İzinsiz Veri İşlemeye 1 Milyon TL KVKK Cezası

Karar Tarihi: 10/06/2026

Karar No: 2026/1183

Konu Özeti: Bir tasarruf finansman şirketi tarafından reklam ve pazarlama amaçlı izinsiz SMS gönderilmesi ve arama yapılması suretiyle işlenen kişisel verilere ilişkin şikâyet hakkında

Kuruma intikal eden şikâyet dilekçesinde özetle; Veri Sorumlusu tarafından marka elçiliği programı kapsamında marka elçisi olan müşterilerinden temin edilen üçüncü kişilere ait iletişim numarasının işlendiği ve bu veri aktarımı karşılığında veriyi aktaran kimselere prim ödemesi gerçekleştirildiği, söz konusu veri aktarımının açık rıza alınmadan ve aydınlatma yükümlülüğü yerine getirilmeden gerçekleştirildiği dolayısıyla hukuka aykırı bir veri işleme faaliyeti olduğu, veri aktarımı neticesinde işlenen iletişim numarası vasıtasıyla SMS gönderimi yahut sesli arama gerçekleştirildiği ve bu yolla pazarlama yapıldığı, İlgili Kişinin iletişim numarasının da bir marka elçisi tarafından Veri Sorumlusuna aktarıldığı ve ardından kendisine yönelik pazarlama faaliyeti amacıyla SMS gönderildiği ve sesli arama gerçekleştirildiği ve İlgili Kişi tarafından Veri Sorumlusuna yapılan başvuruya süresi içerisinde cevap verilmediği ifade edilerek, 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun) kapsamında gereğinin yapılması talep edilmiştir.

Konuya ilişkin başlatılan inceleme çerçevesinde şikâyet edilen veri sorumlusundan savunması talep edilmiş olup veri sorumlusu tarafından verilen cevapta özetle;

• Veri Sorumlusunun tasarruf sahiplerinin ödeme güçlerine göre gruplar halinde organize edilerek gayrimenkul ya da araç sahibi olmalarını sağlayan bir sistemin organizasyonunu sunduğu, konut ya da araç almak isteyen müşteriler arasında çeşitli gruplar oluşturulduğu, hem çekilişli hem müşteri bazlı sözleşmelerle belirli tarihte tahsisat veya noter huzurunda yapılan çekilişlerle tahsisat tarihi belirlendiği, tahsisat tarihi gelen müşterinin kendi belirleyeceği ve ekspertiz tarafından uygun görülen gayrimenkulü ya da aracı satın alması için tasarruf finansmanı sağlandığı, tahsisat ve sözleşme şartlarının hem kanunla hem de yönetmelikle düzenlendiği, Veri Sorumlusunun bu hizmet kapsamında müşterileriyle Tasarruf Finansman Sözleşmesi imzaladığı,
• İlgili Kişinin Veri Sorumlusuna başvurusuna, kendisine e-posta ile cevap verilmesini talep ettiği üzere Veri Sorumlusu tarafından İlgili Kişinin e-posta adresine 30 gün içerisinde cevap verildiği,
• İlgili Kişinin tanıdığı olduğu düşünülen üçüncü bir şahıs olan müşterinin, İlgili Kişinin telefon numarasını uygulama üzerinden yalnızca kendi sistemine kişinin tasarruf ve finansman sistemi hakkında bilgi almak istediğinden bahisle eklediği, Veri Sorumlusunun müşterilerinin, uygulama üzerinden bilgi almak isteyen tanıdıklarını tavsiye edebildikleri,
• Söz konusu tavsiyenin akabinde Veri Sorumlusunun çağrı merkezi tarafından İlgili Kişinin arandığı ve aydınlatma yükümlülüğünün yerine getirildiği, İlgili Kişinin bilgilendirmeye dayanan ve özgür iradesiyle açıkladığı açık rızası alındıktan sonra çağrı merkezi tarafından yapılan ve İlgili Kişinin bilgisi dahilinde söz konusu aramanın kaydedildiği, söz konusu çağrıda İlgili Kişinin açık bir şekilde Veri Sorumlusu ve tasarruf finansman sistemi hakkında bilgi almak ve bilgi almaya devam etmek istediğini belirttiği, nitekim İlgili Kişi tarafından bizzat ofisle ilgili tasarruf finans sisteminden yararlanmaya dönük sorular sorulduğu,
• İlgili Kişinin hem arama esnasında hem de SMS vasıtasıyla bilgi almak istemediğini Veri Sorumlusuna kolayca bildirme olanağının bulunduğu, gerçekleştirilen ilk aramada müşteri adayı olarak bilgi almak istemediğini bildirmiş olsaydı sonrasında arama ve SMS gönderiminin durdurulacağı, İlgili Kişinin bilgi almaya devam etmek istemesi üzerine şikayete konu aramadan sonra kişiye şirket kampanyasıyla ilgili SMS gönderildiği, bu hususun İlgili Kişiye arama esnasında personel tarafından hatırlatıldığı,
• SMS’te “SMS iptal için ….iptal yazıp …..’e gönderin.” şeklinde bir ibare bulunduğu, İlgili Kişinin bu şekilde de arama ve SMS gönderimini durdurma imkânının bulunduğu, her halükârda İlgili Kişinin Veri Sorumlusuna herhangi bir şekilde ulaşarak bilgi almak istemediğini ilettiği takdirde İlgili Kişinin durumunun “iptal” konumuna getirildiği; böylece İlgili Kişiye arama ve SMS gönderiminin durdurulduğu, İlgili Kişinin Veri Sorumlusu nezdinde hali hazırda kayıtlı verisinin bulunmadığı, İlgili Kişinin verilerinin hiçbir koşulda yurtdışına aktarılmadığı, üçüncü kişilerle paylaşılmadığı, var olan tek kaydın tamamen silindiği ve SMS panellerinden engellendiği,
• Somut olay kapsamında, İlgili Kişinin Veri Sorumlusu ve tasarruf finansman sistemi hakkında bilgi almaya devam etmek istediğini belirterek, açık rızasını vermek için kendi icrai hareketleri ile bu yönde çağrı merkezine sorular yönelttiği, bunun üzerine İlgili Kişiye bir tane SMS gönderildiği, İlgili Kişinin Veri Sorumlusuna yaptığı başvuru üzerine SMS gönderimi ve arama yapılması dahil tüm işlemlerin durdurulduğu, Veri Sorumlusu tarafından tamamen İlgili Kişinin açık rızası kapsamında hareket edildiği

ifade edilmiştir.

Konuya ilişkin yapılan inceleme neticesinde, Kişisel Verileri Koruma Kurulunun 10.06.2026 Tarihli ve 2026/1183 Sayılı Kararı ile;

• Kanunun “Kişisel Verilerin İşlenme Şartları” başlıklı 5’inci maddesinin (1) numaralı fıkrasında kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceğinin, (2) numaralı fıkrasında ise kanunlarda açıkça öngörülmesi, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması şartlarından birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesinin mümkün olduğunun hükme bağlandığı,
• Kanunun 10’uncu maddesinde veri sorumlusunun aydınlatma yükümlülüğünün düzenleme altına alındığı, söz konusu hükmün “ (1) Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; a) Veri sorumlusunun ve varsa temsilcisinin kimliği, b) Kişisel verilerin hangi amaçla işleneceği, c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi d) 11 inci maddede sayılan diğer hakları, konusunda bilgi vermekle yükümlüdür.” şeklinde düzenlediği,
• Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğin (Tebliğ) 5’inci maddesi gereği kişisel veri işleme faaliyetinin ilgili kişinin açık rızasına bağlı olması durumunda, aydınlatma yükümlülüğü ile açık rıza alınması işlemlerinin ayrı ayrı yerine getirilmesi gerektiği,
• Kişisel verilerin Kanun’a uygun bir şekilde işlenebilmesi için öncelikle kişisel verilerin ilgili kişiden elde edilmesi gerektiği, ancak, Tebliğin 6’ncı maddesinin “(1) Kişisel verilerin ilgili kişiden elde edilmemesi halinde; Kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde, Kişisel verilerin ilgili kişi ile iletişim amacıyla kullanılacak olması durumunda, ilk iletişim kurulması esnasında, Kişisel verilerin aktarılacak olması halinde, en geç kişisel verilerin ilk kez aktarımının yapılacağı esnada ilgili kişiyi aydınlatma yükümlülüğünün yerine getirilmesi gerekir.” şeklinde hüküm altına alındığı,
• Veri Sorumlusu tarafından aydınlatma yükümlülüğünün yerine getirildiği ve ilgilisinin açık rızası alındıktan sonra veri işleme faaliyetine devam edildiği ifade edilmişse de söz konusu veri işleme sürecinin, üçüncü bir şahıs tarafından İlgili Kişinin kişisel verisinin Veri Sorumlusuna bildirilmesi, kişisel verinin kaydedilmesi akabinde İlgili Kişiye yönelik arama gerçekleştirilmesi ve aramaya ait ses kaydında aydınlatma yükümlülüğü yerine getirilmeksizin veyahut bir aydınlatma kanalına yönlendirilmeksizin kampanya tanıtımında ısrarcı olunması üzerine tanıtım üzerinden konuşmaya devam edilmesi, ardından İlgili Kişinin tanıtım amaçlı aramanın ilgisini çekmesi üzerine konuşmaya devam etmesi ve bu noktada konuşmayı sonlandırmayarak yalnızca kampanyanın tanıtımının devamına ilgi gösterilmesi suretiyle zımni bir rıza eyleminde bulunması şeklinde ilerlediği, dolayısıyla aydınlatma yükümlülüğünün yerine getirilmediği ve Kanun’a uygun bir açık rıza temin edilmediği, öte yandan konuşmaların kayıt altına alındığının ifade edildiği ancak bu konuda da aydınlatmada bulunulmadığı,
• Kanunun 3’üncü maddesine göre açık rızanın kişinin kişisel verisinin işlenmesine kendi isteği ile ya da karşı taraftan gelen talep üzerine onay vermesi anlamına geldiği, açık rızanın kişinin açık rıza beyanı ile kendi kişisel verisinin işlenmesine ilişkin kararını veri sorumlusuna bildirmesi anlamına geldiği, bu sebeple, işleme şartlarından biri olan açık rızaya dayalı olarak kişisel veri işlenmesi durumunda (kişisel veri işlemeye başlamadan önce) aydınlatma yükümlülüğünün de yerine getirilmesi gerektiği,
• Bu kapsamda İlgili Kişi tarafından konuşmaya devam edilmesi şeklinde gösterilen zımni rızanın kampanya tanıtımının devamına ilişkin gösterildiği, Kanun kapsamında bir açık rızanın varlığından söz edilebilmesi için açık rızanın “Belirli bir konuya ilişkin olma”, “Bilgilendirmeye dayanma” ve “Özgür iradeyle açıklanma” unsurlarını  taşıması gerektiği, açık rızanın bir irade beyanı olduğu, kişinin özgür bir şekilde rıza gösterebilmesi için neye rıza gösterdiğini bilmesi ve  kişinin  sadece konu üzerinde değil, aynı zamanda rızasının sonuçları üzerinde de tam bir bilgi sahibi  olması gerektiği, bilgilendirmenin kişisel veri işleme ile ilgili bütün konularda açık ve anlaşılır bir  biçimde mutlaka kişisel veri işlenmesinden önce  yapılması, elde edilecek kişisel verilerin hangi amaçlarla kullanılacağının açıkça belirtilmesi ve kişinin anlamayacağı terimler ya da yazılı bilgilendirme yapıldığında okumakta güçlük çekeceği oranda küçük puntoların kullanılmaması gerektiği,
• Münferit olarak İlgili Kişinin kişisel verilerinin hukuka aykırı olarak işlendiğine dair yapılan değerlendirme, program kapsamında kişisel verisi benzer yöntemle işlenen diğer gerçek kişiler bakımından da geçerlilik arz ettiğinden “marka elçiliği” programı kapsamında herhangi bir işleme şartı mevcut olmaksızın gerçekleştirilen veri işleme faaliyetlerinin Kanuna aykırılık teşkil ettiği, bu kapsamda, İlgili Kişinin kişisel verilerinin Kanunun 5’inci maddesi kapsamında hukuka uygun açık rızası alınmaksızın dolayısıyla geçerli bir veri işleme şartı mevcut olmaksızın işlendiği tespit edildiğinden bu durumun Kanun’un 12’nci maddesinin (1) numaralı fıkrasında düzenleme altına alınan “Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek … amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.” hükmüne aykırı olduğu,
• Öte yandan, İlgili Kişinin kişisel verilerinin Kanunda yer alan herhangi bir işleme şartı bulunmadan işlendiği dikkate alındığında aydınlatma yükümlülüğü açısından inceleme yapılmasının gerekli olmadığı, dolayısı ile bu hususta yapılacak ilave bir işlem olmadığı,
• Veri Sorumlusu tarafından İlgili Kişinin başvurusunun yanıtsız bırakıldığı iddiasına ilişkin olarak ise, İlgili Kişinin başvurusunun yanıtlanmış olduğu tespit edildiğinden söz konusu iddia hakkında tesis edilebilecek bir işlemin mevcut olmadığı

değerlendirmelerinden hareketle;

• İlgili Kişinin kişisel verilerinin Kanunun 5’inci maddesi kapsamında hukuka uygun açık rızası alınmaksızın dolayısıyla geçerli bir veri işleme şartı mevcut olmaksızın işlendiği tespit edildiğinden bu durumun Kanunun 12’nci maddesinin (1) numaralı fıkrasında düzenleme altına alınan “Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek … amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.” hükmüne aykırı olduğu değerlendirildiğinden veri sorumlusu hakkında Kanunun Kabahatler başlıklı 18’inci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 1.000.000 TL idari para cezası uygulanmasına,
• İlgili Kişinin kişisel verilerinin Kanunda yer alan herhangi bir işleme şartı bulunmadan işlendiği dikkate alındığında aydınlatma yükümlülüğü açısından inceleme yapılmasının gerekli olmadığı, dolayısı ile bu hususta yapılacak bir işlem olmadığına,
• Veri Sorumlusu tarafından İlgili Kişi başvurusunun yanıtlanmış olduğu tespit edildiğinden söz konusu iddia hakkında tesis edilebilecek bir işlemin mevcut olmadığına

karar verilmiştir.

Kaynak: KVKK