Banka Müşterisini Açık Rıza Almadan Telefonla Arayabilir mi? KVKK 2022/863
Kısa ve net cevap: Her telefon araması için açık rıza zorunlu değildir. Kişisel Verileri Koruma Kurulunun 1 Eylül 2022 tarihli ve 2022/863 sayılı kararında, bankanın mevcut müşterisini, kullandığı hizmete ilişkin bilgilendirme ve eksik rıza kaydının durumunu öğrenme amacıyla araması somut olayda 6698 sayılı Kanun m.5/2-a kapsamında “kanunlarda açıkça öngörülme” işleme şartına dayalı kabul edildi ve telefon numarasının bu amaçla işlenmesi bakımından banka hakkında işlem yapılmadı. Buna karşılık Kurul, bankanın ilgili kişinin KVKK başvurusunu süresinde ve ispatlanabilir şekilde cevaplamaması ile kişisel bilgi içeren cevabı adi posta yoluyla göndermesi konusunda bankayı uyardı ve Tebliğ’e uygun, güvenli ve takip edilebilir cevap yöntemleri kullanılması yönünde talimat verdi.
KVKK 2022/863 Kararındaki Olay Nedir?
İlgili kişi başka bir bankadaki hesabından veri sorumlusu bankadaki üçüncü kişiye ait hesaba para göndermiş, aynı gün banka tarafından telefonla aranmış ve aramanın tanıtım amacı taşıdığını düşünerek şikâyetçi olmuştur. İlgili kişi, kendisiyle iletişim kurulmasına rıza vermediğini, arama öncesinde aydınlatılmadığını ve bankaya yaptığı yazılı başvuruya yasal süresinde cevap verilmediğini ileri sürmüştür.
Banka ise ilgili kişinin 2015 yılından beri müşterisi olduğunu, iletişim izninin sistemde “evet” göründüğünü, aramalardan birinin eksik açık rıza beyanının durumunu öğrenmek; diğerinin ise 2016’dan beri sahip olduğu fakat aktif kullanmadığı internet bankacılığı hizmetiyle ilgili bir sorun yaşayıp yaşamadığını sormak amacıyla yapıldığını savundu. Banka, görüşmelerde yeni bir ürün satışı veya farklı bir hizmet tanıtımı yapılmadığını belirtti.
Kurul uyuşmazlığı üç ayrı başlıkta değerlendirdi: telefon numarasının arama için işlenmesinin hukuki dayanağı, aydınlatma yükümlülüğü ve ilgili kişinin m.13 başvurusunun cevaplanma şekli. Kararın önemi, “telefonla arama = mutlaka açık rıza” şeklindeki genel kabulün doğru olmadığını, aramanın amacı ve özel mevzuatın ayrıca incelenmesi gerektiğini göstermesidir.
Banka Neden Arama Yapmıştı ve Kurul Bunu Nasıl Değerlendirdi?
Kurul kararında iki aramanın içeriğine dikkat edildi. İlk arama, bankadaki açık rıza kaydının eksik olduğu anlaşıldığından müşterinin bu konudaki beyanını öğrenmeye yönelikti. İkinci arama ise mevcut internet bankacılığı hizmetinin kullanılamaması veya şifre sorunu bulunup bulunmadığı hakkında bilgi vermeyi amaçlıyordu. Kurul, bu görüşmelerin somut olayda yeni ürün/hizmet tanıtımı veya satış amacı taşımadığını kabul etti.
Bu ayrım belirleyicidir. Banka müşterisinin telefon numarasını kredi teklifi, yeni kart, sigorta veya yatırım ürünü pazarlamak amacıyla kullanması ile, mevcut hizmetteki bir teknik durum veya hesap ilişkisi hakkında bilgilendirme için kullanması aynı hukuki işlem değildir. Veri sorumlusu her iletişim senaryosunun amacını ve dayanağını ayrı belirlemelidir.
Kurul, ilgili kişinin bankayla devam eden müşteri ilişkisini, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun’daki onay gerektirmeyen bildirim hükümlerini ve 6698 sayılı Kanun m.5/2-a’yı birlikte değerlendirerek aramaların kanuni dayanağının bulunduğu sonucuna ulaştı.
Açık Rıza Olmadan Telefon Numarası Hangi Şartlarda İşlenebilir?
6698 sayılı Kanun m.5/1 kişisel verilerin kural olarak açık rıza olmaksızın işlenemeyeceğini düzenler. Ancak m.5/2’de açık rıza aranmaksızın veri işlenebilecek alternatif hukuki sebepler sayılmıştır. Bunlardan biri m.5/2-a’daki “kanunlarda açıkça öngörülme” şartıdır.
Bu bent uygulanırken yalnızca “bir kanun var” demek yeterli değildir. İlgili kanundaki düzenlemenin somut işleme faaliyetine gerçekten dayanak oluşturması gerekir. 2022/863 kararında Kurul, mevcut müşteri ilişkisi kapsamında hizmete ilişkin bilgilendirme aramalarını 6563 sayılı Kanun ve ilgili Yönetmelik hükümleriyle birlikte incelemiştir.
Bir başka deyişle, açık rıza kişisel veri işlemenin tek hukuki dayanağı değildir. Veri sorumlularının gereksiz şekilde açık rıza toplaması da doğru değildir. İşlem kanunda açıkça öngörülüyorsa, sözleşmenin ifası için gerekliyse veya m.5/2’deki başka bir şart mevcutsa, esas olan doğru hukuki sebebin seçilmesidir.
Ancak işleme amacı değişirse dayanak yeniden kontrol edilmelidir. Mevcut hizmetin kullanımına ilişkin bilgi vermek için hukuka uygun olan telefon kullanımı, aynı numaraya yeni ürün pazarlaması yapmak için otomatik olarak hukuka uygun hâle gelmez.
6563 Sayılı Kanun ile Banka Aramaları Arasındaki Bağlantı
6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun m.6 ticari elektronik iletilerin kural olarak alıcının önceden onayıyla gönderilmesini düzenler. Aynı maddede ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik’te, kişinin kendisiyle iletişim kurulması amacıyla iletişim bilgisini vermesi hâlinde temin edilen mal veya hizmete ilişkin değişiklik, kullanım ve bakım bildirimleri için ayrıca onay gerekmeyen durumlar vardır.
Yönetmelikte devam eden abonelik, üyelik veya ortaklık durumu; tahsilat, borç hatırlatma, bilgi güncelleme, satın alma ve teslimat gibi durumlara ilişkin bildirimler de belirli şartlarla onay zorunluluğu dışında düzenlenir. Kritik sınır, bu bildirimlerde başka bir mal veya hizmetin özendirilmemesi veya tanıtılmamasıdır.
2022/863 kararında banka aramalarının farklı bir ürün tanıtımına dönmediği kabul edildi. Bu nedenle Kurul, mevcut hizmete ilişkin aramanın m.5/2-a kapsamında hukuki dayanağı bulunduğunu değerlendirdi. Bu sonuç her banka araması için otomatik değildir. Görüşme sırasında yeni ürün önerilmesi, çapraz satış yapılması veya farklı bir pazarlama amacına geçilmesi hâlinde değerlendirme değişebilir.
Ticari elektronik iletiler hakkında genel çerçeve için izinsiz SMS ve e-posta ile 6563 sayılı Kanun rehberimizi de inceleyebilirsiniz.
Aydınlatma Yükümlülüğü Açık Rızadan Ayrı mıdır?
Evet. 6698 sayılı Kanun m.10 gereğince veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişiye veri sorumlusunun kimliği, işleme amacı, aktarım, toplama yöntemi ve hukuki sebep ile m.11’deki hakları hakkında bilgi vermelidir. Aydınlatma yükümlülüğü yalnız açık rızaya dayalı işlemlerde değil, m.5/2’deki diğer işleme şartlarına dayanan faaliyetlerde de yerine getirilir.
Aydınlatma, açık rıza istemek anlamına gelmez. Veri sorumlusu hukuki yükümlülüğe dayanıyorsa bunu aydınlatma metninde doğru biçimde açıklamalıdır; kişiden aynı faaliyet için “rıza” istemesi hukuki sebep kurgusunu belirsizleştirebilir.
2022/863 kararında Kurul, ilgili kişinin verilerinin ilk elde edilişinin Kanun’un yürürlüğünden önce olduğunu, iletişim izninin 2015’ten beri “evet” göründüğünü, Kanun’un Geçici m.1/3 hükmünü ve bankanın internet sitesindeki genel aydınlatmayı birlikte değerlendirmiş; somut aydınlatma iddiası bakımından ayrıca işlem yapılmasına gerek görmemiştir.
Aydınlatma ile açık rızanın ayrılığı hakkında güncel yaklaşım için KVKK aydınlatma ve açık rıza ayrımı yazımız incelenebilir.
Bankaya KVKK Başvurusu Nasıl Yapılır?
6698 sayılı Kanun m.13’e göre ilgili kişi, m.11’deki haklarına ilişkin taleplerini önce veri sorumlusuna iletir. Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ, başvurunun taşıması gereken unsurları ve kullanılabilecek yöntemleri düzenler. Başvuruda ad-soyad, imza, Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, yabancılar için pasaport veya varsa kimlik numarası, tebligata esas adres, varsa bildirime esas elektronik posta/telefon/faks ve talep konusu bulunmalıdır.
2022/863 kararında ilgili kişi başvurusunu posta yoluyla iletmiş ve Kurul bu başvurunun zorunlu unsurları taşıdığını tespit etmiştir. Banka, başvuru adresi ile sistemde kayıtlı adresin farklı olmasını ve imza uyuşmazlığını gerekçe göstererek cevap sürecinde sorun yaşamış; ancak Kurul başvurunun usulüne uygun olduğu sonucuna varmıştır.
Veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde cevaplamak zorundadır. Cevabın yalnız hazırlanması değil, ilgili kişiye güvenli ve ispatlanabilir şekilde ulaştırılması da önemlidir. “Cevabı gönderdik” savunması, tebliği veya gönderimi belgeleyemiyorsa yeterli olmayabilir.
KVKK Başvurusuna Adi Posta ile Cevap Neden Risklidir?
Kurul 2022/863 kararında, kişisel bilgi içeren KVKK cevaplarının adi posta ile gönderilmesinin ilgisiz üçüncü kişilerin eline geçme ve dolayısıyla veri güvenliği açığı doğurma riskine dikkat çekmiştir. Adi postada gönderinin teslim edildiğini ve kime teslim edildiğini ispat imkânı sınırlıdır.
Bu nedenle Kurul bankayı, Tebliğ m.6’ya uygun şekilde kişisel bilgi içeren cevapları daha güvenilir ve takip edilebilir yöntemlerle iletmesi yönünde uyarmıştır. Somut yönteme göre KEP, güvenli elektronik ileti, taahhütlü/APS gönderim veya kimlik doğrulamalı dijital kanal tercih edilebilir.
Güvenli gönderim yalnız ispat meselesi değildir. KVKK cevabının içinde hesap, iletişim, işlem geçmişi veya başka kişisel veriler bulunabilir. Yanlış kişiye teslim, başlı başına yeni bir kişisel veri ihlali riski doğurabilir.
Banka Cevap Verdiğini Nasıl İspatlar?
Kurul, 2022/863 kararında bankadan ilgili kişiye verdiği cevaba ve cevabın ilgili kişi tarafından tebellüğ edilip edilmediğine ilişkin tevsik edici belge sunmasını istemiştir. Kararda örnek olarak KEP delili, e-posta ekran görüntüsü veya APS alındısı gibi kayıtlar belirtilmiştir.
Bu yaklaşım, veri sorumlusunun başvuru yönetiminde audit trail tutmasının gerekliliğini gösterir. Başvurunun sisteme giriş tarihi, sorumlu birime atanma tarihi, cevap tarihi, kullanılan kanal, gönderim delili ve teslim sonucu tek bir dosyada tutulmalıdır.
Yoğunluk veya personel yetersizliği m.13’teki azami otuz günlük süreyi ortadan kaldırmaz. 2022/863 olayında bankanın pandemi döneminde başvuru sayısının arttığını açıklaması, yasal süre bakımından sonuç değiştirmemiştir.
Bankalar ve Finans Kuruluşları İçin Uyum Adımları
İlk olarak çağrı nedenleri kodlanmalıdır. “Mevcut hizmet bilgilendirmesi”, “güvenlik doğrulaması”, “borç/ödeme bildirimi”, “yeni ürün pazarlaması” ve “müşteri memnuniyeti” gibi amaçlar ayrı tanımlanmalı; her biri için m.5 hukuki sebebi ve 6563/diğer sektörel düzenlemeler belirlenmelidir.
İkinci olarak çağrı merkezi temsilcisi amaç sınırını aşmamalıdır. Hukuki dayanağı yalnız mevcut hizmet bilgilendirmesi olan aramanın görüşme içinde satış kampanyasına dönüşmesi, başlangıçta geçerli olan hukuki sebebin yeni amaç için yeterli olmamasına yol açabilir.
Üçüncü olarak aydınlatma kayıtları güncel tutulmalı ve farklı kanallarda tutarlı olmalıdır. Web sitesindeki genel metin, çağrı merkezi akışı ve mobil uygulamadaki bilgilendirme birbirini çelişmemelidir.
Dördüncü olarak KVKK başvuru süreci ayrı SLA ile yönetilmelidir. Otuz günlük süre üst sınırdır; başvurular kaybolmamalı, cevaplar izlenebilir kanallarla iletilmeli, gönderim delilleri saklanmalıdır.
Beşinci olarak eski müşteri kayıtları ve Kanun öncesi rıza/izin kayıtları düzenli olarak gözden geçirilmelidir. 2022/863 kararında Geçici m.1/3 özel rol oynasa da 2026 itibarıyla işletmelerin güncel veri envanteri ve hukuki sebep haritasıyla hareket etmesi gerekir.
Sık Yapılan Hatalar
- Her telefon aramasında açık rıza zorunlu sanmak: M.5/2’deki diğer hukuki sebepler somut olaya göre uygulanabilir.
- Mevcut hizmet bilgilendirmesini pazarlamayla karıştırmak: Görüşmenin amacı ve içeriği belirleyicidir.
- Aydınlatma ile açık rızayı aynı işlem kabul etmek: M.10 bilgilendirme, m.5 ise hukuki dayanak meselesidir.
- KVKK başvurusunu yalnız kayıtlı iletişim kanalından gelmedi diye cevapsız bırakmak: Tebliğ’deki zorunlu unsurlar ve yöntemler somut başvuruda incelenmelidir.
- Cevabı adi postaya verip sürecin bittiğini düşünmek: Kişisel bilgi içeren cevabın güvenli ve takip edilebilir iletimi gerekir.
- Gönderim delili tutmamak: Cevabın hazırlanması kadar süresinde iletildiğinin ispatı da önemlidir.
Resmî Kaynaklar
- Kişisel Verileri Koruma Kurulu 01.09.2022 tarihli ve 2022/863 sayılı karar özeti
- 6698 sayılı Kişisel Verilerin Korunması Kanunu – m.3, m.5, m.10, m.11, m.13, m.14, Geçici m.1
- 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun – m.6
- Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ
Sık Sorulan Sorular
1. Banka müşteriyi açık rıza almadan arayabilir mi?
Somut amaca göre evet. 2022/863 kararında mevcut hizmete ilişkin arama m.5/2-a kapsamında hukuka uygun bulundu.
2. Kararda banka ceza aldı mı?
Hayır. Telefon numarasının arama amacıyla işlenmesi ve aydınlatma iddiası yönünden banka hakkında işlem yapılmadı; başvuru cevap süreci ve güvenli iletim konusunda uyarı/talimat verildi.
3. Banka yeni kredi teklif ederse aynı sonuç geçerli midir?
Otomatik olarak geçerli değildir. Yeni ürün pazarlaması farklı amaç ve ticari ileti koşullarına tabi olabilir.
4. KVKK başvurusuna kaç günde cevap verilmelidir?
Kanun m.13’e göre en kısa sürede ve en geç otuz gün içinde.
5. Adi posta ile cevap göndermek yasak mı?
Kurul bu kararında kişisel bilgi içeren cevapların adi postayla gönderilmesini güvenlik ve ispat riski nedeniyle uygun bulmamış, daha güvenli ve takip edilebilir yöntemler kullanılmasını istemiştir.
6. Banka cevabı gönderdiğini nasıl ispatlar?
KEP delili, e-posta kayıtları, APS/taahhütlü gönderim alındısı veya güvenli dijital kanal logları gibi tevsik edici belgeler kullanılabilir.
7. Aydınlatma yapılması için açık rıza gerekir mi?
Hayır. Aydınlatma yükümlülüğü veri sorumlusunun kanuni görevidir ve bütün işleme şartlarında uygulanır.
8. Açık rıza m.5’in tek dayanağı mıdır?
Hayır. M.5/2’de kanunda öngörülme, sözleşmenin ifası, hukuki yükümlülük, bir hakkın tesisi ve meşru menfaat gibi diğer şartlar sayılmıştır.
9. Müşteri aramayı hemen kapatırsa aydınlatma ne olur?
Veri sorumlusu aydınlatma yükümlülüğünü yerine getirmek için uygun ve erişilebilir yöntem kurmalıdır; somut olayın koşulları ayrıca değerlendirilir.
10. KVKK başvurusunun cevabı sadece hazırlanmışsa süreye uyulmuş olur mu?
Cevabın ilgili kişiye süresinde iletildiğinin de gösterilebilmesi gerekir. Gönderim ve teslim kayıtları bu nedenle önemlidir.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
