Gündem · Kurul Kararı · KVKK
Yayınlanma tarihi: · Son güncellenme tarihi: · Yazar: Mustafa Fazlıoğlu
Arkadaşının telefon numarasını şirkete vermesi açık rıza sayılmadı
Bir tasarruf finansman şirketinin müşterisi, tanıdığı bir kişinin telefon numarasını “marka elçiliği” programı kapsamında şirkete verdi. Şirket, bu numarayı sistemine kaydetti; ilgili kişiyi aradı, kampanya tanıtımı yaptı, görüşmeyi kaydetti ve daha sonra SMS gönderdi.
Kişisel Verileri Koruma Kurulu, ilgili kişinin görüşmeyi sürdürmesini ve kampanya hakkında sorular sormasını geçerli açık rıza olarak kabul etmedi. Kurula göre telefon numarası, Kanun’da düzenlenen herhangi bir veri işleme şartı bulunmadan işlendi.
Kurul, uygulamanın yalnız şikâyetçiyle sınırlı olmadığını; marka elçiliği programı kapsamında benzer yöntemle numarası alınan diğer kişiler bakımından da geçerli bir veri işleme sorunu bulunduğunu belirtti. Veri sorumlusu hakkında 1.000.000 TL idari para cezası uygulanmasına karar verildi.
10 Haziran 2026 tarihli ve 2026/1183 sayılı karar; müşteri tavsiye programı, referans sistemi, çağrı merkezi, CRM kaydı, telefonla pazarlama veya üçüncü kişilerden iletişim bilgisi toplama yöntemlerini kullanan işletmeler bakımından önem taşıyor.
Olay Nasıl Gelişti?
Şikâyete konu olayda tasarruf finansman şirketi, müşterilerinin bilgi almak isteyebilecek tanıdıklarını uygulama üzerinden şirkete tavsiye edebildiği bir marka elçiliği programı yürütüyordu. Program kapsamında üçüncü kişilere ait iletişim numaraları şirkete aktarılıyor ve numara paylaşan müşterilere prim ödeniyordu.
Şikâyetçinin telefon numarası da bu yöntemle bir müşteri tarafından şirkete bildirildi. Numara şirket sistemine kaydedildikten sonra çağrı merkezi şikâyetçiyi aradı. Görüşme sırasında şirketin kampanyası ve tasarruf finansman sistemi tanıtıldı; görüşme kaydedildi ve daha sonra ilgili kişiye kampanya içerikli bir SMS gönderildi.
Şikâyetçi; telefon numarasının açık rızası alınmadan ve aydınlatma yükümlülüğü yerine getirilmeden şirkete aktarıldığını, reklam ve pazarlama amacıyla kullanıldığını ileri sürerek veri sorumlusuna başvurdu. Ardından konu Kişisel Verileri Koruma Kurumuna taşındı.
Veri Sorumlusu Hangi Savunmaları Yaptı?
Veri sorumlusu, ilgili kişinin tanıdığı olduğu düşünülen bir müşterinin telefon numarasını, kişinin tasarruf finansman sistemi hakkında bilgi almak istediği gerekçesiyle uygulamaya eklediğini belirtti.
Şirketin savunmasına göre ilgili kişi ilk telefon görüşmesinde konuşmayı sürdürmüş, şirket ve sistem hakkında sorular sormuş ve bilgi almaya devam etmek istediğini göstermişti. Şirket, bu davranışın bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir açık rıza oluşturduğunu savundu.
Veri sorumlusu ayrıca:
- İlgili kişinin ilk görüşmede arama ve SMS istemediğini bildirebileceğini,
- Gönderilen SMS’te ileti ret seçeneğinin bulunduğunu,
- İlgili kişinin talebi üzerine arama ve SMS gönderimlerinin durdurulduğunu,
- Telefon numarasının sistemden silindiğini ve SMS panelinde engellendiğini,
- Verilerin yurt dışına aktarılmadığını ve üçüncü kişilerle paylaşılmadığını,
- İlgili kişi başvurusunun 30 günlük süre içinde cevaplandırıldığını
ifade etti.
Kurulun Hukuki Değerlendirmesi
Kurul, veri işleme sürecini yalnızca telefon görüşmesiyle sınırlı değerlendirmedi. İncelenen süreç; üçüncü kişinin telefon numarasını şirkete bildirmesi, numaranın şirket tarafından kaydedilmesi, ilgili kişinin aranması, kampanya tanıtımı yapılması, görüşmenin kaydedilmesi ve SMS gönderilmesi aşamalarından oluşuyordu.
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 5’inci maddesi uyarınca kişisel veriler, ilgili kişinin açık rızası veya aynı maddede düzenlenen diğer veri işleme şartlarından biri bulunmadan işlenemez. Kurul, somut olayda telefon numarasının işlenmesini hukuka uygun hâle getirecek geçerli bir açık rıza veya başka bir veri işleme şartı bulunmadığı sonucuna ulaştı.
Konuşmayı sürdürmek açık rıza sayılmadı
Kurula göre ilgili kişinin kampanya tanıtımını dinlemeye devam etmesi, konuşmayı sonlandırmaması ve konu hakkında sorular sorması, kişisel verilerinin reklam ve pazarlama amacıyla işlenmesine yönelik geçerli bir açık rıza oluşturmadı.
Kararda bu davranış, kampanya tanıtımının devamına gösterilen zımni ilgi olarak değerlendirildi. Oysa KVKK bakımından geçerli açık rızanın:
- Belirli bir konuya ilişkin olması,
- Bilgilendirmeye dayanması,
- Özgür iradeyle açıklanması
gerekir. Kişinin hangi kişisel verisinin, hangi amaçla ve hangi sonuçlarla işleneceğini bilmesi; gerekli bilgilendirmenin de veri işlenmeye başlamadan önce yapılması gerekir.
Aydınlatma ve açık rıza birbirinden ayrılmalı
Kurul, kişisel verilerin ilgili kişiden elde edilmediği durumlarda Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’in 6’ncı maddesine dikkat çekti. Veri, ilgili kişiyle iletişim amacıyla kullanılacaksa aydınlatma yükümlülüğünün en geç ilk iletişim sırasında yerine getirilmesi gerekir.
Ancak somut olayda, aramaya ait ses kaydında ilgili kişinin usulüne uygun biçimde aydınlatılmadığı veya bir aydınlatma kanalına yönlendirilmediği tespit edildi. Ayrıca görüşmenin kaydedildiği konusunda da bilgilendirme yapılmadı.
Aydınlatma yükümlülüğü ile açık rıza farklı hukuki işlevlere sahiptir. Kişiye veri işleme faaliyeti hakkında bilgi verilmesi, tek başına kişisel verilerin işlenebilmesi için hukuki sebep oluşturmaz. Veri işleme açık rızaya dayanıyorsa aydınlatma ile açık rıza alma işlemlerinin ayrı ayrı yerine getirilmesi gerekir.
Geçerli veri işleme şartı bulunmadığı kabul edildi
Kurul, ilgili kişinin telefon numarasının Kanun’un 5’inci maddesinde bulunan herhangi bir veri işleme şartına dayanmadan işlendiğine karar verdi. Bu nedenle aydınlatma yükümlülüğü yönünden ayrıca işlem yapılmasının gerekli olmadığı sonucuna ulaştı.
Bu tespit, aydınlatma yükümlülüğünün önemsiz olduğu anlamına gelmez. Kararın hukuki sonucu, aydınlatma yapılmış olmasının dahi tek başına eksik olan veri işleme şartının yerine geçmeyeceğini gösterir.
Kurulun Kararı ve 1.000.000 TL İdari Para Cezası
Kişisel Verileri Koruma Kurulu, ilgili kişinin kişisel verilerinin hukuka uygun açık rıza veya başka bir geçerli veri işleme şartı bulunmadan işlendiğine karar verdi.
Kurul, bu durumu Kanun’un 12’nci maddesinin birinci fıkrasında düzenlenen kişisel verilerin hukuka aykırı işlenmesini önlemeye yönelik gerekli teknik ve idari tedbirleri alma yükümlülüğüne aykırı buldu.
Veri sorumlusu hakkında Kanun’un 18’inci maddesinin birinci fıkrasının (b) bendi uyarınca 1.000.000 TL idari para cezası uygulanmasına karar verildi.
Şikâyetçinin veri sorumlusuna yaptığı başvurunun yanıtsız bırakıldığı yönündeki iddiası ise kabul edilmedi. İncelemede başvurunun cevaplandırıldığı tespit edildiğinden bu iddia hakkında ayrıca işlem tesis edilmedi.
Karardan Çıkan Temel İlkeler
Müşteri tavsiye programlarında dikkat edilmesi gerekenler
- Bir müşterinin arkadaşına veya tanıdığına ait telefon numarasını şirkete vermesi, ilgili kişinin açık rızası anlamına gelmez.
- İlgili kişinin telefon görüşmesini sürdürmesi, kampanyayı dinlemesi veya soru sorması tek başına açık rıza oluşturmaz.
- Telefon numarasının sisteme kaydedilmesi de başlı başına bir kişisel veri işleme faaliyetidir.
- Aydınlatma yapmak, kişisel veri işleme şartının yerine geçmez.
- Veri işleme açık rızaya dayanıyorsa aydınlatma ve açık rıza süreçleri ayrı yürütülmelidir.
- Telefon görüşmesinin kaydedilmesi, ayrıca değerlendirilmesi ve hakkında aydınlatma yapılması gereken bir veri işleme faaliyetidir.
- SMS içinde ret seçeneği bulunması, telefon numarasının başlangıçta geçerli bir işleme şartı olmadan alınmasını ve kullanılmasını KVKK bakımından hukuka uygun hâle getirmez.
- Şikâyet sonrasında verinin silinmesi veya iletişimin durdurulması, daha önce gerçekleşen veri işleme faaliyetinin değerlendirilmesini ortadan kaldırmaz.
Bu Karar Neden Önemli?
Karar, yalnızca bir kişiye gönderilen SMS veya yapılan tek bir telefon araması hakkında değildir. Kurul, marka elçiliği programı kapsamında aynı yöntemle kişisel verisi işlenen diğer gerçek kişiler bakımından da benzer hukuka aykırılığın bulunduğunu belirtti.
Böylece inceleme, tekil bir çalışan hatasından ziyade üçüncü kişilere ait telefon numaralarının sistematik biçimde toplanmasına dayanan iş modeline yöneldi. Uygulanan cezanın hukuki dayanağının Kanun’un 12’nci maddesindeki teknik ve idari tedbir yükümlülüğü olması da bu yapısal değerlendirmeyi göstermektedir.
Karar doğrudan bir tasarruf finansman şirketi hakkında verilmiş olsa da aşağıdaki yöntemleri kullanan işletmeler bakımından da önem taşır:
- Müşteri tavsiye ve referans programları,
- “Arkadaşını getir” veya “tanıdığını öner” kampanyaları,
- Numara paylaşımı karşılığında prim, puan veya indirim veren sistemler,
- Satış temsilcilerinin tanıdık numaralarını CRM sistemine eklemesi,
- Üçüncü kişilerden temin edilen listeler üzerinden çağrı merkezi araması yapılması,
- Önceden hukuki sebep belirlenmeden reklam SMS’i gönderilmesi,
- Telefon görüşmelerinin bilgilendirme yapılmadan kaydedilmesi.
İşletmeler Ne Yapmalı?
Müşteri tavsiye veya referans programı kullanan işletmeler, yalnızca SMS metinlerini ve ileti ret sistemlerini değil, telefon numarasının ilk kez hangi kaynaktan ve hangi hukuki sebeple elde edildiğini de incelemelidir.
Uygulama kontrol listesi
- Üçüncü kişilere ait telefon numaralarının müşteriler, çalışanlar veya satış temsilcileri aracılığıyla toplanıp toplanmadığını belirleyin.
- CRM ve çağrı merkezi sistemlerine kayıt yapılmadan önce geçerli veri işleme şartının bulunup bulunmadığını kontrol edin.
- Aydınlatma metni ile açık rıza süreçlerini birbirinden ayırın.
- Konuşmayı sürdürme, sessiz kalma veya itiraz etmeme gibi davranışları açık rıza olarak kabul eden uygulamaları gözden geçirin.
- Telefon görüşmesi kayıtlarının amacı, hukuki sebebi, saklama süresi ve erişim yetkilerini ayrıca değerlendirin.
- Pazarlama izni, KVKK kapsamındaki veri işleme şartı ve ticari elektronik ileti süreçlerini birbirine karıştırmadan ele alın.
- Mevcut referans kayıtlarının kaynağını, elde edilme tarihini ve hukuki dayanağını denetlenebilir biçimde belgeleyin.
- Çağrı merkezi ve satış personeline, zımni davranış ile geçerli açık rıza arasındaki fark konusunda uygulamalı eğitim verin.
Daha kontrollü bir yöntemde mevcut müşteri, üçüncü kişinin telefon numarasını doğrudan şirkete vermek yerine şirkete ait başvuru bağlantısını o kişiye iletebilir. Potansiyel müşteri formu kendisi doldurur; aydınlatma metnine erişir ve gerekli olması hâlinde pazarlama tercihini doğrudan kendisi açıklar.
Lilyum değerlendirmesi
Risk, ilk aramayla değil numaranın sisteme alınmasıyla başlıyor
Kanaatimizce kararın en önemli yönü, veri işleme sürecini ilk telefon görüşmesinden başlatmamasıdır. Kişinin telefon numarasının üçüncü kişi tarafından şirkete bildirilmesi ve şirket sistemine kaydedilmesi de hukuki sebebe dayanması gereken birer veri işleme faaliyetidir.
İlgili kişinin daha sonraki görüşmede kampanyaya ilgi göstermesi, numaranın daha önce hangi hukuki sebeple elde edildiği sorusunu ortadan kaldırmamaktadır. Aynı şekilde ileti ret seçeneği, daha sonraki iletileri durdurmaya yarayabilir; fakat önceki veri işleme faaliyetlerine geriye dönük hukuki dayanak kazandırmaz.
Bununla birlikte 2026/1183 sayılı karar, bütün müşteri tavsiye programlarının kendiliğinden hukuka aykırı olduğu biçiminde yorumlanmamalıdır. Her uygulama; verinin kimden alındığı, hangi aşamada kaydedildiği, hangi amaçla kullanıldığı, hangi veri işleme şartına dayanıldığı ve ilgili kişinin nasıl bilgilendirildiği dikkate alınarak ayrıca değerlendirilmelidir.
Karar özeti üzerinden yapılan bu değerlendirme, aynı veya benzer veri toplama modelini kullanan işletmelerin müşteri kazanımı, CRM, çağrı merkezi, ses kaydı ve pazarlama süreçlerini birlikte incelemesi gerektiğini göstermektedir.
Resmî Kaynaklar
- Kişisel Verileri Koruma Kurulunun 10.06.2026 tarihli ve 2026/1183 sayılı Karar Özeti Tasarruf finansman şirketinin marka elçiliği programı kapsamında üçüncü kişilerden elde ettiği telefon numaralarının reklam ve pazarlama amacıyla işlenmesine ilişkin karar özeti.
Sık Sorulan Sorular
Bir müşteri arkadaşının telefon numarasını şirkete verebilir mi?
Telefon numarasının bir müşteri tarafından şirkete verilmesi, ilgili kişinin açık rıza verdiği anlamına gelmez. Şirket, numarayı kaydetmeden ve kullanmadan önce KVKK kapsamında geçerli bir veri işleme şartının bulunup bulunmadığını ayrıca değerlendirmelidir.
Kişinin telefon görüşmesini sürdürmesi açık rıza sayılır mı?
2026/1183 sayılı kararda görüşmenin sürdürülmesi, konuşmanın sonlandırılmaması ve kampanyaya ilişkin sorular sorulması geçerli açık rıza olarak kabul edilmemiştir. Açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanı olması gerekir.
SMS’te ileti ret seçeneği bulunması yeterli midir?
Hayır. Ret seçeneği, sonraki iletilerin durdurulmasına imkân verebilir; ancak telefon numarasının başlangıçta hangi hukuki sebeple elde edildiği ve işlendiği sorununu ortadan kaldırmaz.
Telefon görüşmesi kaydedilecekse ayrıca bilgilendirme gerekir mi?
Evet. Ses kaydı ayrı bir kişisel veri işleme faaliyetidir. Kaydın amacı, hukuki sebebi, saklama süresi ve diğer aydınlatma unsurları değerlendirilmeli; bilgilendirme kayıt başlamadan önce uygun biçimde yapılmalıdır.
Müşteri tavsiye ve pazarlama süreçlerinizi birlikte değerlendirelim
Referans programı, CRM kaydı, çağrı merkezi, açık rıza, aydınlatma, ses kaydı ve pazarlama süreçlerinizin KVKK bakımından değerlendirilmesi için Lilyum Danışmanlık ile iletişime geçebilirsiniz.
