İzinsiz SMS ve Pazarlama Aramaları (2026/1183 Sayılı KVKK Kararı)

Üçüncü kişilere ait iletişim bilgilerinin reklam ve pazarlama amacıyla kullanılmasına ilişkin 2026/1183 sayılı Kişisel Verileri Koruma Kurulu kararı ve 21.07.2026 tarihli kamuoyu duyurusu

Bir müşterinin veya „marka elçisinin“ arkadaşına ait telefon numarasını şirkete vermesi, şirketin bu kişiyi araması ya da kendisine reklam SMS’i göndermesi için tek başına hukuki dayanak oluşturmaz. İlk aramada kişinin kampanyayı dinlemesi, soru sorması veya görüşmeyi sonlandırmaması da geçerli açık rıza sayılmaz.

İzinsiz SMS ve pazarlama aramaları, yalnızca ticari elektronik ileti mevzuatı bakımından değil, telefon numarasının elde edilmesi ve kullanılması nedeniyle 6698 sayılı Kişisel Verilerin Korunması Kanunu („KVKK“) bakımından da yaptırım riski doğurur. Kişisel Verileri Koruma Kurulu („Kurul“), 10.06.2026 tarihli ve 2026/1183 sayılı kararında, bir tasarruf finansman şirketinin „marka elçiliği“ programı kapsamında müşterileri aracılığıyla elde ettiği üçüncü kişilere ait telefon numaralarını reklam ve pazarlama amacıyla kullanmasını değerlendirdi. Kurul üç tespitte bulundu: Telefon numarası geçerli bir veri işleme şartı olmaksızın kaydedilmişti. Şirket bu numara üzerinden pazarlama araması yapmış ve SMS göndermişti. Görüşmenin sürdürülmesi ise geçerli açık rıza sayılmadı. Sonuçta Kurul şirkete 1.000.000 TL idari para cezası uyguladı.

Karardan yaklaşık altı hafta sonra yayımlanan 21.07.2026 tarihli kamuoyu duyurusu ise aynı yaklaşımı yalnızca marka elçiliği programlarıyla sınırlı bırakmadı; referans, tavsiye, tanıdık yönlendirmesi ve müşteri önerisi gibi yöntemlerle üçüncü kişilerden elde edilen iletişim bilgilerinin tüm sektörlerdeki kullanımına ilişkin genel bir uyarı ortaya koydu.

Bu yazıda şu başlıkları ele alıyoruz:

• 2026/1183 sayılı KVKK kararına konu marka elçiliği modelini,
• izinsiz SMS ve pazarlama aramalarında geçerli açık rıza ölçütlerini,
• üçüncü kişilerden elde edilen iletişim verilerinde aydınlatmanın zamanını,
• İleti Yönetim Sistemi (İYS) onayı ile KVKK işleme şartı arasındaki farkı ve
• müşteri tavsiye programları için uygulanabilir uyum adımlarını

2026/1183 Sayılı KVKK Kararına Konu Olay Neydi?

Tasarruf finansman şirketinin müşterileri, mobil uygulama üzerinden tasarruf finansmanı sistemi hakkında bilgi almak isteyebilecek tanıdıklarının telefon numaralarını şirkete iletiyor; bu yönlendirme karşılığında „marka elçilerine“ prim ödeniyordu. Şikâyetçinin telefon numarası da bu yolla şirket sistemine kaydedilmiş, ardından kendisi çağrı merkezi tarafından aranmış ve kampanya içerikli bir SMS almıştı.

Şirket savunmasında, ilk aramada aydınlatma yapıldığını ve ilgili kişinin bilgi almaya devam etmek istediğini belirterek açık rıza verdiğini; kişinin görüşme sırasında kampanyaya ilişkin sorular sorduğunu; SMS’te kolay bir ret imkânı bulunduğunu; başvuru üzerine verilerin silindiğini ve gönderimlerin durdurulduğunu ileri sürdü.

Kurul ise ses kaydını farklı değerlendirdi. Karar özetine göre telefon numarası, ilgili kişiyle temas kurulmadan önce üçüncü bir kişi tarafından sisteme kaydedilmişti. İlk aramada kişi aydınlatılmamış veya bir aydınlatma kanalına yönlendirilmemiş; buna karşılık kampanya tanıtımına devam edilmişti. İlgili kişinin konuşmayı sürdürmesi ve tanıtıma ilgi göstermesi, kişisel verilerinin işlenmesine yönelik açık bir irade açıklaması değil, en fazla kampanya içeriğine yönelik zımni bir ilgi olarak kabul edildi. Ayrıca görüşmenin kaydedildiği konusunda da ilgili kişiye bilgi verilmemişti.

İzinsiz SMS ve Pazarlama Aramalarında Kurulun Reddettiği Savunmalar

Veri sorumlusunun savunması	Kurul yaklaşımı
„Numarayı müşterimiz verdi; kişi bilgi almak istiyordu.“	Üçüncü kişinin beyanı, ilgili kişi adına geçerli bir veri işleme şartı veya açık rıza yaratmaz.
„Kişi görüşmeyi sürdürdü ve sorular sordu.“	Kampanyaya ilgi göstermek veya konuşmayı sonlandırmamak, kişisel verilerin işlenmesine ilişkin belirli ve bilgilendirilmiş bir açık rıza değildir.
„SMS’te iptal seçeneği vardı.“	Ret imkânı, başlangıçtaki hukuka uygunluk şartının yerine geçmez. Sonradan ret imkânı (opt-out), baştan alınması gereken onayı (opt-in) geriye dönük olarak oluşturmaz.
„Başvurudan sonra kaydı sildik ve gönderimleri durdurduk.“	Sonradan silme ve engelleme doğru bir iyileştirme adımıdır; ancak geçmişte hukuki dayanak olmaksızın yapılan işlemeyi ortadan kaldırmaz.

 

Üçüncü Kişilerden Elde Edilen Verilere İlişkin Duyuru Kararı Nasıl Tamamlıyor?

Karar 10.06.2026 tarihli, kamuoyu duyurusu ise 21.07.2026 tarihlidir. Bu kronoloji, duyurunun münferit karardaki yaklaşımı genelleştirdiğini göstermektedir. Kişisel Verileri Koruma Kurumu duyuruda açıkça belirtmiştir: Telefon numarası, e-posta adresi ve benzeri iletişim bilgilerinin referans, tavsiye, marka elçiliği, tanıdık yönlendirmesi veya müşteri önerisi yoluyla üçüncü kişilerden alınması, veri sorumlusuna reklam ve pazarlama amacıyla doğrudan bir işleme yetkisi vermez.

Bununla birlikte, Kurul reklam ve pazarlama amaçlı her veri işlemenin istisnasız biçimde açık rızaya dayanacağını söylememektedir. KVKK’daki diğer işleme şartlarından birinin bulunup bulunmadığı her somut olayda ayrıca değerlendirilmelidir. Bazı modellerde ise ilgili kişiyle önceden bir ilişki yoktur; kişi şirkete başvurmamıştır ve iletişim bilgisini yalnızca ödüllendirilen bir yönlendiren sisteme girmiştir. Bu tür soğuk müşteri kazanımı modellerinde „meşru menfaat“ başta olmak üzere açık rıza dışındaki hukuki sebeplere dayanmak önemli risk taşır. Nitekim Kurul somut olayda geçerli herhangi bir işleme şartı bulunmadığı sonucuna varmıştır.

Önemli ayrım: Aydınlatma yükümlülüğüne ilişkin Tebliğ’in üçüncü kişilerden elde edilen veriler için „ilk iletişim sırasında aydınlatma“ yapılabileceğini düzenlemesi, ilk iletişimi kendiliğinden hukuka uygun hale getirmez. Bu hüküm aydınlatmanın zamanını belirler; telefon numarasının kaydedilmesi ve iletişim kurulması için gerekli hukuki sebebi yaratmaz.

İzinsiz SMS ve Aramalar Bakımından Karardan Çıkan Altı Sonuç

Kişisel veri işleme, ilk aramadan önce başlar

Telefon numarasının marka elçisi tarafından şirketin uygulamasına girilmesi ve şirket sistemine kaydedilmesi başlı başına bir kişisel veri işleme faaliyetidir. Bu nedenle şirketin „önce arayalım, görüşme sırasında rıza alırız“ yaklaşımı, numaranın daha önce kaydedilmesi ve ilk aramanın yapılması aşamalarındaki hukuki dayanak eksikliğini geriye dönük olarak gidermez.

Aydınlatma, veri işleme şartının yerine geçmez

Aydınlatma yükümlülüğü ile kişisel veri işleme şartı iki ayrı hukuki gerekliliktir. İlgili kişiye eksiksiz bir aydınlatma metni sunulması dahi, KVKK’da öngörülen bir işleme şartı yoksa veri işlemeyi hukuka uygun hale getirmez. Kurulun bu nedenle aydınlatma yükümlülüğü yönünden ayrıca işlem tesis etmemesi dikkat çekicidir: temel ihlal, verinin baştan itibaren geçerli bir işleme şartı olmaksızın işlenmesidir.

Açık rıza aktif, belirli ve bilgilendirilmiş bir irade beyanı olmalıdır

Kampanyayı dinlemek, soru sormak, görüşmeyi kapatmamak veya ret seçeneğini kullanmamak kişisel verilerin işlenmesine açık rıza verildiği anlamına gelmez. Geçerli açık rıza; hangi verinin, hangi amaçlarla ve hangi sonuçlarla işleneceği konusunda önceden bilgilendirilmiş kişinin, bu işleme faaliyetine özgü ve tereddüde yer bırakmayan olumlu irade açıklamasını gerektirir. Aydınlatma ile açık rıza alma işlemleri de birbirinden ayrı yürütülmelidir.

Ret imkânı, başlangıçtaki hukuka aykırılığı düzeltmez

SMS’te iptal bağlantısı veya ret kodu bulunması ve kişinin kolayca iletişimi durdurabilmesi önemlidir; fakat bunlar yalnızca sonraki gönderimlerin yönetilmesine yarar. Hukuka uygun bir başlangıç şartı bulunmadan gerçekleştirilen pazarlama aramasını veya SMS gönderimini meşrulaştırmaz. Başka bir ifadeyle, opt-out mekanizması gerekli olduğu yerde opt-in’in yerine geçmez.

Çağrı kaydı ayrı bir veri işleme faaliyetidir

Pazarlama görüşmesinin kaydedilmesi, telefon numarasının kullanılması ve kampanya mesajı gönderilmesinden ayrı olarak değerlendirilmesi gereken bir veri işleme faaliyetidir. Kayıt amacı, hukuki sebep, saklama süresi ve erişim/aktarım bilgileri aydınlatmada açıkça yer almalı; ses kaydı bakımından ayrıca uygun bir işleme şartı bulunmalıdır.

Tek bir şikâyet, programın tamamını gündeme getirebilir

Kurul, şikâyetçinin verileri bakımından yaptığı değerlendirmenin marka elçiliği programı kapsamında aynı yöntemle işlenen diğer gerçek kişilerin verileri yönünden de geçerli olduğunu belirtti. Bu yaklaşım, münferit bir çağrı merkezi hatasının ötesinde program tasarımının incelendiğini göstermektedir. Teşvik ödemesi yapılması tek başına hukuka aykırılık oluşturmasa da, şirketin veri toplama amacını ve yöntemini sistematik biçimde belirlediğini ortaya koyarak veri sorumlusu sıfatını ve kurumsal riski belirginleştirir.

Marka Elçiliği ve Müşteri Tavsiye Programları Tamamen Yasak mı?

Hayır. Karar özetindeki bazı ifadeler tek başına okunduğunda kişisel verilerin kural olarak doğrudan ilgili kişiden elde edilmesi gerektiği izlenimini yaratabilir. Ancak Tebliğ ve 21.07.2026 tarihli duyuru birlikte değerlendirildiğinde, üçüncü kişilerden veri elde edilmesi mutlak olarak yasak değildir. Esas olan; verinin elde edildiği anda geçerli bir işleme şartının bulunması, KVKK’nın genel ilkelerine uyulması ve aydınlatmanın Tebliğ’deki süre ve yöntemlere uygun biçimde yapılmasıdır.

Bununla birlikte şirketlerin, üçüncü kişi kaynaklı verileri sırf pazarlama amacıyla kullanırken hukuki sebebi sonradan yaratabileceklerini varsaymamaları gerekir. Özellikle kişinin kendisinin herhangi bir talepte bulunmadığı referans ve tavsiye modellerinde en güvenli tasarım şudur: Yönlendiren kişiye paylaşabileceği bir bağlantı veya kod verilir; ilgili kişi şirket sistemine kendi iradesiyle kayıt olur.

İYS Onayı KVKK Açısından Yeterli mi?

KVKK kapsamındaki kişisel veri işleme şartı ile elektronik ticaret mevzuatı kapsamındaki ticari elektronik ileti onayı birbirinden bağımsızdır. İYS’de onay bulunması, telefon numarasının KVKK’ya uygun elde edildiğini tek başına göstermez; KVKK bakımından bir işleme şartının bulunması da ticari elektronik ileti onayı gerekliliğini ortadan kaldırmaz.

Ticari elektronik ileti mevzuatı uyarınca alıcının elektronik iletişim adresine ticari elektronik ileti gönderilerek onay talep edilemez. Dolayısıyla pazarlama içerikli bir ilk aramayı yalnızca onay alma aracı olarak kullanmak da ayrıca risklidir. Tacir ve esnaf alıcılar için ticari elektronik ileti bakımından öngörülen önceden onay istisnası ise gerçek kişiye ait kurumsal e-posta adresi veya telefon numarasının KVKK kapsamındaki kişisel veri niteliğini ortadan kaldırmaz.

KVKK’nın işleme şartları, veri sorumlusu yükümlülükleri, VERBİS ve yurt dışına veri aktarımı hakkında daha ayrıntılı bilgi için Türkiye’de kişisel verilerin korunması hukuku (KVKK) rehberimizi inceleyebilirsiniz.

Marka Elçiliği Programları KVKK’ya Nasıl Uyumlu Hale Getirilir?

• Yönlendirme modelini yeniden tasarlayın: Müşterilerin üçüncü kişilere ait telefon veya e-posta bilgilerini sisteme girmesi yerine, ilgili kişinin kendi iradesiyle kullanacağı bağlantı, davet kodu veya başvuru formu kullanın.
• Teşviki ham iletişim bilgisine bağlamayın: Primi, üçüncü kişiye ait iletişim bilgisinin paylaşılmasına değil; yönlendirilen kişinin kendi iradesiyle kayıt olmasına veya hukuka uygun biçimde tanımlanan sonraki bir aşamaya bağlayın.
• Hukuki sebebi veriyi almadan önce belirleyin: müşteri yönetim sistemi (CRM) kaydı, ilk arama, SMS, e-posta, profilleme ve çağrı kaydı dâhil her işleme adımı için KVKK kapsamındaki işleme şartını ayrı ayrı belgeleyin.
• Aydınlatma ile açık rızayı ayırın: Aydınlatmayı önceden, açık ve anlaşılır biçimde yapın; açık rızaya dayanılacaksa ayrıca aktif ve ispatlanabilir bir olumlu beyan alın. Sessizlik, görüşmenin sürmesi veya ret verilmemesi üzerine sistem kurmayın.
• Çağrı merkezi metinlerini ve kayıtlarını gözden geçirin: İlk temas senaryosu, pazarlama içeriği, kayıt bildirimi, ret talepleri ve aydınlatma yönlendirmeleri için standart metinler oluşturun; fiili uygulamayı örneklem yoluyla denetleyin.
• KVKK ve İYS kayıtlarını birlikte yönetin: Kanal bazında ticari ileti onayı/ret durumu ile KVKK kapsamındaki hukuki sebep ve aydınlatma kayıtlarını birbirinden ayırarak, fakat koordineli biçimde yönetin.
• Mevcut listeleri geriye dönük inceleyin: Kaynağı, elde edilme tarihi, hukuki sebebi veya aydınlatma/onay kaydı belirlenemeyen üçüncü kişi listelerini pazarlama kullanımından çıkarın; saklama ve silme süreçlerini uygulayın.
• İlgili kişi başvurularını süresinde yanıtlayın: Kararda şirketin başvuruyu 30 gün içinde yanıtladığı tespit edildiğinden bu başlıkta yaptırım uygulanmadı. Başvuru yönetimi, esas veri işleme ihlalinden bağımsız bir uyum alanıdır.

İzinsiz SMS ve Marka Elçiliği Programları Hakkında Sık Sorulan Sorular

Müşterinin arkadaşına ait telefon numarasını şirkete vermesi hukuka uygun mu?

Telefon numarasının bir müşteri tarafından paylaşılması, şirkete bu kişiyi reklam ve pazarlama amacıyla arama veya SMS gönderme yetkisi vermez. Şirket, numarayı kendi sistemine kaydetmeden ve kullanmadan önce KVKK’da öngörülen geçerli bir işleme şartına dayanabilmelidir.

İlk telefon görüşmesinde açık rıza alınabilir mi?

Usulüne uygun aydınlatmadan sonra alınan açık rıza, ancak sonraki veri işleme faaliyetleri bakımından sonuç doğurabilir. Telefon numarasının daha önce kaydedilmesini ve ilk aramanın yapılmasını geriye dönük olarak hukuka uygun hale getirmez. Ayrıca ticari elektronik ileti gönderilerek yalnızca ticari ileti onayı talep edilmesi mümkün değildir.

Kişinin görüşmeyi sürdürmesi veya soru sorması açık rıza sayılır mı?

Hayır. Kurula göre kampanyayı dinlemek, soru sormak, görüşmeyi sonlandırmamak veya ret seçeneğini kullanmamak; belirli, bilgilendirilmiş ve özgür iradeyle açıklanmış bir açık rıza değildir.

İYS’de ticari elektronik ileti onayı bulunması KVKK bakımından yeterli mi?

Hayır. İYS ve ticari elektronik ileti onayı ile KVKK kapsamındaki kişisel veri işleme şartı farklı hukuki gerekliliklerdir. Her iki mevzuat bakımından uyumun ayrı ayrı sağlanması gerekir.

İzinsiz SMS göndermenin KVKK cezası ne kadar?

İdari para cezası her somut olayın özelliklerine göre belirlenir; sabit bir tutar değildir. Kurul, 2026/1183 sayılı kararda veri sorumlusuna 1.000.000 TL idari para cezası uygulamıştır.

Kişisel veri üçüncü bir kişiden alınmışsa aydınlatma ne zaman yapılmalı?

Aydınlatma, verinin elde edilmesinden itibaren makul süre içinde; veri iletişim amacıyla kullanılacaksa ilk iletişim sırasında; veri aktarılacaksa en geç ilk aktarım sırasında yapılmalıdır. Ancak bu süreler, verinin elde edilmesi ve ilk temas için gerekli hukuki sebebin yerine geçmez.

Sonuç

2026/1183 sayılı karar ve 21.07.2026 tarihli duyuru birlikte değerlendirildiğinde Kurulun mesajı nettir: referans, tavsiye veya marka elçiliği modeli, kişisel verilerin reklam ve pazarlama amacıyla serbestçe kullanılabildiği bir alan değildir. Üçüncü kişinin iletişim bilgisini paylaşan kişinin beyanı ilgili kişinin rızası yerine geçmez; ilk görüşmedeki ilgi veya sessizlik de geçmişteki veri işlemeyi hukuka uygun hale getirmez.

Şirketler açısından doğru yaklaşım, rızayı ilk temasta „tamamlamaya“ çalışmak değil; veri akışını en baştan ilgili kişinin kontrolünde olacak şekilde tasarlamaktır. Bir tavsiye programının ticari açıdan etkili olması ile KVKK’ya uyumlu olması arasında zorunlu bir çatışma yoktur. Ancak bunun için veri kaynağı, hukuki sebep, aydınlatma, ticari ileti onayı, çağrı kaydı ve silme süreçlerinin tek bir uçtan uca uyum modeli içinde ele alınması gerekir.

Yazar: Müge Şengönül