KVKK'nın internet sitesinde yayımlanan duyuruda, son dönemde farklı sektörlerde faaliyet gösteren şirketlerin müşterilere ait iletişim bilgilerini üçüncü kişilerden temin ederek reklam ve pazarlama faaliyetlerinde kullandığı yönünde kuruma çok sayıda ihbar ve şikâyet ulaştığı belirtildi. Kurum, bu kapsamda hem veri sorumlularını hem de kamuoyunu bilgilendirmek amacıyla uygulamada dikkat edilmesi gereken hususları açıkladı.
"Verinin üçüncü kişiden alınması tek başına yeterli değil"
Duyuruda, 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca kişisel verilerin işlenmesinin temel kural olarak ilgili kişinin açık rızasına bağlı olduğu hatırlatıldı. Kanunda sayılan istisnai hukuki işleme şartlarının bulunması halinde açık rıza aranmaksızın veri işlenebilse de, reklam ve pazarlama faaliyetlerinin her somut olay özelinde ayrıca değerlendirilmesi gerektiği ifade edildi.
KVKK, üçüncü kişilerden elde edilen iletişim bilgilerinin reklam amacıyla kullanılmasının otomatik olarak hukuka uygun kabul edilemeyeceğini belirterek, veri sorumlularının kişisel veri işleme süreçlerinde kanunun öngördüğü tüm yükümlülükleri yerine getirmesi gerektiğinin altını çizdi.
Önce aydınlatma, sonra açık rıza
Kurumun açıklamasında, kişisel verilerin doğrudan ilgili kişiden elde edilmediği durumlarda uygulanacak usul ve esasların "Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ" ile düzenlendiği hatırlatıldı.
Bu kapsamda veri sorumlularının, kişisel verileri işlemeye başlamadan önce ilgili kişileri veri sorumlusunun kimliği, verilerin işlenme amacı, aktarılabileceği kişi ve kurumlar, veri toplama yöntemi ile kişilerin sahip olduğu haklar konusunda açık ve anlaşılır şekilde bilgilendirmesi gerektiği vurgulandı.
KVKK, aydınlatma yükümlülüğünün yerine getirilmesinin ardından, gerekli durumlarda ilgili kişilerin reklam ve pazarlama faaliyetlerine yönelik açık rızalarının ayrıca alınmasının zorunlu olduğunu belirtti.
"Sessiz kalmak açık rıza anlamına gelmez"
Duyuruda uygulamada sıkça karşılaşılan bazı hatalı yöntemlere de dikkat çekildi.
Buna göre, bir kişinin kampanya aramasını sonuna kadar dinlemesi, telefon görüşmesini sonlandırmaması, ürün veya hizmet hakkında bilgi istemesi ya da gönderilen kısa mesaja ret cevabı vermemesi tek başına açık rıza olarak değerlendirilemeyecek.
KVKK, açık rızanın ancak belirli bir konuya ilişkin, önceden bilgilendirmeye dayanan ve kişinin özgür iradesiyle verdiği beyanla geçerli olacağını vurguladı.
Veri sorumlularına altı maddelik uyarı
Kurum, veri sorumlularının reklam ve pazarlama faaliyetlerinde kişisel veri işlerken dikkat etmesi gereken temel yükümlülükleri de sıraladı.
Buna göre;
Kişisel veriler doğrudan ilgili kişiden alınmamışsa aydınlatma yükümlülüğü süresi içinde ve usulüne uygun şekilde yerine getirilmeli.
İlgili kişiler veri işleme süreçleri hakkında açık, anlaşılır ve eksiksiz olarak bilgilendirilmeli.
Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmalı.
Sessiz kalma veya iletişimi sürdürme gibi davranışlar açık rıza yerine geçmemeli.
Aydınlatma yükümlülüğü ile açık rıza alma süreçleri birbirinden bağımsız şekilde yürütülmeli.
Reklam ve pazarlama faaliyetlerinin tamamı KVKK ve ilgili mevzuata uygun şekilde gerçekleştirilmeli.
Kurallara uymayanlara idari yaptırım uygulanabilecek
KVKK, kişisel verilerin işlenmesine ilişkin yükümlülükleri yerine getirmeyen veri sorumluları hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesi kapsamında idari yaptırım uygulanabileceğini hatırlattı.
Kurum, özellikle reklam ve pazarlama faaliyetlerinde kişisel veri kullanan şirketlerin, hem veri işleme süreçlerini hem de açık rıza ve aydınlatma uygulamalarını gözden geçirmeleri gerektiğine işaret ederek, kişilerin temel hak ve özgürlüklerinin korunmasının veri sorumlularının öncelikli yükümlülüğü olduğunu vurguladı.
