Kişisel Verileri Koruma Kurumu (KVKK), üçüncü kişilerden elde edilen kişisel verilerin reklam ve pazarlama amacıyla izinsiz kullanılmasının Kişisel Verilerin Korunması Kanunu'na aykırı olduğunu belirtti. Kurum, bu tür ihlallerin tespit edilmesi durumunda idari yaptırımların uygulanacağını açıkladı.
Kişisel Verilerin Korunması Kanunu'na Uygunluk
KVKK, 'Üçüncü Kişilerden Elde Edilen Kişisel Verilerin Reklam ve Pazarlama Amaçlı Kullanılmasına İlişkin Kamuoyu Duyurusu'nu resmi internet sitesinde yayımladı. Duyuruda, çeşitli sektörlerde faaliyet gösteren veri sorumlularının, müşterilerinden veya üçüncü kişilerden temin ettikleri iletişim bilgilerini izinsiz olarak kullandıklarına dair çok sayıda ihbar ve şikayet alındığı ifade edildi. Kişisel verilerin üçüncü kişilerden elde edilmiş olmasının, veri sorumlularına bu verileri reklam ve pazarlama amacıyla işleme konusunda hukuki bir dayanak sağlamadığı vurgulandı.
Duyuruda, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun amacının, kişisel verilerin işlenmesinde bireylerin temel hak ve özgürlüklerini korumak olduğu belirtildi. Kanun uyarınca kişisel verilerin, ilgili kişinin açık rızası olmaksızın işlenemeyeceği ifade edilirken, belirli hukuki işleme şartlarının bulunması halinde açık rıza aranmaksızın kişisel veri işlenebileceği kaydedildi.
Aydınlatma Yükümlülüğü ve Açık Rıza
Reklam ve pazarlama faaliyetleri açısından kişisel veri işleme şartlarının her somut olay özelinde değerlendirilmesi gerektiği vurgulandı. Ayrıca, Kanun'un 10. maddesi gereğince veri sorumlularının, kişisel verilerin elde edilmesi sırasında ilgili kişileri bilgilendirmekle yükümlü olduğu belirtildi. Bu bilgilendirme, veri sorumlusunun kimliği, kişisel verilerin işlenme amacı, işlenen kişisel verilerin aktarılabileceği kişiler ve amaçlar gibi konuları kapsamalıdır.
KVKK'nın duyurusunda, kişisel verilerin doğrudan ilgili kişiden elde edilmediği durumlarda uygulanacak usul ve esasların Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'de düzenlendiği ifade edildi. Veri sorumlularının, öncelikle aydınlatma yükümlülüğünü yerine getirmesi ve ardından gerekli hallerde ilgili kişinin açık rızasını ayrı bir irade açıklamasıyla alması gerektiği vurgulandı.
Hukuka Uygun Veri İşleme Süreçleri
Kişisel veri işleme faaliyetlerinin hukuka uygun yürütülebilmesi için belirli şartların sağlanması gerektiği kaydedildi. KVKK, kişisel verilerin doğrudan ilgili kişiden temin edilemediği durumlarda aydınlatma yükümlülüğünün usulüne uygun olarak yerine getirilmesi gerektiğini belirtti. Ayrıca, ilgili kişilerin kişisel verilerinin işlenme süreçleri hakkında açık ve anlaşılır bir şekilde bilgilendirilmesi gerektiği ifade edildi.
Açık rızaya dayalı kişisel veri işleme faaliyetlerinde, açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış olması gerektiği vurgulandı. İlgili kişilerin kampanyayı dinlemeye devam etmesi veya bilgi almak istemesi gibi davranışlarının geçerli bir açık rıza olarak değerlendirilmemesi gerektiği belirtildi. KVKK, tüm kişisel veri işleme süreçlerinin Kanun ve ilgili mevzuat hükümlerine uygun olarak yürütülmesi gerektiğini açıkladı.
Kurum, Kanun'da öngörülen yükümlülüklere aykırı hareket eden veri sorumluları hakkında 6698 sayılı Kanun'un 18. maddesi kapsamında idari yaptırım uygulanabileceğini duyurdu.
