Kişisel Veri Kullanımında Yeni Dönem: Hukuka Aykırı Aramalara Ceza Geliyor
Kişisel Verileri Koruma Kurumu (KVKK), günümüzde giderek artan veri odaklı pazarlama faaliyetlerine yönelik önemli bir açıklama yaparak, üçüncü şahıslardan temin edilen iletişim bilgilerinin izinsiz ve rastgele reklam ya da pazarlama amaçlı kullanımının hukuki sınırları aştığını vurguladı. Kurum, bu tür faaliyetlerde bulunan veri sorumluları için idari yaptırımların kapısını araladı. Özellikle çağrı merkezleri aracılığıyla yapılan ve kişilerin rızası alınmadan gerçekleştirilen pazarlama aramalarının mercek altına alındığı bu yeni düzenleme ile birlikte, veri güvenliği ve kişisel hakların korunması konusunda önemli adımlar atılması hedefleniyor.
KVKK'nin yayımladığı duyuruya göre, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun temel gayesi, kişisel verilerin işlenmesi süreçlerinde bireylerin temel hak ve özgürlüklerini güvence altına almak ve bu süreçlere dahil olan tüm gerçek ve tüzel kişilerin uyması gereken kuralları net bir şekilde belirlemektir. Kanun'un 10. maddesi gereğince, veri sorumluları, kişisel verileri elde ettikleri anda ilgili kişileri detaylı bir şekilde bilgilendirmekle yükümlüdür. Bu bilgilendirme; veri sorumlusunun kimlik bilgileri, kişisel verilerin hangi amaçlarla işleneceği, işlenen verilerin kimlerle ve hangi amaçlarla paylaşılabileceği, kişisel veri toplamanın yasal dayanağı ve yöntemi ile ilgili kişinin Kanun çerçevesindeki hakları gibi kritik unsurları kapsamalıdır.
Kurum, aydınlatma yükümlülüğünün yerine getirilmesinin ardından, kişisel verilerin işlenmesi için ilgili kişiden açık rızanın alınması gerekliliğini bir kez daha hatırlattı. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'de belirtilen usullere rağmen, üçüncü şahıslardan elde edilen iletişim bilgileri üzerinden gerçekleştirilen pazarlama faaliyetlerinin hukuka aykırı olduğuna dikkat çekildi. Duyuruda, "Veri sorumluları, öncelikle aydınlatma yükümlülüğünü yerine getirmeli, ardından gerekli hallerde ilgili kişinin açık rızasını ayrı bir irade açıklamasıyla almalıdır." denilerek, bu iki adımın birbirini takip etmesi ve net bir şekilde ayrılması gerektiği vurgulandı. Kişisel veri işleme faaliyetlerinin her aşamasında hukuka uygunluğun sağlanmasının zorunlu olduğu belirtildi.
KVKK, kişisel verilerin hukuka aykırı kullanımına karşı alınması gereken önlemleri altı ana başlık altında topladı. Buna göre, kişisel verilerin doğrudan ilgili şahıstan alınamadığı durumlarda, tebliğdeki usullere uygun olarak aydınlatma yükümlülüğünün zamanında ve doğru bir şekilde yerine getirilmesi esastır. İlgili kişilerin, verilerinin nasıl işlendiği konusunda açık, anlaşılır ve tam bir bilgilendirmeye sahip olması gerekmektedir. Açık rızaya dayalı veri işleme süreçlerinde ise, rızanın belirli bir konuya odaklanmış, tam bir bilgilendirmeye dayanan ve özgür iradeyle verilmiş olması şartı aranmaktadır. Ayrıca, bir kişinin pazarlama görüşmesini sonlandırmaması, kampanya hakkında bilgi istemesi veya SMS'e olumsuz yanıt vermemesi gibi eylemlerin tek başına geçerli bir açık rıza olarak kabul edilmeyeceği belirtildi. Aydınlatma yükümlülüğü ile açık rıza alma süreçlerinin, tebliğ hükümlerine uygun olarak birbirinden bağımsız ve ayrı adımlar halinde yürütülmesi gerektiği önemle vurgulandı. Bu kurallara uymayan veri sorumluları hakkında, 6698 sayılı Kanun'un ilgili maddeleri uyarınca ciddi idari yaptırımlar uygulanabileceği ifade edildi.
