KVKK 2021/361 Kararı Bankanın Mobil Uygulamalardan Rıza Dışı Tanıtım İletileri Göndermesi
Karar Tarihi: 13/04/2021 · Karar No: 2021/361 · Konu: Bankanın mobil uygulamalar üzerinden ilgili kişiye usulüne uygun açık rıza olmaksızın tanıtım (push) iletileri göndermesi.
Kurul; Android kullanıcıları için mobil uygulamada tanıtım iletisi alma seçeneğinin varsayılan onaylı (opt-out) olmasını mevzuata uygun bulmamış; tanıtım iletilerinde usulüne uygun açık rıza alınması gerektiğini, ayrıca varsayılan ayarın tanıtım iletisi almama biçiminde sunulmasını istemiştir.
1. Olayın Özeti
İlgili kişi, maaş müşterisi olduğu bankanın sunduğu iki mobil uygulama üzerinden cep telefonuna tanıtım iletileri (push bildirim) gönderildiğini; bu iletiler için 6563 sayılı Kanun ve KVKK kapsamında açık rızasına başvurulmadığını iddia etmiştir.
İlgili kişi, rahatsızlığını bankaya yazılı başvuruyla iletmiş; ayrıca çağrı merkezi üzerinden tanıtım iletilerine konu kişisel verilerinin silinmesini talep etmiştir. Başvurular sonrasında ilgili kişinin bankadaki hesabı ve kredi kartları iptal edilmiş; ilgili kişi bu iptalin KVKK kapsamındaki talebinden kaynaklandığının kendisine bildirildiğini, bu durumun maddi/manevi zarara yol açtığını ileri sürmüştür.
- Tanıtım iletileri için açık rıza alınmaması
- Varsayılan ayarların kullanıcı iradesi dışında “onaylı” kurgulanması
- Başvuruların yönetimi ve silme talebine karşılık verilen işlemlerin ölçülülüğü
2. Veri Sorumlusunun Savunması
Banka savunmasında özetle; mobil uygulamaların pazarlama amaçlı bir iletişim kanalı olarak kullanıldığını, uygulama ayarlarında ileti almamaya ilişkin tercih hakkı bulunduğunu ve kullanıcıların bildirimleri en başta reddetme veya sonradan kapatma haklarının bulunduğunu belirtmiştir.
- İlgili kişinin, uygulama ayarlarını bildirim almaya izin verecek şekilde düzenlemesi nedeniyle iletilerin gittiği
- Silme/yok etme talebi üzerine, KVKK m.7 çerçevesinde işlem yapılabilmesi için hesap ve kartların kapatıldığı
- Sonrasında ilgili kişi tekrar başvurunca hesabın yeniden açıldığı
- Hesap kapatmanın ilgili kişi açısından bir zarar doğurmadığının tespit edildiği
3. İlgili Mevzuat Çerçevesi
Kararda öne çıkan düzenlemeler, hem KVKK hem de elektronik iletilere ilişkin 6563 sayılı Kanun yaklaşımı üzerinden kurulmuştur.
| Düzenleme | Başlık | Karar Bağlamında Rolü |
|---|---|---|
| KVKK m.4 | Genel İlkeler | Hukuka uygunluk, amaçla sınırlılık, ölçülülük, güncellik, gerekli süre kadar muhafaza ilkeleri. |
| KVKK m.5 | İşleme Şartları | Tanıtım iletileri kapsamında kişisel veri işleme için açık rızanın şart olup olmadığı ve rızanın usulü. |
| KVKK m.12 | Veri Güvenliği | Hukuka aykırı işlemeyi önleyecek teknik ve idari tedbirlerin yeterliliği. |
| 6563 sayılı Kanun | Elektronik İleti Onayı | Tanıtım/pazarlama içerikli iletilerin alıcı onayına tabi olması yaklaşımı. |
4. Kurulun Değerlendirmesi
Kurul, somut olayda özellikle Android işletim sistemi kullanan müşteriler bakımından, mobil uygulamadaki tanıtım iletisi alma tercihinin varsayılan olarak onaylı olmasını problemli bulmuştur.
4.1. Kurulun özellikle altını çizdiği noktalar
- Push bildirimlerin varsayılan onaylı olmasının, elektronik iletilerin alıcı onayına tabi olması yaklaşımıyla çelişmesi
- Varsayılan onayın, KVKK m.5’teki açık rıza şartını ihlal edebilmesi
- Uygulama süreçlerinin, açık rıza alınabilecek şekilde yeniden tasarlanması gerekliliği
- Uygun teknik/idari tedbirlerin (KVKK m.12) alınmadığını gösteren bir zafiyet işareti olması
5. Karar ve Sonuç
Kurul; veri sorumlusunun mobil uygulamalar üzerinden usulüne uygun açık rıza olmaksızın tanıtım iletileri göndermek amacıyla ilgili kişinin kişisel verilerini işlemesini hukuka aykırı bulmuş; KVKK m.12 kapsamında gerekli teknik ve idari tedbirlerin alınmadığı kanaatine varmıştır.
| Başlık | Kurul Sonucu |
|---|---|
| Hukuka aykırılık | Usulüne uygun açık rıza olmaksızın tanıtım iletileri göndermek suretiyle kişisel veri işlenmesi hukuka aykırı kabul edilmiştir. |
| İdari yaptırım | KVKK m.18/1-b uyarınca veri sorumlusuna idari para cezası uygulanmasına karar verilmiştir. |
| Düzeltici talimat | Mobil uygulama süreçlerinin, usulüne uygun açık rıza alınabilecek şekilde düzenlenmesi ve sonucundan Kurula bilgi verilmesi istenmiştir. |
6. Uyum (Compliance) Yol Haritası: Mobil Push Bildirimleri Nasıl Düzenlenmeli?
Aşağıdaki adımlar, karardaki yaklaşımı “operasyonel” hale getirmeniz için pratik bir kontrol listesi sunar.
6.1. Tasarım (UX) İlkeleri
- Varsayılan kapalı (opt-in): Tanıtım/pazarlama push bildirimleri başlangıçta kapalı olmalı.
- Aktif seçim: Kullanıcı, “Kabul ediyorum” benzeri bir eylemle onay vermeli.
- Katmanlı bilgilendirme: Kısa aydınlatma + detay sayfası (amaçlar, veri kategorileri, saklama, geri alma).
- Kolay geri alma: Uygulama içinde 2 tıkla kapatma ve “tercih geçmişi” görünürlüğü.
6.2. Teknik ve İdari Tedbirler (KVKK m.12 perspektifi)
- Rıza kayıtlarının ispatlanabilir şekilde tutulması (zaman damgası, kanal, sürüm, metin).
- Uygulama sürüm güncellemelerinde varsayılanların yanlışlıkla “açık”a dönmemesi için kontrol mekanizması.
- Yetkilendirme/rol yönetimi: kampanya tanımlayan ekiplerin veri minimizasyonu ve hedefleme sınırları.
- Şikâyet ve başvuru süreçlerinde ölçülülük: silme talebine yanıt verirken gereksiz “ürün kapatma” risklerinin yönetimi.
7. Sık Sorulan Sorular
Tanıtım bildirimi ile “yasal bilgilendirme” bildirimi aynı mı?
Hayır. Tanıtım/pazarlama içerikleri, genellikle alıcı onayı/açık rıza tartışmasını doğurur. Yasal bilgilendirme niteliğindeki mesajlar ise farklı bir hukuki zeminde değerlendirilebilir. Bu kararın konusu özellikle tanıtım iletileridir.
Uygulama ayarlarında kapatma seçeneği varsa sorun kalmaz mı?
Kurul yaklaşımı, “kapatma imkânı”nın varlığından bağımsız olarak, tanıtım iletisi seçeneğinin varsayılan “onaylı” kurulmasının açık rıza standardı açısından sorunlu olabileceğini göstermektedir. Sağlıklı yaklaşım: varsayılan kapalı + aktif onay.
Kurul ne tür bir düzeltme bekliyor?
Sürecin usulüne uygun açık rıza alınabilecek şekilde yeniden düzenlenmesi ve uygulamanın varsayılan ayarlarının tanıtım iletisi almama biçiminde kullanıma sunulması.
8. Kaynak
KVKK – 2021/361 içerik sayfası: https://www.kvkk.gov.tr/Icerik/7109/2021-361
