Kişisel Verileri Koruma Kurumu’nun (“Kurum”) 10.06.2025 tarih ve 2025/1072 sayılı ilke kararı (“İlke Kararı”), 26.06.2025 tarihli resmî gazetede yayınlanmıştır.
İlke Kararında, Kişisel Verileri Koruma Kurulu’na (“Kurul”) intikal eden ihbar ve şikayetlerde yaygın bir uygulama olduğu görülen, ürün ve hizmet sunumlarına ilişkin süreçlerde ilgili kişilerin iletişim bilgilerinin talep edilmesi ve SMS ile doğrulama kodu gönderilmesi suretiyle kişisel verilerinin işlenmesi hakkında değerlendirmelerde bulunulmuştur. Bu kapsamda ürün ve hizmet sunumlarında, aşağıda belirtilen ve belirtilenlerle sınırlı olmamak kaydıyla benzeri işlemler esnasında ticari elektronik ileti gönderim izni alınmasına ilişkin uygulamalar değerlendirilmiştir.
- Ödeme yapma,
- Kayıt açma,
- Üyelik oluşturma,
- Teklif oluşturma vb.
Söz konusu işlemler esnasında; ilgili kişilerin iletişim bilgilerinin talep edildiği, akabinde ilgili kişilere SMS ile doğrulama kodu gönderildiği ve ödemelerinin tamamlanması, fatura oluşturulması, faturanın iletişim adresine iletilmesi ya da bilgilerinin güncellenmesi için gerekli olduğu gerekçeleri öne sürülerek söz konusu kodun görevliye bildirilmesinin/sisteme girilmesinin istenildiği ve bahse konu işlemin akabinde ilgili kişilere söz konusu veri sorumlusunun faaliyetleri ile ilgili ticari elektronik ileti gönderildiği yolundaki iddialar değerlendirilmiştir.
İlke Kararında, bahse konu SMS kodunun verilmesinin alışverişin zorunlu bir unsuru gibi sunulması halinde ilgili kişilerin yanıltılmasına neden olabileceği değerlendirildiğinden;
- Gönderilen SMS kodunun amacının ne olduğu, kodun verilmesi halinde kişisel veriler açısından ne gibi sonuçlar doğuracağı hususunda ilgili kişilere aydınlatma yapılması gerektiği,
- İlgili kişilere SMS ile doğrulama kodu gönderilerek üyelik sözleşmesinin onaylanması, kişisel verileri işleme izni alınması, ticari elektronik ileti onayı alınması vb. birbirinden farklı işleme faaliyetlerinin tek bir eylemle gerçekleştirilmesine yönelik uygulamalara son verilmesi gerektiği, açık rıza ile gerçekleştirilmesi gereken işleme faaliyetlerine yönelik seçenek sunulmak suretiyle ilgili kişilerden ayrı ayrı açık rıza alınması gerektiği,
- Açık rızaya istinaden kişisel veri işlenmesi halinde açık rızanın Kişisel Verileri Koruma Kanunu’nda (“Kanun”) belirtilen unsurları kapsaması gerektiği,
- Ticari elektronik ileti gönderilmesi amacıyla kişisel verilerin işlenmesine açık rıza verilmesinin ürün ve hizmet sunumunun tamamlanabilmesi için zorunlu bir unsur şeklinde ilgili kişilere sunulmaması gerektiği ve bunu sağlamak adına veri sorumluları tarafından gerekli teknik ve idari tedbirlerin alınması gerektiği değerlendirilmiştir.
Bu belirtilen hususlara uygun hareket edilmediğinin tespiti halinde ise; ilgili veri sorumluları hakkında Kanun’un 18. Maddesi hükümleri çerçevesinde idari para cezası yaptırımları dahil olmak üzere işlem tesis edileceği hususu belirtilmektedir.
26.06.2025 tarihli resmî gazetede ve Kurumun internet sitesinde yayınlanan ilke kararı ve tam metnine aşağıdaki linkten ulaşabilirsiniz.
Konuyla ilgili detaylı bilgi edinmek ve uyum sürecinde profesyonel destek almak için bizimle her zaman iletişime geçebilirsiniz.
İşbu hukuki duyuru güncel hukuki konular hakkında sadece genel bilgilendirme amacı ile hazırlanmış olup, Hukuki Duyuru içerisinde yer alan değerlendirmeler hukuki tavsiye ya da hukuki görüş niteliği teşkil etmemektedir. İşbu Hukuki Duyuru içeriğinden dolayı herhangi bir şekilde SRP-Legal Hukuk Ofisine sorumluluk tahmili mümkün değildir. Bu Hukuki Duyuru kapsamındaki soru ve sorunlarınız bakımından hukuki danışman görüşü alınması tavsiye edilir.
