gönderim durdurulmalıdır (m.8).

Veriyi İş Ortaklarına veya Ajansa Vermek

Kişisel veriler ilgili kişinin açık rızası olmaksızın aktarılamaz; ancak m.5/2’deki şartlardan birinin varlığında rıza aranmaksızın aktarım mümkündür (KVKK m.8). Müşteri listesinin kampanya ortağı bir şirketle paylaşılması, bu nedenle ayrı bir hukuki sebep gerektirir.

Kampanyayı yürüten ajans veya SMS hizmet sağlayıcı, veri sorumlusu adına veri işliyorsa veri işleyen konumundadır. Veri sorumlusu, gerekli teknik ve idari tedbirlerin alınması konusunda veri işleyenle birlikte müştereken sorumludur (KVKK m.12/2); sözleşmede güvenlik yükümlülükleri açıkça düzenlenmelidir.

Veriler yurt dışındaki bir pazarlama platformunda tutuluyorsa, 2024 değişikliğiyle yeniden düzenlenen yurt dışına aktarım rejimi uygulanır. Yeterlilik kararı yoksa standart sözleşme gibi uygun güvencelerden biri sağlanmalı ve standart sözleşme imzadan itibaren 5 iş günü içinde Kuruma bildirilmelidir (KVKK m.9/5).

Müşterinin Hakları ve İhlalin Sonuçları

Müşteri; verisinin işlenip işlenmediğini öğrenme, işleme amacını öğrenme, aktarıldığı kişileri bilme, düzeltme ve silme isteme ile zararın giderilmesini talep etme haklarına sahiptir (KVKK m.11). Veri sorumlusu başvuruyu en geç 30 gün içinde ücretsiz sonuçlandırır (m.13/2).

Başvuru reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse ilgili kişi, cevabı öğrendiği tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kurula şikâyette bulunabilir (m.14/1). Pazarlama amacı sona erdiğinde veya rıza geri alındığında veriler silinmeli, yok edilmeli veya anonim hâle getirilmelidir (m.7).

Aydınlatma yükümlülüğüne ve veri güvenliği yükümlülüklerine aykırılık idari para cezası gerektirir (KVKK m.18); cezalara karşı idare mahkemesinde dava açılabilir (m.18/3). Kişisel verilere ilişkin suçlar bakımından ise TCK m.135–140 uygulanır (KVKK m.17).

Uyum İçin Adım Adım

1. Veri envanteri çıkarın. Satış, müşteri hizmetleri ve pazarlama için hangi verilerin, hangi kanaldan ve hangi hukuki sebeple toplandığını tablo hâlinde belirleyin. Pazarlamada kullanılan her veri alanının karşısında bir hukuki sebep yazılı olmalıdır.

2. İzinleri ayırın. Aydınlatma metni, KVKK açık rızası ve ticari elektronik ileti onayını ayrı adımlar olarak tasarlayın; her birinin alındığı tarih, kanal ve metin sürümünü kayıt altına alın. Onayın varlığını ispat edebilmek için bu kayıtlar önemlidir.

3. Ret ve silme süreçlerini otomatikleştirin. İleti reddi 3 iş günü içinde uygulanmalı, KVKK başvurularına 30 gün içinde cevap verilmelidir. Rızası geri alınan müşterinin verileri pazarlama listelerinden çıkarılmalı ve ajanslara da bildirilmelidir.

Sıkça Sorulan Sorular

Müşterinin telefonunu kampanya SMS’i için kullanabilir miyim?

Önceden ticari elektronik ileti onayı alınmadıkça hayır (6563 m.6); ayrıca KVKK kapsamında uygun bir hukuki sebep gerekir (KVKK m.5).

Satın aldığı ürünle ilgili bilgilendirme için onay gerekir mi?

İletişim bilgisini veren alıcıya mal veya hizmete ilişkin değişiklik, kullanım ve bakım iletileri için ayrıca onay alınmaz (6563 m.6/1).

Şirketlere e-posta kampanyası göndermek için onay gerekir mi?

Esnaf ve tacirlere önceden onay alınmaksızın ticari elektronik ileti gönderilebilir (6563 m.6/2).

Müşteri iletileri reddederse ne kadar sürede durdurulmalı?

Ret talebinin ulaşmasından itibaren 3 iş günü içinde (6563 m.8/3).

Açık rıza nedir?

Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır (KVKK m.3/1-a).

Aydınlatma metni açık rıza yerine geçer mi?

Hayır. Aydınlatma bilgi verme yükümlülüğüdür (KVKK m.10); açık rıza ayrı bir irade beyanıdır.

Müşteri listesini iş ortağıyla paylaşabilir miyim?

Kural olarak açık rıza gerekir; m.5/2’deki bir şart yoksa aktarım yapılamaz (KVKK m.8).

Müşterinin verilerini silme talebine ne kadar sürede cevap vermeliyim?

En geç 30 gün içinde ve kural olarak ücretsiz (KVKK m.13/2).

Müşteri Kurula ne zaman şikâyet edebilir?

Cevabı öğrenmesinden itibaren 30 gün, her hâlde başvurudan itibaren 60 gün içinde (KVKK m.14/1).