KVKK, üçüncü kişilerden elde edilen verilerin reklam amaçlı kullanımına ilişkin duyuru yayımladı

Kişisel Verileri Koruma Kurumu (KVKK), üçüncü kişilerden elde edilen kişisel verilerin reklam ve pazarlama amaçlı kullanılmasının Kişisel Verilerin Korunması Kanunu'na aykırı olarak yapılamayacağı, aksi hallerde ilgililere idari yaptırım uygulanabileceğini bildirdi.

KVKK, Üçüncü Kişilerden Elde Edilen Kişisel Verilerin Reklam ve Pazarlama Amaçlı Kullanılmasına İlişkin Kamuoyu Duyurusu'nu kurumun internet sitesinde ilan etti.

Duyuruda, çeşitli sektörlerde faaliyet gösteren veri sorumlularının, müşterilerinden veya üçüncü kişilerden temin ettikleri iletişim bilgilerini reklam ve pazarlama amacıyla kullandıklarına ilişkin kuruma çeşitli ihbar ve şikayetlerde bulunulduğu belirtildi.

Kişisel verilerin üçüncü kişilerden elde edilmiş olmasının, veri sorumlularına bu verileri reklam ve pazarlama amacıyla işleme konusunda doğrudan bir hukuki dayanak sağlamadığı vurgulanan duyuruda, söz konusu faaliyetlerin 6698 sayılı Kişisel Verilerin Korunması Kanunu'na uygun şekilde yapılması gerektiğine işaret edildi.

6698 sayılı Kanun'un amacının, kişisel verilerin işlenmesinde kişilerin temel hak ve özgürlüklerini korumak ve kişisel veri işleyen gerçek ve tüzel kişilerin uyması gereken usul ve esasları düzenlemek olduğu kaydedilen duyuruda, şunlara yer verildi:

"Kanun uyarınca kişisel veriler, kural olarak ilgili kişinin açık rızası olmaksızın işlenememektir ancak Kanun'un 5. maddesinde sayılan hukuki işleme şartlarından birinin bulunması halinde ilgili kişinin açık rızası aranmaksızın da kişisel veri işlenmesi mümkündür. Bu açıdan reklam ve pazarlama faaliyetleri bakımından kişisel veri işleme şartının her somut olay özelinde ayrıca değerlendirilmesi gerektiği unutulmamalıdır.

Öte yandan, Kanun'un 10. maddesi uyarınca veri sorumluları, kişisel verilerin elde edilmesi sırasında ilgili kişileri; veri sorumlusunun kimliği, kişisel verilerin işlenme amacı, işlenen kişisel verilerin aktarılabileceği kişiler ve amaçlar, kişisel veri toplamanın yöntemi ve hukuki sebebi ile ilgili kişinin Kanun kapsamındaki hakları hakkında bilgilendirmekle yükümlüdür."

"Öncelikle aydınlatma yükümlülüğünü yerine getirmeli, ardından açık rıza alınmalı"

KVKK'nin duyurusunda, kişisel verilerin doğrudan ilgili kişiden elde edilmediği durumlarda uygulanacak usul ve esasların Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'de düzenlendiği ifade edildi.

Tebliğ'deki düzenlemelere rağmen üçüncü kişilerden temin edilen iletişim bilgileriyle çağrı merkezleri aracılığıyla doğrudan pazarlama aramaları yapıldığı aktarılan duyuruda, "Veri sorumluları, öncelikle aydınlatma yükümlülüğünü yerine getirmeli, ardından gerekli hallerde ilgili kişinin açık rızasını ayrı bir irade açıklamasıyla almalıdır." ifadeleri kullanıldı.

Kişisel veri işleme faaliyetlerinin hukuka uygun yürütülebilmesinin zorunlu olduğuna işaret edilen duyuruda, şu 6 madde ile uyarılar sıralandı:

"- Kişisel verilerin doğrudan ilgili kişiden temin edilemediği durumlarda, Tebliğ'in 6. maddesi uyarınca aydınlatma yükümlülüğünün süresinde ve usulüne uygun şekilde yerine getirilmesi,

- İlgili kişilerin kişisel verilerinin işlenme süreçleri hakkında açık, anlaşılır ve eksiksiz biçimde bilgilendirilmesi,

- Açık rızaya dayalı kişisel veri işleme faaliyetlerinde; açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış olması,

- İlgili kişilerin kampanyayı dinlemeye devam etmesi, görüşmeyi sonlandırmaması, bilgi almak istemesi veya SMS’e ret cevabı vermemesi gibi davranışlarının tek başına geçerli bir açık rıza olarak değerlendirilmemesi,

- Tebliğ hükümleri doğrultusunda, aydınlatma yükümlülüğü ile açık rıza alma süreçlerinin birbirinden bağımsız şekilde yürütülmesi,

- Reklam ve pazarlama faaliyetleri kapsamında gerçekleştirilen tüm kişisel veri işleme süreçlerinde, Kanun ve ilgili mevzuat hükümlerine uygun hareket edilmesi ve ilgili kişilerin temel hak ve özgürlüklerinin gözetilmesi gerekmektedir."

KVKK'nin duyurusunda, Kanun'da öngörülen yükümlülüklere aykırı hareket ettiği saptanan veri sorumluları hakkında 6698 sayılı Kanun'un 18. maddesi kapsamında idari yaptırım uygulanabileceği belirtildi.