Kişisel Verileri Koruma Kurumu, veri sorumlularının üçüncü kişilerden temin ettikleri iletişim bilgilerini reklam ve pazarlama amacıyla kullanmasına ilişkin bir kamuoyu duyurusu yayımlamıştır. Kuruma, veri sorumlularının referans, tavsiye veya müşteri önerisi gibi yollarla üçüncü kişilerden elde ettikleri telefon ve e-posta gibi iletişim bilgilerini; aydınlatma yapmadan ve açık rıza almadan arama ile SMS yoluyla doğrudan pazarlamada kullandığına dair çok sayıda şikâyet ulaşmış, Kurul’un incelemeleri de bu uygulamayı doğrulamıştır.

Duyuruda öncelikle, kişisel verinin üçüncü kişilerden elde edilmiş olmasının, veri sorumlusuna bu verileri işleme konusunda tek başına bir hukuki dayanak sağlamadığı vurgulanmıştır. 6698 sayılı Kanun uyarınca kişisel veriler kural olarak ilgili kişinin açık rızası olmaksızın işlenemez; ancak Kanun’un 5. maddesinde sayılan işleme şartlarından birinin bulunması hâlinde açık rıza aranmaksızın da işleme mümkündür. Bu nedenle reklam ve pazarlama faaliyetleri bakımından işleme şartının her somut olay özelinde ayrıca değerlendirilmesi gerektiğine işaret edilmiştir.

Kurul, verinin doğrudan ilgili kişiden temin edilemediği durumlarda dahi aydınlatma yükümlülüğünün ortadan kalkmadığını hatırlatmıştır. İlgili tebliğ uyarınca, verinin elde edilmesinden itibaren makul süre içinde, ilgili kişiyle ilk iletişim ya da ilk aktarım anında aydınlatma yapılması gerekmektedir. Buna rağmen uygulamada, çağrı merkezleri aracılığıyla gerçekleştirilen doğrudan pazarlama aramalarında ilgili kişilere gerekli aydınlatmanın yapılmadığı ve kişilerin herhangi bir aydınlatma metnine yönlendirilmediği tespit edilmiştir.

Duyurunun öne çıkan bir diğer başlığı ise açık rızanın niteliğidir. Kurul, kişinin görüşmeyi sonlandırmaması, kampanyayı dinlemeye devam etmesi, bilgi almak istemesi ya da SMS’e ret cevabı vermemesi gibi zımni davranışların tek başına geçerli bir açık rıza olarak değerlendirilemeyeceğini belirtmiştir. Kanun’a göre açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış olmalıdır. Ayrıca aydınlatma yükümlülüğü ile açık rıza alınması birbirinden bağımsız süreçlerdir; önce aydınlatma yapılmalı, ardından ayrı bir irade beyanıyla açık rıza alınmalıdır.

Kurum, bu çerçevede veri sorumlularından aydınlatma yükümlülüğünü süresinde ve usulüne uygun yerine getirmelerini, açık rızayı geçerli ve ayrı bir şekilde almalarını, zımni davranışları rıza saymamalarını ve tüm işleme süreçlerinde ilgili kişilerin temel hak ve özgürlüklerini gözetmelerini istemiştir. Yükümlülüklere aykırı hareket ettiği tespit edilen veri sorumluları hakkında 6698 sayılı Kanun’un 18. maddesi kapsamında idari yaptırım uygulanabileceği kamuoyuna duyurulmuştur.