Kişisel Verilerin Korunması Mevzuatı ve Elektronik Ticaretin Düzenlenmesi ile İlgili Mevzuat (İzinli Pazarlama)

6563 sayılı Elektronik Ticaretin Düzenlenmesi Kanunu ve alt düzenlemeleri (yaygın kullanılan biçimi ile izinli pazarlama mevzuatı ile 6698 sayılı Kişisel Verilerin Korunması Hakkında kanun ve alt mevzuatı (KVK mevzuatı) özellikle müşteri verisi açısından uygulamada pek çok kesişme noktası olan iki düzenlemedir. bu nedenle bu konuda bir çok soru oluşmaktadır. bu yazıda bu soruları mümkün olduğunca kısa bir özetle yanıtlamaya çalışacağım.

6563 Sayılı Kanun önceden onay almak kaydı ile ticari elektronik ileti gönderilebileceği düzenlemesini getirmiş, 6698 sayılı Kanun ise getirilen istisnalar dışında kişisel verinin işlenmesi için veri sahibinin açık rızasının alınmasını gerekli kılmıştır. Bu durumda ticari elektronik ileti gönderebilmek için kişinin iletişim verilerinin kaydedilmesi gerekliliği her iki yasal düzenleme arasında çelişki olup olmadığı, varsa hangi düzenlemenin uygulanacağı sorununu ortaya çıkartmıştır.

6563 ve 6698 sayılı yasalar arasında çelişki var mı?

İki düzenleme arasında çelişkiden bahsedebilmek için her ikisinin de aynı konuda farklı düzenlemeler içermesi gerekir. İki kanun açısından çeliştiği iddia edilen düzenleme 6563 sayılı yasanın önceden onay almak kaydı ile alıcılara ticari elektronik ileti gönderilebileceği düzenlemesini getirmiş olması, 6698 sayılı yasanın ise kişisel verilerin açık rıza olmadan işlenemeyeceği düzenlemesini getirmiş olmasıdır. Dolayısıyla iki mevzuat aynı konuyu düzenlemediğinden tüm mevzuat açısından çelişki yoktur. sadece gerçek kişilerin iletişim adresleri işlenmeden ileti gönderilemeyeceği için bazı alanlarda çelişkiden bahsedilebilir.

E-posta adresi ve telefon numaraları kişisel veri midir?

6698 sayılı yasa tanımlar başlığı altında Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi kişisel veri olarak tanımlamıştır. Dolayısıyla gerçek kişilere ait olan ve ilgili gerçek kişinin belirlenebilir olduğu e posta adresleri ve telefon numaraları da kişisel veridir ve yasanın kapsamındadır. Tüzel kişilerin e posta adresleri veya telefonları kişisel veri değildir.

Gerçek kişinin e posta, telefon vb. bilgilerinin kaydedilmesi işleme sayılır mı?

6698 sayılı yasa tanımlar başlığı altında Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi işleme olarak kabul ettiğinden bu bilgilerin kaydedilmesi ve ileti gönderilmesi için kullanılması işleme kabul edilecektir.

Özetle iki düzenleme arasında gerçek kişilere ait iletişim bilgileri açısından bir çelişki vardır.

Çelişen düzenlemeler açısından hangi yasaya üstünlük tanınacak?

Aynı anda yürürlükte olan iki yasa arasında çelişki olması durumunda öncelikle konunun yasal metinler arasındaki alt üst ilişkisi (Normlar hiyerarşisi) kurallarına göre çözülecektir. Buna göre öncelikle çelişen metinlerin arasında bir hiyerarşik eşitlik olup olmadığının belirlenmesi gerekir. Somut olayda her iki metin de kanun seviyesinde olduklarından aralarında bir ast/üst ilişkisi olmadığı açıktır.

Bu durumda bakılacak ikinci husus özel kanun/genel kanun farklılığı olup olmadığıdır. Standart bir tanım olarak Toplumsal ilişkilerin geniş bir alanındaki bütün hukukî olayları düzenleyen kanun genel kanun, dar ve özel bir alanındaki belirli hukukî olayları düzenleyen kanun ise özel kanundur. Bu durumda her iki kanun da sadece dar bir alandaki sosyal ilişkileri (elektronik ticaret ve Kişisel verilerin işlenmesi) düzenlediklerinden her iki kanunun da özel kanunundur.

İkisi de özel kanun olan iki kanun arasında ana kural sonraki kanunun (lex postarior) önceki kanunu geçersiz kılması yani ilga etmesidir.

Bu durumda eğer iki yasanın arasında bir çelişki olduğu kabul edilirse sonraki kanun olan Kişisel Verilerin Korunması Kanunu’nun 6563 sayılı kanunun çelişen hükümlerini ilga ettiği kabul edilmelidir.

İzinli pazarlama mevzuatı gereği alınan izinler KVKK’nın getirdiği gereklilikleri karşılayacak mı?

Yukarıda açıklandığı gibi 6563 sayılı yasanın gerçek kişilerin verilerinin kaydedilmesi ve kullanılmasına ilişkin hükümlerinin 6698 sayılı yasa ile ortadan kalktığı kabul edildiğinde, gerçek kişilerin kişisel veri olan iletişim bilgilerinin ticari ileti gönderilmek üzere işlenebilmesi için bu işlemin KVKK mevzuatına uygun olarak yapılması gerektiği açıktır.

Bu durum birkaç açıdan incelenmelidir:

İzinli pazarlama mevzuatı kapsamında alınan ticari ileti gönderme izinleri açık rıza sayılır mı?

KVKK mevzuatı tanımlar başlığı altında belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı açık rıza olarak tanımlamıştır. Madde metninden rızanı verinin işlenmesine ilişkin olması gerektiği anlaşılmaktadır. Dolayısıyla izinli pazarlama mevzuatı kapsamında alınan rızalar verinin işlenmesine değil e-posta gönderilmesine ilişkin olduğundan ve yasa henüz yokken alınmış oldukları için bu konuda bilgilendirmeye dayanarak alındıkları da kabul edilemez.

Ticari ileti gönderilmesinin KVKK mevzuatındaki istisnalardan birisine girip girmediği

6698 sayılı yasa 5/2. Maddesi ile aşağıdaki istisnai durumlarda açık rıza alınmaksızın kişisel verilerin işlenebileceği düzenlemesini getirmiştir:

• c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
• ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
• e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.

Bu bentler açısından her bir olayın özelinde karar vermek gerekecektir. Örneğin belirli bir süre boyunca müşterisine düzenli olarak teslimat yapması gereken bir satıcı, sözleşme ile her bir teslimatta dağıtım bilgilerini sms ile gönderme yükümlülüğü üstlenmiş ise müşterinin cep telefonu numarasını c ve ç bentleri gereği işleyebilecektir. Aynı şekilde her girişte sms ile kimlik doğrulaması yapılan bir sistemi işleten tacirin müşterisine ait cep telefonunu da işleyebileceği veya sözleşme gereği müşterilerine e posta ile içerik sağlayan bir tacirin müşteri e postalarını işleyebileceği kabul edilebilir. Ancak, burada dikkat edilmesi gereken husus yasanın işlendiği amaçla bağlantılı, sınırlı ve ölçülü olma ve gerekli süre için muhafaza edilme yönündeki genel ilkeleri her yorumda göz önünde bulundurulmalı, veri sahibi lehine ve dar yorum yapılmaya dikkat edilmelidir. Özellikle “müşteriye daha hızlı hizmet sunmak için verileri işliyoruz”, “yeni ürün ve hizmetler konusunda bilgilendirme yapılması müşterinin sözleşmesinin daha iyi ifa edilmesi için zorunlu” gibi geniş yorumların her ne kadar kurulun bu konudaki bakış açısın henüz belli değilse de riskli kabuller olacağı açıktır. Bu konuda özellikle Avrupa Birliği’nin yolcu uçuş bilgileri (PNR) verisi paylaşımı ile ilgili tartışma ve kararları sınırlılık ve ölçülülük konusunda mevzuatı almış olduğumuz ve uyumluluk çalışmaları yürüttüğümüz Avrupa Birliği’nin konuya bakış açısını göstermesi açısından önemlidir. Bu konuda detaylı bilgiye http://ec.europa.eu/justice/data-protection/international-transfers/pnr-tftp/pnr-and-tftp_en.htm bağlantısından ulaşılabilir.

KVKK mevzuatının geçiş hükümleri kapsamında izinli pazarlama mevzuatı uyarınca alınan ticari ileti gönderme izinlerinin geçerli olup olmadığı

6563 Sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun 6. Maddesi ile “Ticari elektronik iletiler, alıcılara ancak önceden onayları alınmak kaydıyla gönderilebilir. Bu onay, yazılı olarak veya her türlü elektronik iletişim araçlarıyla alınabilir. “ düzenlemesini getirmiştir.

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun Geçiş Hükümleri başlıklı 31. Maddesi altındaki Geçici madde 1/3 fıkrasında “Bu Kanunun yayımı tarihinden önce işlenmiş olan kişisel veriler, yayımı tarihinden itibaren iki yıl içinde bu Kanun hükümlerine uygun hâle getirilir. Bu Kanun hükümlerine aykırı olduğu tespit edilen kişisel veriler derhâl silinir, yok edilir veya anonim hâle getirilir. Ancak bu Kanunun yayımı tarihinden önce hukuka uygun olarak alınmış rızalar, bir yıl içinde aksine bir irade beyanında bulunulmaması hâlinde, bu Kanuna uygun kabul edilir.” Düzenlemesi getirilmiştir.

Yukarıdaki maddeler ışığında, gerçek ve tüzel kişilerce 6563 sayılı kanun ile getirilen düzenlemeye uygun olarak alınmış olan rızalar sadece ilgili iletişim kanalıyla ticari ileti gönderilebilmesi için zorunlu olan veriler açısından kanunun yayım tarihinden önce hukuka uygun olarak alınmış rıza olarak kabul edilmelidir ve geçici madde 1/3 fıkrası gereğince bir yıl içerisinde aksine bir irade beyanında bulunulmaması durumunda kanuna uygun kabul edilmelidir.

Bu yazı ilk olarak 9 Nisan 2019 tarihinde LinkedIn’de yayımlanmıştır: Kişisel Verilerin Korunması Mevzuatı ve Elektronik Ticaretin Düzenlenmesi ile İlgili Mevzuat (İzinli Pazarlama)