Hedefli reklam, e-posta listesi oluşturma veya CRM’de müşteri profili çıkarma gibi neredeyse her pazarlama faaliyeti, bir noktada kişisel veri işler. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bu işlemenin hangi şartlarda yapılabileceğini belirler. Reklam Yönetmeliği’nin hedefli reklam maddesi bu kanunla birlikte okunur; bu yazı KVKK’nın kendisini, pazarlama faaliyetine özgü iki maddesi üzerinden açıklar.
Açık Rıza: Madde 5
Kanunun 5. maddesi, kişisel verilerin kural olarak ilgili kişinin açık rızası olmadan işlenemeyeceğini belirtir. Pazarlama açısından kritik nokta şudur: bir verinin üçüncü bir kaynaktan (satın alınmış liste, iş ortağından devralınan müşteri kaydı gibi) elde edilmiş olması, o veriyi reklam veya pazarlama amacıyla işlemek için tek başına yeterli bir hukuki dayanak oluşturmaz. Kişisel Verileri Koruma Kurulu, Temmuz 2026’da yayımladığı kamuoyu duyurusunda bu noktayı doğrudan hatırlatmıştır: üçüncü kişilerden elde edilen verilerle pazarlama yapılması, ayrı bir açık rıza veya kanunda sayılan başka bir işleme şartı aranmasını gerektirir.
Açık rıza ile aydınlatma ayrı süreçlerdir
Açık rıza almak, aydınlatma yükümlülüğünün yerini tutmaz. Kurul, aydınlatma yükümlülüğünün önce yerine getirilmesi, açık rızanın ise bundan bağımsız ve ayrı bir irade beyanıyla alınması gerektiğini belirtir. Tek bir onay kutucuğuyla hem aydınlatma hem rıza alındığını varsaymak, bu ayrımı gözden kaçırır.
Aydınlatma Yükümlülüğü: Madde 10
Kanunun 10. maddesi, veri sorumlusunun kişisel veriyi topladığı anda ilgili kişiyi; veri sorumlusunun kimliği, verinin işlenme amacı, verinin aktarılabileceği kişiler, toplama yöntemi ve hukuki sebebi ile ilgili kişinin kanundaki hakları konusunda bilgilendirmesini zorunlu kılar. Bir pazarlama formu veya kayıt ekranı, bu bilgileri kullanıcının doldurma anında (sonradan değil) sunmak zorundadır.
Aykırılığın Sonucu: Madde 18
Aydınlatma yapılmadan veya açık rıza alınmadan yürütülen pazarlama faaliyeti tespit edildiğinde, kanunun 18. maddesi uyarınca idari yaptırım uygulanabilir. Reklam Yönetmeliği’ndeki hedefli reklam maddesiyle örtüştüğü durumlarda, aynı ihlal hem Kişisel Verileri Koruma Kurulu’nun hem Reklam Kurulu’nun ayrı ayrı incelemesine konu olabilir; ikisi farklı kanunlara dayandığı için birinin cezası diğerini engellemez.
Sık Yapılan Hata
En yaygın hata, satın alınmış veya bir iş ortağından devralınmış bir müşteri listesiyle pazarlama yapmadan önce ek bir açık rıza veya işleme şartı aranmamasıdır. Listenin nereden geldiği, o listeyle pazarlama yapma hakkını otomatik olarak vermez; her veri sorumlusu kendi işleme faaliyeti için ayrı bir hukuki dayanağa ihtiyaç duyar.
İkinci hata, aydınlatma metnini açık rıza kutucuğunun içine gömüp iki yükümlülüğü tek bir onaya indirgemektir. Kurul’un beklentisi, kullanıcının önce bilgilendirilmesi, rızanın bundan ayrı olarak alınmasıdır.
Özet
KVKK, pazarlama amaçlı veri işlemeyi iki ayrı yükümlülükle sınırlar: madde 5 kapsamında açık rıza veya başka bir işleme şartı, madde 10 kapsamında aydınlatma. Verinin üçüncü bir kaynaktan gelmesi bu yükümlülükleri ortadan kaldırmaz. İhlalin sonucu madde 18 kapsamında idari yaptırımdır; hedefli reklamda bu, Reklam Yönetmeliği’nin ayrı yaptırımıyla birlikte de gündeme gelebilir.
Resmî Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
- Kişisel Verileri Koruma Kurumu: Üçüncü Kişilerden Elde Edilen Kişisel Verilerin Reklam ve Pazarlama Amaçlı Kullanılmasına İlişkin Kamuoyu Duyurusu