SMS ile Açık Rıza Alma Hakkında İlke Kararı Yayımlandı
Ürün ve Hizmet Sunumu Sırasında İlgili Kişilere SMS ile Doğrulama Kodu Gönderilmesi Suretiyle Kişisel Verilerin İşlenmesi Hakkında Kişisel Verileri Koruma Kurulunun 10/06/2025 Tarihli ve 2025/1072 sayılı İlke Kararı
Kişisel Verileri Koruma Kurulu, aldığı ihbar ve şikayetlere istinaden SMS ile gönderilen onay kodu ile ilgili kişilerin açık rızalarının alınması konusunda bir ilke kararı verdi ve karar 26.06.2025 tarihinde Resmî Gazete’de yayımlandı.
Kararda, ürün ve hizmet sunumu sırasında, ilgili kişilerin iletişim bilgilerinin talep edildiği, akabinde ilgili kişilere SMS ile doğrulama kodu gönderildiği ve ödemelerinin tamamlanması, fatura oluşturulması, faturanın iletişim adresine iletilmesi ya da bilgilerinin güncellenmesi için gerekli olduğu gerekçeleri öne sürülerek söz konusu kodun görevliye bildirilmesinin/sisteme girilmesinin istenildiği ancak bahse konu işlemin akabinde ilgili kişilere söz konusu veri sorumlusunun faaliyetleri ile ilgili ticari elektronik ileti gönderildiği yolundaki iddialar değerlendirilmiştir.
Kurul tarafından yapılan inceleme neticesinde, SMS’lerin içeriklerinde ya da SMS gönderimi öncesinde veri sorumlusunca veya yetkilendirdiği kişilerce herhangi bir aydınlatma yapılmadığı ve/veya söz konusu kodun ödeme işlemlerinin tamamlanması ya da bilgilerinin güncellenmesi için gerekli olduğu gerekçesi ile istenilmesine rağmen veri sorumlusu tarafından bu yolla ticari elektronik ileti gönderimine ilişkin açık rıza alınması suretiyle ilgili kişilerin yanıltıldığı tespit edilmiştir.
Günlük hayatta sıkça karşımıza çıkan bu uygulamada, kanuni gerekliliklerin karşılanmadığı; SMS içerisinde kanuni gereklilikler sağlansa da veri sorumlusu, veri işleyen veya onların yetkilendirdiği kişilerin bu husustaki bilgisizliği ve bu sebeple ilgili kişiyi doğru şekilde aydınlatmaması; bu uygulamanın ilgili alışverişin ön şartı olarak ilgili kişiye dayatılması söz konusudur. Bunların önüne geçmek üzere Kurul konuyu tüm bu yönleriyle ele alarak aşağıdaki gereklilikleri sıralamıştır:
- İlgili kişilerin telefonuna gönderilecek olan SMS’in amacının ne olduğu ve bu SMS ile iletilen kodun verilmesi halinde ne gibi sonuçlar doğuracağı hususunun, katmanlı aydınlatmanın bir gereği olarak ilk aşamada veri sorumlusunun görevlileri tarafından ilgili kişilere açık ve anlaşılır bir biçimde aktarılması,
- Katmanlı aydınlatılma sonrasında gelen SMS içerisinde aydınlatma yükümlülüğünün yerine getirilebilmesi amacıyla gerekli bilgilendirme metninin veya kanallarının yer alması,
- Birden fazla açık rıza gerektiren konu için tek bir kod ile açık rıza alınmaması, üyelik sözleşmesi onayı, elektronik ticari ileti gönderimi açık rızası gibi hususların ayrı ayrı ilgili kişiye yöneltilmesi,
- Açık rıza alınması ve aydınlatma yapılması yükümlülüklerinin ayrı ayrı yerine getirilmesi,
- SMS doğrulama kodu ile alınan açık rızada Kanun’da belirtilen tüm unsurlara yer verilmesi,
- Ticari elektronik ileti gönderilmesi amacıyla kişisel verilerin işlenmesine açık rıza verilmesinin ürün ve hizmet sunumunun tamamlanabilmesi için zorunlu bir unsur şeklinde ilgili kişilere sunulmaması,
- Ticari elektronik ileti gönderilmesi amacıyla alınan açık rızanın, ürün ve hizmet sunumunun tamamlanmasından sonra talep edilmesi,
- Ürün ve hizmet sunumu sırasında alınacak açık rızada ise gerek SMS içeriklerinde gerekse veri sorumlusu tarafından fiziksel ortamda veya dijital ortamda yapılan bilgilendirmelerde, söz konusu kodun görevli ile paylaşılması suretiyle verilen rızanın ürün ve hizmet sunumunun tamamlanması için zorunlu olmadığı, kodun verilmemesi halinde de her zaman ürün ve hizmet sunulabileceği, kod ile verilen izinlerin ve tercihlerin istendiği zaman değiştirilebileceği (açık rızanın geri çekilmesi) bilgisine net bir şekilde yer verilmesi suretiyle açık rızanın ürün ve hizmet sunumunun zorunlu bir unsuru gibi algılanmasının önüne geçilmesi,
- Bahse konu işlemlerin hukuka uygunluğunun sağlanmasını teminen veri sorumluları tarafından bu süreçlerde yer alan personele yönelik gerekli eğitim ve farkındalık çalışmalarının periyodik olarak yürütülmesi.
Konuyla ilgili Kurul Kararına linkten ulaşabilir, detaylı bilgi için danışmanlarımızla iletişime geçebilirsiniz.