Kişisel Verileri Koruma Kurulu'nun Reklam İçerikli Mesaj, E-posta ve Aramalara İlişkin 16.10.2018 Tarihli Kararı Hakkında Bir Değerlendirme

Günümüz dünyasında yaşanan dijitalleşme ile hayatımızın her alanında yaşanan değişim ve bilginin ne denli önemli bir varlık hâlini aldığı herkesçe görülmektedir. Bu yaşanan değişim, bireylerin hayatlarını etkilediği kadar şirketlerin satış ve pazarlama stratejilerini, reklamcılık anlayışını da etkiledi. İletişim dünyası ve reklamcılık dünyasını birbirine yaklaştıran bu gelişmeler, özellikle son yıllarda artan reklam mesajları ve e-postalarını hayatımızın içerisine soktu. Artık herkes günde birkaç defa bu mesaj ve e-postalardan - çoğunlukla da gereksiz konularda - nasibini almaktadır. Bu durumun bünyede yarattığı rahatsızlık bir tarafa, birçoklarının aklına ilk gelen soru, mesajı gönderen firmaların telefon numaralarımızı ya da mail adreslerimizi nereden bulduğudur.

23 Ekim 2018 tarihli yazımızda, 2016 yılının sonunda yürürlüğe giren ve o günden bu yana hukuk dünyasında bir değişim yaratan 6698 sayılı Kişisel Verilerin Korunması Kanunu'nu incelemiş; kişisel verinin ve işlenmesinin ne demek olduğunu, kişisel verilerimizin hangi şartlar altında bir işleme tâbi tutulabileceğini anlatmıştık. Dolayısıyla bu yazımızda bu konuda tekrar uzun açıklamalar yapmaktan kaçınacağız ancak şu bir gerçek ki, kişilerin telefon numarasını ya da mail adreslerini belli bir dijital ortamda tutmak ve bunlara reklam amaçlı ya da başka bir şekilde mesaj göndermek kesin olarak kişisel verilerin işlenmesi olarak nitelendirilecektir ve bu işlemlerin tamamının 6698 sayılı kanunda öngörülen şartlara uygun olarak gerçekleştirilmesi gerekmektedir. İşte tam da bu konuya ilişkin olarak Kişisel Verileri Koruma Kurulu, 16.10.2018 tarihinde 2018/119 Karar sayısı ile bir ilke karara imza attı. Aşağıda öncelikle firmaların yaptıkları işlemleri tek tek ele alacak akabinde bunları Kişisel Verileri Koruma Kurulu'nun 2018/119 sayılı kararı ile birlikte değerlendireceğiz.

Tüketicilere reklam içerikli iletiler gönderen firmalar, genellikle alışveriş esnasında telefonu numarası ya da mail adresi türündeki bilgileri tüketiciden talep etmektedir. Burada hemen belirtmek gerekir ki, tüketici bu bilgileri firma ile paylaşmak zorunda değildir. İlgili firma, tüketiciye yapacağı satış ya da vereceği hizmetin gerçekleştirilmesini bu bilgilerin verilmesi şartına bağlayamaz. Bununla birlikte günümüzde "bilgi - veri ile ödeme" gibi bir anlayış görülmeye başlanmaktadır ancak bu durum başka bir yazının konusu olabilir. Konumuza dönecek olursak bu bilgileri tüketiciden alan firmanın tüketiciyi, bu bilgileri ne amaçla aldığı ve ne şekilde kullanacağı hususlarında sarih biçimde bilgilendirmesi gerekmektedir. Ancak günlük hayatta da sıkça karşılaştığımız üzere, bu bilgiler kasada paranın ödenmesi esnasında ayaküstü tabir edebileceğimiz bir şekilde, artık sıklıkla dile getirilen "aydınlatılmış rıza" şartları yerine getirilmeksizin müşterilerden alınmaktadır.

Bu yöntem haricinde firmaların bir kısmının tüketicilere ait iletişim bilgilerini para ile başka kurum ve kuruluşlarda satın aldığı bilinmektedir. Bu durumda, kişisel verilerin işlenmesine ilişkin 6698 sayılı kanun m.5'in yanı sıra kişisel verilerin aktarılmasına ilişkin m.8 ve m.9 hükümlerinin de içerisinde bulunduğu bir değerlendirmenin yapılması gerekmektedir.   Buna göre, kişisel veriler ancak beşinci maddenin ikinci fıkrasında yahut altıncı maddenin üçüncü fıkrasında sayılan istisnalarla sınırlı olmak koşuluyla veri sahibinin kişisel rızası olmaksızın aktarılabilir. Bu istisnalar haricinde aktarımın gerçekleştirilmesi için veri sahibinin kişisel rızası aranmalıdır. Önceki tarihli yazımızda detaylı şekilde açıkladığımızdan dolayı, kişisel rızanın şartları ve ilgili kişi tarafından geri alınması hususuna burada değinmeyeceğiz.

Bu şekilde telefon numaraları ya da mail adreslerini elde eden firmaların tüketicilere mesaj ya da e-posta gönderebilmesi yukarıda bahsi geçen önceki tarihli yazımızda detaylı olarak açıkladığımız üzere kişisel verinin işlenmesi niteliğindedir. Bu işlemin gerçekleştirilebilmesi kural olarak veri sahibi yani bu konuda telefon numarası ya da mail adresi sahibinin açık rızasına bağlıdır. Kanunda açık rızanın aranmayacağı hâller sayılmış olmakla beraber gönderilen reklam içerikli mesaj ve e-postaların bu istisnalar kapsamında değerlendirilemeyeceği kanaatindeyiz.

6698 sayılı kanun m.15/6 Kişisel Verileri Koruma Kurulu'na herhangi bir şikayet bulunmamasına karşın yaygın ihlallerin yaşandığı konularda re'sen ilke kararı alma yetkisi tanımıştır. Kişisel Verileri Koruma Kurulu da bu yetkisini kullanarak 16.10.2018 tarih ve 2018/119 Karar sayılı kararı ile bu konuda bir ilke karar tesis etmiş ve bu karar, 01.11.2018 tarih ve 30582 sayılı Resmi Gazete'de yayınlanmıştır. Söz konusu kararda veri sorumlusu ve veri işleyenlerin yazımızda belirtilen hukuka aykırı uygulamaları ile ilgili olarak;

"İlgili kişilerin rızalarını almadan veya Kanunun 5 inci maddesinde hüküm altına alınan işleme şartlarını sağlamadan, telefon numaralarına SMS göndermek, arama yapmak veya e-posta adreslerine posta göndermek suretiyle reklam içerikli ileti yönlendiren veri sorumluları ile veri sorumluları adına reklam içerikli mesaj/e-posta göndermek veya arama yapmak amacıyla ilgili kişilerin açık rızaları bulunmaksızın bu verileri kullanan veri işleyenlerin söz konusu veri işleme faaliyetlerini Kanunun 15 inci maddesinin (7) numaralı fıkrası uyarınca derhal durdurması gerektiği,

Belirtilen şekilde söz konusu faaliyetlerde bulunan veri sorumluları hakkında Kanunun 18 inci maddesi hükümleri çerçevesinde işlem tesis edileceği,

Bahse konu şekilde işlenen kişisel verilerin hukuka aykırı olarak elde edilmiş olabileceği de göz önüne alınarak 5237 sayılı Türk Ceza Kanununun "Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme" başlıklı 136 ncı maddesi çerçevesinde ilgili veri sorumluları hakkında gerekli hukuki işlemlerin tesisi için konunun 5271 sayılı Ceza Muhakemesi Kanununun 158 inci maddesi uyarınca ihbaren ilgili Cumhuriyet Başsavcılığına bildirileceği..."

hususları karara bağlanmıştır. Kararın ilk hâlinde yukarıda alıntıladığımız ilk paragraf "ilgili kişilerin rızası alınmadan ve Kanunun 5 inci maddesinde hüküm altına alınan işleme şartlarını sağlamadan..." şeklinde kaleme alınmıştır. Kararın bu hâlinden kişisel verilerin işlenmesi için açık rıza şartı ile birlikte 5. maddenin ikinci fıkrasında sayılan koşulların birlikte gerçekleşmesi gerektiği anlaşılmaktadır. Bu ifade tarzı, Kurul tarafından şu ana kadar verilen kararlarla ile çelişmekte idi. Şöyle ki, bu zamana kadar yayımlanan bu husustaki kararlarda ve Kişisel Verileri Koruma Kurumu tarafından yapılan açıklamalarda 5. maddede öngörülen açık rıza ile diğer şartların aynı anda bulunamayacağı yönünde idi. Ancak kararın ilk metni açık rıza şartı ile ikinci fıkrada yer alan işleme şartlarının birlikte yer alacağı anlamına gelmekteydi.

Ancak Kurul tarafından 07.11.2018 tarihli Resmi Gazete'de yayımlanan düzeltme ile "alınmadan" kelimesinden sonra gelen ve bağlacı "veya" bağlacı ile değiştirilmiş ve karar, Kurul'un önceki karar ve açıklamaları ile uyumlu hâle getirilmiştir. Kararın yeni hâlinde açık rıza ile veri işlemenin Kanun'un beşinci maddesinin ikinci fıkrasında yer alan işleme şartlarının aynı anda aranamayacağı açıklığa kavuşturulmuştur.  

Yazımıza konu karar, içerik itibariyle bir ayrımı içermektedir. Şöyle ki, tüketiciler firmalardan çeşitli konu ve içerikte iletiler almaktadır. Bunların bir kısmı reklam amaçlı olduğu gibi bir kısmı başkaca amaçlara yöneliktir. Örneğin; tüketici tarafından verilen bir siparişin alındığı, sisteme kaydolunduğu ya da teslimatın gerçekleştirildiği de bu mesaj ve iletilerin konusu olabilir. Kurul kararı bu açıdan incelendiğinde hukuka aykırılığın "reklam amaçlı" mesaj, e-posta ve aramalara ilişkin olduğu görülmektedir. Bu yolla Kurulun, ağırlıklı olarak tüketicide rahatsızlık yaratan mesajlara ilişkin bir karar verdiği ve firmaların operasyonel faaliyetlerinin aksamasının da önüne geçtiği görülebilir. Bu açıdan söz konusu kararın sınırlarının isabetli şekilde belirlendiğini ifade etmek mümkündür.     

Doç. Dr. Murat Volkan Dülger, karara ilişkin yazısında* önemli bir noktaya parmak basmıştır.  Şöyle ki, yukarıda ayrımını yaptığımız reklam içerikli ileti/reklam içerikli olmayan ileti ayrımındaki tartışmalı noktalardan birisi şudur. Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ile tacirler ve esnaflara gönderilecek ticari iletilerde onay şartının aranmayacağı belirtilmiştir. Bu durumun KVKK'da öngörülen açık rıza şartını ortadan kaldırıp kaldırmayacağı önemli bir soru işaretidir. Çünkü KVKK m.5/2-a kanunlarda açıkça öngörülmesi hâlinde ilgili kişinin açık rızasının aranmayacağını ifade etmiştir. Kanaatimizce KVKK ile birlikte gelen aydınlatma yükümlülüğünün gerçekleşmesi yahut ilgili tacir ya da esnafın kişisel verilerinin KVKK yürürlüğe girmeden önce elde edilmiş olması durumunda m.5/2-a hükmünde öngörülmüş istisnanın şartlarının oluştuğu kabul edilmelidir.

Bu kararda en dikkat çekici hususlardan birisi de, Kurul'un mevcut uygulamaların hukuksuzluğunu tespit etmiş olmasının yanı sıra, bu hukuka aykırı uygulamaları gerçekleştirenler hakkında hem idari hem de cezai yaptırım uygulanacağı hususlarını da açıkça belirtmiş olmasıdır.

Şöyle ki, 6698 sayılı kanun m.18/3 Kurul'un kararlarına uyulmaması hâlinde 25.000 TL ile 1.000.000 TL arası idari para cezası uygulanmasına öngörmüştür. Aynı şekilde bu firmaların özellikle aktarım yolu ile aldıkları kişisel verilerin 6698 sayılı kanunda öngörülen aktarım şartları yerine getirilmeksizin ya da tüketicilerden KVKK'ya uygun şekilde bir rıza alınmaksızın elde edilmesi hâlinde Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme başlıklı TCK m.136'da öngörülen suçun oluşabileceği belirtilmiştir. Neticede 6698 sayılı kanun ile kişisel verilerin nasıl aktarılacağı hukuki olarak belirlenmiştir. Buna aykırı şekilde aktarılmak suretiyle firmalara iletilen kişisel verilerin TCK m.136'da öngörülen suçu oluşturması söz konusu olacağı gibi, bu verileri tüketicilere mesaj ya da e-posta göndermek, reklam amaçlı olarak aramak suretiyle kullanan firmaların idari ve cezai yaptırımlarla karşı karşıya kalması söz konusu olacaktır.

Ayrıca bu tür hukuka aykırılığın tespiti hâlinde bu hususun ilgili Cumhuriyet Başsavcılığı'na ihbar edilmesi Kurul'un hukuki sorumluluğu olup bundan imtina edilmesi hâlinde Kurul'un görevini ihmal etmiş olacağı değerlendirildiğinden artık Kurul önüne gelecek şikâyetlerin cezai neticelerinin olacağını öngörmek de mümkündür.

Av. Oğuz Mescioğlu

 

KAYNAKÇA