SMS Göndermiyoruz, İzin Almamız Gerekiyor mu? KVKK İzni ile Ticari İleti İzni Arasındaki Fark

Bir şirketin müşterilerinden izin alması gerektiğinde tek bir "izin" türünden söz etmek doğru değildir. Kişisel verilerin işlenmesi ile ticari elektronik ileti gönderimi farklı hukuki süreçlerdir. Ayrıca ticari ileti yalnızca SMS anlamına gelmez; e-posta ve telefon araması gibi kanallar da ticari elektronik ileti kapsamında değerlendirilebilir. Bu nedenle "SMS göndermiyoruz, izin almamıza gerek yok" veya "KVKK izni aldık, ticari ileti iznimiz de var" şeklindeki yaklaşımlar her durumda doğru değildir.

"Biz SMS Göndermiyoruz, İzin Almamız Gerekiyor mu?"

Bu soruyla oldukça sık karşılaşılır. Bir şirket yetkilisi şöyle düşünebilir: "Biz müşterilerimize SMS göndermiyoruz. Dolayısıyla İYS veya ticari ileti izni bizim için önemli değil."

Ancak burada ilk problem "ticari ileti" kavramının yalnızca SMS olarak düşünülmesidir. Ticari iletişim;

• SMS,
• e-posta,
• telefon araması

gibi farklı elektronik iletişim kanallarını kapsayabilir. Dolayısıyla SMS göndermeyen bir şirket e-posta ile kampanya gönderiyor veya müşterilerini pazarlama amacıyla telefonla arıyor olabilir.

Bu nedenle ilk sorulması gereken soru "SMS gönderiyor muyuz?" değil, "Müşterilerimizle ticari veya pazarlama amacıyla elektronik iletişim kuruyor muyuz?" olmalıdır.

Asıl Karışıklık: "İzin" Tek Bir Şey Değildir

Şirketlerin izin süreçlerinde yaptığı en önemli hatalardan biri, bütün izinleri tek bir kavram olarak değerlendirmektir.

Örneğin bir şirket müşterisinden "Kişisel verilerimin işlenmesine izin veriyorum" şeklinde bir onay almış olabilir. Başka bir şirket ise "Kampanya ve fırsatlardan haberdar olmak istiyorum" şeklinde ticari iletişim tercihi toplamış olabilir.

Bu iki işlem aynı şey değildir. Çünkü birinci soru kişisel veri nasıl işlenebilir? iken, ikinci soru müşteriye ticari elektronik ileti gönderilebilir mi? sorusudur. Bu iki alan birbiriyle ilişkili olsa da aynı hukuki değerlendirmeye tabi değildir.

KVKK İzni ile Ticari İleti İzni Arasındaki Temel Fark

En basit haliyle:

• KVKK tarafında sorulan soru: "Bu kişisel veriyi hangi amaçla ve hangi hukuki şartlara dayanarak işleyebilirim?"
• Ticari ileti tarafında sorulan soru: "Bu kişiye ticari elektronik ileti gönderebilir miyim?"

Dolayısıyla şirketin müşterisinin telefon numarasını veya e-posta adresini elinde bulundurması, bu iletişim bilgisini istediği her amaçla kullanabileceği anlamına gelmez. Aynı şekilde KVKK kapsamındaki bir bilgilendirme veya açık rıza sürecinin bulunması da otomatik olarak her türlü pazarlama iletişiminin gönderilebileceği anlamına gelmez.

Bu ayrımın hukuki çerçevesi için Açık Rıza ile Ticari Elektronik İleti İzni Arasındaki Fark yazımızı da inceleyebilirsiniz.

KVKK Kapsamında Veri İşlemek ile Ticari İleti Göndermek Neden Ayrılmalı?

Bir müşterinin telefon numarasını düşünelim. Şirket bu numarayı;

• sipariş işlemi,
• servis randevusu,
• teslimat bilgilendirmesi,
• müşteri hizmetleri

gibi hizmetin yürütülmesi amacıyla kullanabilir. Aynı şirket daha sonra bu numarayı;

• kampanya,
• indirim,
• yeni ürün,
• satış fırsatı

gibi ticari amaçlarla iletişim kurmak için kullanmak isteyebilir. Burada veri aynı olabilir; ancak işleme amacı değişmektedir. Bu nedenle şirketin veri işleme süreçleri ile ticari iletişim süreçlerini birbirinden ayırması gerekir.

"Müşteri Zaten Telefon Numarasını Verdi" Demek Yeterli mi?

Hayır. Bir müşterinin telefon numarasını şirkete vermesi, bu numaranın her türlü kullanım amacı için sınırsız izin verdiği anlamına gelmez.

Örneğin müşteri "Servis randevusu oluşturmak için telefon numaramı veriyorum" diyebilir. Bu numaranın daha sonra "Yeni araç kampanyamız başladı" şeklinde bir pazarlama mesajı için kullanılabilmesi ayrıca değerlendirilmelidir.

Burada önemli olan, verinin neden toplandığı ile daha sonra hangi amaçla kullanıldığı arasındaki ilişkidir.

"Biz E-posta Gönderiyoruz, SMS Göndermiyoruz"

Bu da sık karşılaşılan bir yanılgıdır. Ticari ileti yalnızca SMS değildir. Şirketiniz müşterilerine;

• kampanya e-postası,
• ürün tanıtımı,
• indirim duyurusu,
• yeni hizmet duyurusu,
• pazarlama içerikleri

gönderiyorsa, e-posta kanalındaki ticari elektronik ileti süreçlerini de değerlendirmelidir. Dolayısıyla "SMS göndermiyoruz" tek başına yeterli bir değerlendirme değildir. Asıl soru: "Hangi iletişim kanallarını ticari amaçla kullanıyoruz?" olmalıdır.

"Biz Telefonla Arıyoruz, SMS Atmıyoruz"

Bu durumda da benzer bir değerlendirme yapılmalıdır. Bir şirket müşterilerini "Size yeni hizmetimizi tanıtmak istiyoruz" amacıyla telefonla arıyorsa, SMS kullanılmıyor olması ticari iletişim boyutunun ortadan kalktığı anlamına gelmez.

Bu nedenle izin yönetiminde yalnızca SMS izni değil; SMS, e-posta ve arama gibi kanal bazlı tercihler dikkate alınmalıdır.

"KVKK Aydınlatma Metnimiz Var, O Halde Sorun Yok"

Bu da önemli bir yanlış anlaşılmadır. Bir şirketin web sitesinde KVKK aydınlatma metninin bulunması, kişisel verilerin işlenmesine ilişkin bilgilendirme yükümlülüğü açısından önemli olabilir. Ancak bu durum tek başına şirketin bütün ticari iletişim süreçlerini çözmez.

Aydınlatma metni ile ticari iletişim izni farklı amaçlara hizmet edebilir. Örneğin:

• Aydınlatma: "Kişisel verileriniz şu amaçlarla işlenmektedir."
• Ticari ileti tercihi: "Kampanya ve pazarlama amaçlı ticari ileti almak istiyorum."

Bunların aynı kutuya veya aynı cümleye dönüştürülmesi yerine, hukuki ve operasyonel amaçlarının ayrı değerlendirilmesi daha sağlıklı bir yaklaşımdır.

"KVKK Açık Rızası Aldık, İYS'ye Gerek Var mı?"

Bu sorunun cevabı otomatik olarak "evet" veya "hayır" şeklinde verilemez. Öncelikle şirketin;

• hangi veriyi işlediği,
• hangi amaçla işlediği,
• hangi iletişim kanalını kullandığı,
• iletişimin ticari nitelikte olup olmadığı,
• hangi mevzuat kapsamındaki yükümlülüklerin bulunduğu

incelenmelidir. Ancak temel prensip şudur: KVKK kapsamındaki veri işleme şartları ile ticari elektronik ileti izinleri birbirinin yerine geçmez. Dolayısıyla yalnızca KVKK tarafındaki sürece bakarak ticari iletişim yükümlülüklerinin tamamlandığı varsayılmamalıdır.

İYS Burada Neden Devreye Giriyor?

İYS, ticari elektronik ileti izinlerinin yönetimi açısından devreye girer. Örneğin şirket şu şekilde bir süreç oluşturabilir:

Müşteri → Ticari ileti tercihi → İzin kaydı → İYS → Pazarlama iletişimi

Buradaki amaç, şirketin müşteriye ticari ileti göndermeden önce ilgili izin durumunu yönetebilmesidir. Ancak tekrar vurgulamak gerekir: İYS'ye kayıt olmak ile müşteriden ticari ileti izni almak aynı şey değildir. İYS, izin yönetiminin merkezi unsurlarından biridir. Ayrıntılar için İYS Nedir, Nasıl Çalışır? İYS Başvurusu ve İzin Yönetimi Rehberi yazımıza göz atabilirsiniz.

Peki Şirket Hangi İzinleri Almalı?

Bu sorunun tek bir cevabı yoktur. Şirketin faaliyetlerine göre farklı veri işleme ve iletişim süreçleri bulunabilir. Örneğin:

• Bir e-ticaret şirketinde sipariş için gerekli veri işleme ile pazarlama e-postası gönderme aynı işlem değildir.
• Bir otomotiv bayisinde servis randevusu ile yeni araç kampanyası aynı iletişim amacı değildir.
• Bir SaaS şirketinde ürünün çalışması için gerekli kullanıcı verisi ile yeni ürün kampanyası aynı değildir.

Bu nedenle izin tasarımı şirketin gerçek süreçlerinden başlamalıdır.

İzinleri Birbirinden Ayırmak Neden Önemli?

İyi tasarlanmış bir izin yönetim sisteminde şirketin hangi izni neden aldığını anlayabilmesi gerekir.

Bu ayrım şirketin hem operasyonel hem de hukuki süreçlerini daha anlaşılır hâle getirir.

Tek Bir "Tüm İletişimlere İzin Veriyorum" Kutusu Doğru Yaklaşım mı?

Bu tür bir tasarımın hukuki uygunluğu somut sürece göre ayrıca değerlendirilmelidir. Ancak kullanıcı deneyimi ve izin yönetimi açısından da tek bir genel kutu yerine, hangi iletişim için hangi tercihin verildiğinin açıkça anlaşılabilmesi daha sağlıklı bir tasarımdır. Örneğin:

• SMS ile kampanya ve fırsat bilgisi almak istiyorum.
• E-posta ile kampanya ve fırsat bilgisi almak istiyorum.
• Telefonla kampanya ve fırsat bilgisi almak istiyorum.

gibi kanal bazlı tercihler, şirketin hangi iletişim kanalında izin bulunduğunu daha net yönetebilmesine yardımcı olabilir. Burada kullanılacak metinlerin hukuki açıdan uzmanlar tarafından değerlendirilmesi gerekir.

"İzin Aldık Ama Ne İçin Aldığımızı Bilmiyoruz"

Bu, dijital olmayan veya eski izin toplama süreçlerinde önemli bir problem olabilir. Örneğin şirketin elinde 100.000 telefon numarası bulunuyor olabilir. Ancak şirket şu sorulara cevap veremiyorsa izin yönetimi açısından önemli bir operasyonel kontrol problemi vardır:

• Bu numaralar ne zaman toplandı?
• Kimden alındı?
• Hangi kanaldan alındı?
• Hangi amaçla alındı?
• Ticari ileti tercihi var mı?
• SMS izni var mı?
• E-posta izni var mı?
• Ret verdi mi?
• Ret ne zaman gerçekleşti?

Bu nedenle izin sayısından çok izin kalitesi ve izlenebilirliği önemlidir.

İzin Yönetiminde "Kanıt" Neden Önemlidir?

Şirket açısından önemli soru yalnızca "İzin aldık mı?" değildir. Daha önemli soru "İzin aldığımızı gerektiğinde gösterebiliyor muyuz?" olabilir.

Örneğin sistem;

• tarih,
• saat,
• kanal,
• iletişim bilgisi,
• tercih,
• işlem kaynağı

gibi bilgileri kayıt altına alıyorsa şirketin izin geçmişini yönetmesi daha kolay olabilir. Bu nedenle modern izin yönetimi yalnızca bir checkbox değildir; izin, kayıt, izlenebilirlik, güncelleme ve ret yönetimi birlikte düşünülmelidir.

Web Sitesindeki "KVKK Onayı" ile Ticari İletişim Tercihi Nasıl Ayrılmalı?

Bir web sitesinde kullanıcıdan bilgi alınırken farklı amaçlar olabilir:

• Zorunlu veri işleme süreci: Ürünü veya hizmeti sunabilmek için gerekli verilerin işlenmesi.
• Ticari iletişim tercihi: Kampanya ve pazarlama iletişimleri almak isteyip istemediğinin belirlenmesi.
• İletişim kanalı tercihi: SMS, e-posta veya telefon gibi kanalların ayrı ayrı yönetilmesi.

Bu süreçlerin kullanıcıya açık ve anlaşılır şekilde sunulması hem kullanıcı deneyimi hem de izin yönetimi açısından önemlidir.

Entaveri Bu Ayrımı Nasıl Destekleyebilir?

Entapro'nun Entaveri çözümünün önemli kullanım alanlarından biri tam olarak bu ayrımın dijitalleştirilmesidir. Örneğin bir müşteri satış temsilcisiyle görüşürken sistem üzerinden şu şekilde yapılandırılmış bir süreç oluşturulabilir:

Müşteri bilgileri → Gerekli bilgilendirme → Veri işleme süreci → Ticari iletişim tercihi → SMS / e-posta / arama tercihleri → İzin kaydı

Buradaki avantaj yalnızca müşteriden dijital olarak "onay" almak değildir. Asıl avantaj, hangi müşterinin hangi amaç ve iletişim kanalı için hangi tercihi verdiğinin sistematik şekilde yönetilebilmesidir. Bu yapı daha sonra CRM, ERP veya İYS gibi sistemlerle entegre edilebilir.

Özellikle Otomotiv Sektöründe Neden Önemli?

Otomotiv sektöründe müşteriyle temas noktaları oldukça fazladır. Bir müşteri;

• showroom'a gelebilir,
• test sürüşü yapabilir,
• teklif alabilir,
• araç satın alabilir,
• servise gelebilir,
• bakım yaptırabilir,
• yedek parça satın alabilir.

Bu işlemlerin her birinde müşterinin iletişim bilgileri farklı süreçlerde kullanılabilir. Örneğin "Servis randevunuz yarın saat 10.00'da" mesajı ile "Yeni modelimiz için özel kampanyamız başladı" mesajı aynı amaçla gönderilmez. Bu nedenle otomotiv bayilerinde veri işleme ile ticari iletişim süreçlerinin birbirinden ayrılması özellikle önemlidir.

Şirketiniz "İzin" Dediğinde Aslında Neyi Kastediyor?

Şirket içinde "İzin dediğimizde tam olarak hangi izinden bahsediyoruz?" sorusunu sormak oldukça faydalı olabilir. Ardından şu soruları sorun:

1. Veriyi işlemek için hangi şartlara sahibiz? KVKK boyutu.
2. Ticari iletişim yapacak mıyız? ETK ve ilgili ticari ileti mevzuatı boyutu.
3. Hangi kanalları kullanacağız? SMS / e-posta / arama.
4. İzinleri nerede tutuyoruz? CRM / ERP / izin yönetim sistemi / İYS vb.
5. Retleri nasıl yönetiyoruz? İzin geri çekildiğinde sistemler nasıl güncelleniyor?
6. İzin geçmişini gösterebiliyor muyuz? Kayıt ve izlenebilirlik.

Bu altı soruya cevap verilemiyorsa şirketin izin yönetim sürecinin gözden geçirilmesi faydalı olabilir.

İzin Yönetiminde En Sık Yapılan 7 Hata

1. İzni yalnızca SMS olarak görmek. Ticari elektronik ileti farklı kanalları kapsayabilir.
2. KVKK iznini ticari ileti izni sanmak. Farklı hukuki süreçler birbirine karıştırılmamalıdır.
3. Müşterinin telefon numarasını vermesini pazarlama izni olarak kabul etmek. Verinin paylaşılması ile belirli bir amaç için kullanım hakkı aynı şey değildir.
4. İYS'ye kayıt olmayı yeterli görmek. İYS kaydı uçtan uca izin yönetimi anlamına gelmez.
5. Tüm izinleri tek checkbox'ta toplamak. İzinlerin amacı ve iletişim kanalı kullanıcı açısından açık olmalıdır.
6. Eski müşteri listelerini sorgulamadan kullanmak. İzin geçmişi ve iletişim tercihleri kontrol edilmelidir.
7. Retleri yalnızca manuel olarak takip etmek. Retlerin ilgili sistemlere zamanında yansıması gerekir.

Şirketiniz İçin Mini İzin Testi

Aşağıdaki sorulara "evet" veya "hayır" şeklinde cevap verin:

1. Müşteri verisi topluyor musunuz?
2. Bu verileri birden fazla amaçla kullanıyor musunuz?
3. Müşterilerinize pazarlama veya ticari ileti gönderiyor musunuz?
4. SMS dışında e-posta veya telefon araması kullanıyor musunuz?
5. KVKK süreçleriniz ile ticari ileti süreçlerinizi ayrı değerlendiriyor musunuz?
6. İletişim kanallarını ayrı yönetebiliyor musunuz?
7. İzinlerin ne zaman ve nasıl alındığını gösterebiliyor musunuz?

Eğer bu soruların birkaçında "hayır" cevabı veriyorsanız izin yönetim sürecinizi yeniden değerlendirmeniz faydalı olabilir.

Sık Sorulan Sorular

SMS göndermeyen şirketlerin ticari ileti izni alması gerekir mi?

SMS kullanılmıyor olması tek başına ticari iletişim yükümlülüğünü ortadan kaldırmaz. E-posta ve telefon araması gibi diğer iletişim kanalları da değerlendirilmelidir.

KVKK izni ile ticari ileti izni aynı mıdır?

Hayır. Kişisel verilerin işlenmesine ilişkin KVKK kapsamındaki süreçlerle ticari elektronik ileti gönderimine ilişkin izin süreçleri farklıdır.

Müşteri telefon numarasını verdiyse kampanya SMS'i gönderebilir miyim?

Telefon numarasının verilmiş olması tek başına her türlü pazarlama iletişiminin gönderilebileceği anlamına gelmez. Verinin hangi amaçla toplandığı ve ticari ileti mevzuatı kapsamındaki şartlar ayrıca değerlendirilmelidir.

E-posta da ticari ileti kapsamında olabilir mi?

Evet. Ticari elektronik ileti yalnızca SMS üzerinden düşünülmemelidir. E-posta ve telefon araması gibi kanallar da değerlendirmeye girebilir.

İYS'ye kayıt olmak izin almak anlamına gelir mi?

Hayır. İYS'ye kayıt olmak ile müşteriden ticari ileti izni almak farklı süreçlerdir.

KVKK aydınlatma metni ticari ileti izni yerine geçer mi?

Hayır. Aydınlatma yükümlülüğü ile ticari elektronik ileti izinleri farklı konulardır.

Ticari ileti izinleri kanal bazında yönetilmeli mi?

İletişim kanalının niteliğine göre izinlerin ayrı şekilde yönetilmesi, şirketin hangi kanalda hangi tercihe sahip olduğunu daha net takip etmesine yardımcı olabilir.

İzin yönetiminde en önemli kayıtlar nelerdir?

İzin veya tercihin hangi kişiyle ilişkili olduğu, ne zaman ve hangi kanaldan alındığı, hangi amaç ve iletişim kanalına ilişkin olduğu ve daha sonra değiştirilip değiştirilmediği gibi bilgilerin izlenebilir olması önemlidir.

Sonuç: "İzin" Tek Bir Checkbox Değildir

Şirketlerin izin yönetiminde yaptığı en temel hata, bütün izinleri tek bir kavram olarak görmektir. Oysa şirketin öncelikle şu soruları birbirinden ayırması gerekir:

• Bu veriyi işleyebilir miyim?
• Bu müşteriye ticari ileti gönderebilir miyim?
• Hangi iletişim kanalını kullanabilirim?
• Bu tercihin kaydını tutuyor muyum?
• Müşteri tercihini değiştirdiğinde bunu uygulayabiliyor muyum?

Dolayısıyla "SMS göndermiyoruz, izin almamıza gerek yok" demek de, "KVKK izni aldık, artık ticari ileti gönderebiliriz" demek de tek başına doğru bir yaklaşım değildir. Şirketler için daha sağlıklı yaklaşım, kişisel veri işleme süreçleri ile ticari iletişim süreçlerini birbirinden ayırmak ve bunların kesiştiği noktaları kontrollü şekilde yönetmektir.

Modern izin yönetimi de tam olarak burada başlar:

Veri → Amaç → Hukuki süreç → İletişim kanalı → İzin → Kayıt → İYS → İletişim → Ret

Bu zincirin tamamı yönetilebildiğinde şirket yalnızca "izin aldığını" değil, hangi izinleri neden ve hangi iletişim kanalı için aldığını da anlayabilir.

Şirketinizin izin süreçlerini kanal bazında yönetilebilir hâle getirmek için Entaveri çözümümüzü inceleyebilir ya da bizimle iletişime geçebilirsiniz.

Bu içerik genel bilgilendirme amacıyla hazırlanmıştır ve hukuki danışmanlık niteliğinde değildir. Kişisel verilerin işlenmesi ve ticari elektronik ileti süreçleri, şirketin faaliyet alanı, veri işleme amaçları, iletişim kanalları ve somut uygulamaları dikkate alınarak değerlendirilmelidir. Güncel mevzuat ve ilgili resmi kurum açıklamaları ayrıca incelenmelidir.