İstanbul Fuarında Kartvizit ve Yaka Kartı Taraması: KVKK ve Ticari İleti
İstanbul’daki bir fuarda kartvizit verilmesi veya yaka kartının okutulması, ziyaretçinin iletişim bilgilerinin her amaçla kullanılmasına izin verildiği anlamına gelmez. Belirli bir ürün teklifi göndermek, sürekli kampanya listesi oluşturmak ve bilgileri sponsorlara aktarmak ayrı işlemlerdir. Her işlem için kişisel veri işleme şartı, aydınlatma ve gerekiyorsa ticari elektronik ileti onayı incelenir. Fuara giriş için oluşturulmuş ziyaretçi kaydı, bütün katılımcılara sınırsız pazarlama hakkı sağlayan ortak bir veri havuzu değildir.
Bu rehber, İstanbul fuarlarına katılan işletmelerin kartvizit, elektronik ziyaretçi formu ve yaka kartı okuyucularıyla elde ettiği bilgilerin hukuki yönetimine odaklanır. Organizatör, stant sahibi, yazılım sağlayıcısı ve sponsorun görevleri aynı değildir. Metinde önerilen kayıt düzeni, kanunda ayrıca öngörülmüş zorunlu bir fuar formu olarak sunulmamaktadır. Amaç, hangi bilginin kim tarafından ve hangi sınırlarla kullanılacağının açık biçimde kurulmasıdır.
İş e-postası ve kartvizit bilgisi kişisel veri midir?
6698 sayılı Kanun m.3 bakımından ölçüt, bilginin kimliği belirli veya belirlenebilir gerçek kişiyle ilişkili olmasıdır. Çalışanın adı, görevi, doğrudan telefon numarası ve kişiyi tanımlayan iş e-postası bu çerçevede değerlendirilir. Kartın şirket logosu taşıması, üzerindeki gerçek kişiye ait bilgileri koruma dışında bırakmaz. Sadece tüzel kişiyi gösteren genel iletişim adresiyle adı belirli çalışanın adresi aynı kayıt değildir.
Yaka kartında yalnız sayısal bir kod görünmesi de tek başına anonimlik sağlamaz. Kod, organizatörün veya katılımcının sisteminde belirli ziyaretçiye bağlanabiliyorsa kişisel veri incelemesi devam eder. Hangi alanların okuyucuya aktarıldığı görülmelidir. Kart üzerindeki görünen bilgilerle tarama sonrasında indirilen dosyanın alanları farklı olabilir; yalnız cihaz ekranına bakılarak veri kapsamı belirlenmemelidir.
Verinin kâğıttan elektronik tabloya geçirilmesi, fotoğrafının çekilmesi veya müşteri ilişkileri sistemine kaydedilmesi de işleme faaliyetidir. Kartvizitin fiziksel olarak teslim edilmiş olması, sonraki işlemlerin hukuki değerlendirmesini kaldırmaz. Kaydın kaynağı, alınma amacı ve ilgili kişiye verilen bilgi korunmalıdır. Böylece aynı e-posta adresinin farklı fuarlardan farklı amaçlarla elde edildiği durumlar birbirine karışmaz.
Organizatör, katılımcı ve tarama uygulamasının rolleri
Kanun m.3’te veri sorumlusu, işleme amaç ve araçlarını belirleyen kişi olarak tanımlanır. Bir stant sahibi kendi kampanya listesini oluşturuyorsa bu faaliyet, sırf organizatörün uygulaması kullanıldığı için tamamen organizatöre ait sayılmaz. Yazılım şirketinin yalnız talimatla kayıt tutması ile verileri kendi reklamları için kullanması farklı rollerdir. Sözleşmedeki etiket, gerçek faaliyet görülmeden tek başına belirleyici kabul edilmemelidir.
Fuar katılım sözleşmesinde ziyaretçi bilgilerinin nasıl paylaşılacağı açıklanmalıdır. Katılımcıya yalnız kendi standında okutulan kartlar mı, belirli oturumlara katılanlar mı, yoksa bütün ziyaretçi listesi mi veriliyor? Bu üç veri akışı aynı kapsamda değildir. Aktarımın hukuki dayanağı, aydınlatmada gösterilen alıcılar ve katılımcının kullanım amacı birlikte kontrol edilir.
Teknik hizmet sözleşmesinde veriye erişebilen personel, dışa aktarma yetkisi, saklama yeri, silme işlemi ve olay bildirimi düzenlenebilir. Bu maddeler, kişisel veri işlemenin başlı başına hukuki şartını oluşturmaz; geçerli işleme faaliyetinin güvenli yürütülmesine hizmet eder. Organizatörle yapılan bir anlaşma, ziyaretçiye karşı kanuni yükümlülüklerin tümünü diğer tarafa devreden sınırsız bir sorumsuzluk belgesi gibi kullanılmamalıdır.
Teklif talebi ile sürekli reklam listesinin ayrılması
Ziyaretçinin belirli makine için fiyat istemesi halinde, takip kaydında ürün ve istenen iletişim biçimi belirtilmelidir. Bu talep ile aynı kişiye sonraki yıllarda bütün kampanyaların gönderilmesi aynı amaç değildir. Teklif dosyasındaki bilgiler başka bir pazarlama amacına taşınacaksa bunun dayanağı ayrıca değerlendirilir. “Kartını verdi” notu, bütün kullanım türlerinin ayrıntısını açıklayan kayıt yerine geçmez.
Kanun m.4; belirli, açık ve meşru amaç, amaçla bağlantılılık ve ölçülülük esaslarını düzenler. Fiyat teklifinin hazırlanması için gerekli olmayan kişisel bilgiler formda zorunlu alan yapılmamalıdır. Kişisel ilgi, aile durumu veya sağlık bilgisi gibi görüşme notları, sadece satış ekibinin işine yarayacağı düşüncesiyle toplanamaz. Talep edilen verinin işlevi açıkça gösterilmelidir.
Bir çalışan şirketi adına teklif istediğinde, teklif sözleşmesinin tarafı ile iletişim kurulan gerçek kişi aynı olmayabilir. Bu nedenle bütün çalışan verilerinin otomatik olarak m.5/2-c’deki sözleşmenin kurulması şartına dayandığı söylenmemelidir. İşlemenin somut ilişkisi ve başka uygun şart bulunup bulunmadığı incelenir. Hukuki dayanak, müşteri yönetim programındaki varsayılan seçenekten değil gerçek faaliyetten hareketle belirlenir.
Her kayıt için açık rıza almak zorunlu mudur?
Kişisel verilerin işlenmesine ilişkin resmî açıklama, Kanun m.5’te açık rıza dışında sınırlı sayıda işleme şartı bulunduğunu belirtir. Kanuni yükümlülük, hakkın tesisi veya korunması ve koşulları bulunan meşru menfaat bunlar arasındadır. Bu şartlardan biri gerçekten uygulanıyorsa aynı işlem için gereksiz rıza kurgulanmamalıdır. Buna karşılık “ticari menfaatimiz var” ifadesi tek başına her pazarlama faaliyetini hukuka uygun hale getirmez.
Meşru menfaat değerlendirmesinde amaç, gereklilik ve ilgili kişinin temel hakları birlikte ele alınmalıdır. Ziyaretçinin makul beklentisi, temasın bağlamı ve daha az veriyle aynı amaca ulaşma imkânı önemlidir. İşletmenin bütün fuar kayıtlarını süresiz saklama isteği, kişinin hakları hiç değerlendirilmeden üstün tutulamaz. Değerlendirme, gönderim yapıldıktan sonra gerekçe bulmak için değil faaliyet kurulurken gerçekleştirilmelidir.
Açık rızaya dayanılacaksa hangi işleme izin istendiği belirli olmalıdır. Önceden işaretlenmiş kutu, anlaşılmaz toplu ifade veya görüşmeyi sürdürme davranışı kendiliğinden geçerli açık rıza sayılmaz. Rıza vermeyen kişinin zorunlu olmayan pazarlama işlemine rağmen ürün hakkında bilgi alabilmesi ayrı değerlendirilir. Aydınlatma, rıza ve ticari ileti onayı tek bir belirsiz kabul cümlesine sıkıştırılmamalıdır.
Stantta aydınlatma nasıl görünür hale getirilir?
Kanun m.10 kapsamındaki aydınlatma; veri sorumlusunun kimliğini, amaçları, aktarılabilecek kişileri ve aktarım amaçlarını, toplama yöntemini, hukuki sebebi ve kişinin haklarını kapsar. Bu yükümlülük, açık rıza aranmayan işlemlerde de vardır. Kart okuyucunun çalışması veya kişinin formu doldurması, gerekli bilginin ona sunulduğunu tek başına kanıtlamaz.
Stantta kısa bilgilendirme ile ayrıntılı metne erişim birlikte düzenlenebilir. Ancak yalnız QR kodun bulunması, içerik erişilemiyorsa veya neye yönlendirdiği anlaşılmıyorsa yeterli çalışma düzeni değildir. Mobilde açılmayan, yabancı ziyaretçinin anlamadığı veya başka şirketin metnine götüren bağlantılar kontrol edilmelidir. Metindeki şirket unvanı ile veriyi kullanacak şirket aynı olmalıdır.
Form üzerinde bilgilendirmenin okunduğuna ilişkin kayıt alınmasıyla pazarlamaya rıza alınması farklı işlemlerdir. Görüşmenin tarihi, kullanılan metnin sürümü ve varsa ayrı irade açıklaması korunabilir. Bu ispat düzeni, kişiye gerçekte hiç gösterilmemiş bir metnin sonradan kayıt tarihine eklenmesini haklı kılmaz. Personelin hangi açıklamayı yapacağı da fuardan önce netleştirilmelidir.
Organizatörden veya sponsordan gelen liste kullanılabilir mi?
Kanun m.8, yurt içi aktarımı ayrıca düzenler. Listeyi veren kişinin bu verilere sahip olması, alan işletmenin bütün kullanımlarını meşru hale getirmez. Kurumun üçüncü kişilerden edinilen pazarlama verileri duyurusu da verinin üçüncü kişiden gelmesinin tek başına işleme dayanağı olmadığını açıklar. Bu ilke, fuar listelerinin değerlendirilmesinde de dikkate alınmalıdır.
Dosyada listenin hangi etkinlikten geldiği, hangi ziyaretçi grubunu kapsadığı, hangi aktarım için bilgilendirme yapıldığı ve alıcının ne yapabileceği gösterilir. Sadece “organizatör izinleri aldı” güvencesiyle yetinilmemelidir. İzin veya başka işleme şartı ileri sürülüyorsa kapsamı ve ilgili taraflar anlaşılmalıdır. Bir sponsorun kendi hizmeti için aldığı onay, diğer sponsorların bütün reklamlarını kapsayacak biçimde otomatik genişletilemez.
Dolaylı veri toplamada aydınlatmanın zamanı, ilgili Tebliğ m.6 kapsamında ayrıca değerlendirilir. İlk iletişimde bilgi verilmesi gereken durumda, önce pazarlama yapıp aydınlatmayı belirsiz bir tarihe bırakmak doğru değildir. Kişinin aramayı hemen kapatmaması veya soru sorması da rıza eksikliğini kendiliğinden gidermez. Toplama kaynağı bilinmeyen eski dosyalar yeni fuar kayıtlarıymış gibi gösterilmemelidir.
6563 sayılı Kanun: tacir ve esnaf istisnasının sınırı
6563 sayılı Kanun m.6, ticari elektronik iletilerde önceden onayı esas alır; ikinci fıkra esnaf ve tacirlere ilişkin istisnayı düzenler. Fuarın yalnız profesyonellere açık olması, listedeki her gerçek kişinin bu sıfatları taşıdığını kanıtlamaz. Şirket çalışanı, öğrenci, danışman ve şahıs işletmesi sahibi aynı hukuki konumda değildir. İletişimin kime, hangi sıfatla yöneltildiği belirlenmelidir.
Bu istisna kişisel verilerin korunması hükümlerini kaldırmaz. Ticari elektronik ileti yönünden ön onay aranmaması ile kişi verisinin toplanması, saklanması ve aktarılması için hukuki şart bulunması farklıdır. İki mevzuat ayrı kontrol edilmelidir. Genel onay düzeninin ayrıntısı ticari elektronik ileti ve tacir-esnaf istisnası rehberinde açıklanmıştır.
Talep edilen teknik dokümanın gönderilmesiyle kampanya duyurusu içeren toplu e-posta aynı içerik değildir. Mesajın başlığı “teşekkür” olsa da gövdesinde reklam bulunuyorsa değerlendirme gerçek içeriğe göre yapılır. Kanun m.7, iletinin onayla uyumlu olmasını ve gönderenin tanınmasını sağlayan bilgileri düzenler. Gönderim listesi oluşturulurken kanal, içerik ve alıcı sıfatı ayrı alanlarda tutulmalıdır.
İletiyi reddeden ziyaretçinin kaydı nasıl yönetilir?
6563 sayılı Kanun m.8 uyarınca alıcı gerekçe göstermeden iletiyi reddedebilir; kolay ve ücretsiz ret imkânı sunulur. Talebin ulaşmasından sonra üç iş günü içinde gönderim durdurulmalıdır. Bu süre, kişisel veri başvurusunun genel cevap süresiyle karıştırılmaz. Pazarlama istemediğini belirten kişiye “KVKK başvurunuz otuz günde cevaplanacak” denilerek kampanya gönderilmeye devam edilmemelidir.
Ret kaydı yalnız bir çalışanın bilgisayarındaki tabloda tutulursa başka ekip aynı kişiyi yeniden listeye ekleyebilir. İYS kapsamındaki kayıt ve ret süreçleriyle kullanılan gönderim araçlarının uyumu ayrıca kontrol edilmelidir. Buradaki pratik amaç, aynı kişinin sonraki fuarda tekrar kart okutması halinde önceki ret bilgisinin açıklamasız biçimde silinmesini önlemektir. Yeni ve geçerli bir irade açıklaması varsa onun kapsamı ayrıca kaydedilir.
Ret kaydını ispat için gerekli bilgileri sınırlı biçimde tutmakla, reddeden kişinin bütün profilini reklam amacıyla saklamak aynı faaliyet değildir. Dayanak ve saklama ihtiyacı belirlenmelidir. Onay ve gönderimin ispatı konusunda ticari ileti onayının ispatı rehberi tamamlayıcıdır. Satın alınmış bir listede sadece “izinli” sütununun bulunması ayrıntılı kayıt yerine geçmez.
Fuar kayıtları yurt dışındaki sisteme aktarılıyorsa
Yabancı merkezli yazılım kullanılmasıyla verinin fiilen yurt dışına aktarılması aynı tespit değildir; saklama, erişim ve alt hizmet sağlayıcılar incelenmelidir. Yurt dışındaki merkez veya hizmet sağlayıcı kişi kayıtlarına erişiyorsa Kanun m.9 kapsamındaki aktarım düzeni değerlendirilir. Yalnız sözleşmede sunucunun adı yazdığı için bütün aktarım koşullarının tamamlandığı kabul edilmez.
Kurumun güncel yurt dışına aktarım açıklaması, 1 Haziran 2024’te yürürlüğe giren aşamalı rejimi anlatır. Yeterlilik kararı, uygun güvenceler ve sınırlı istisnai haller birbirinden ayrılır. Standart sözleşme seçilecekse gerçek veri akışına uygun taraflar ve kapsam belirlenir; her yabancı yazılım için otomatik olarak aynı sözleşme türü kullanılmaz.
Fuara katılan yabancı ziyaretçinin verisinin Türkiye’de toplanması da sırf kişinin yabancı olması nedeniyle yurt dışı aktarımı sayılmaz. Aktarımın yönü, veri alıcısı ve erişim yeri somutlaştırılmalıdır. Avrupa’daki bir şirkete yapılacak paylaşımda o şirketin tabi olduğu yükümlülükler ayrıca gündeme gelebilir; “uluslararası fuar” etiketi iki hukuk düzenini de kendiliğinden karşılayan izin oluşturmaz.
Kartvizit fotoğrafları, personel telefonları ve toplu dosyalar
Kanun m.12, hukuka aykırı işlemeyi ve erişimi önlemekle verileri korumayı düzenler. Fuar ekibinin kişisel telefonlarında biriken kartvizit fotoğrafları, ortak şifreyle kullanılan tarama hesabı ve herkese açık dosya bağlantısı güvenlik incelemesine alınmalıdır. Erişim yetkisi görevle sınırlı kurulmalı; geçici personelin işi bittiğinde yetkisi kontrol edilmelidir.
Toplu e-posta gönderiminde bütün ziyaretçilerin adreslerini birbirine görünür kılmak, yalnız gönderim tekniği sorunu değildir. Yanlış alıcıya dosya gönderilmesi veya katılımcı listesinin dışarı sızması halinde olayın kapsamı araştırılır. Kimlerin hangi kaydı aldığı, ne zaman fark edildiği ve alınan önlemler ayrı belgelenir. İnceleme tamamlanmadan “dosya silindi, ihlal yok” sonucuna varılmamalıdır.
Tarama hizmetini dışarıdan almak veri sorumlusunun güvenlik sorumluluğunu bütünüyle kaldırmaz. Hizmet sağlayıcının veriyi kendi amaçları için kullanıp kullanmadığı, alt hizmet ilişkisi ve silme düzeni incelenir. Yapay zekâ ile müşteri puanlama başka bir işlem olarak kurulacaksa müşteri verisinin yapay zekâ sistemine aktarılması rehberi ayrıca dikkate alınmalıdır.
Fuar bittikten sonra saklama ve ilgili kişi başvurusu
Kanun m.4 ve m.7 uyarınca saklama, işleme amacının ve hukuki yükümlülüğün gerektirdiği süreyle ilişkilendirilir. Her fuar kartviziti için gerekçesiz tek bir beş veya on yıllık süre uygulanmamalıdır. Gerçek teklif dosyası, sözleşmeye dönüşen müşteri ilişkisi ve hiç temas kurulmamış ziyaretçi kaydı farklı ihtiyaçlar doğurur. İşleme şartı ortadan kalkmış veriler için silme, yok etme veya anonimleştirme süreci işletilir.
İlgili kişi, verinin kaynağı ve amacı hakkında Kanun m.11 kapsamındaki haklarını kullanabilir. Veri sorumlusuna başvuru, Kurula şikâyetten önce izlenecek yoldur; m.13 uyarınca başvuru en kısa sürede ve en geç otuz gün içinde sonuçlandırılır. Başvuru sahibinin doğrulanması için gereken işlem, gereksiz yeni kişisel verilerin toplanmasına dönüştürülmemelidir.
Ticari elektronik ileti şikâyeti ise ayrı bir başvuru türüdür. Ticaret Bakanlığının açıklaması, elektronik şikâyet sistemi ve ilgili il müdürlüğü yolunu gösterir. Gönderimin durdurulması, kişisel verinin kaynağının açıklanması ve tazminat aynı istem değildir. Bir kurumun yaptığı işlem, diğer talebin de kendiliğinden sonuçlandığı şeklinde değerlendirilmemelidir.
İstanbul fuarı için uygulanabilir kayıt cetveli
| Kayıt alanı | Kontrol sorusu |
|---|---|
| Kaynak ve tarih | Kartvizit mi, stant taraması mı, organizatör listesi mi? |
| Amaç ve veri alanları | Teklif için hangi bilgi gerekli, kampanya işlemi ayrı mı? |
| Hukuki dayanak | Her işleme için m.5 şartı ve ileti onayı değerlendirilmiş mi? |
| Aydınlatma ve onay | Hangi metin hangi tarihte sunuldu, ayrı irade kaydı var mı? |
| Aktarım ve erişim | Sponsor, yazılım ve yurt dışı merkez hangi veriyi alıyor? |
| Ret ve saklama | Gönderim durduruldu mu, gerekli kayıtların saklama nedeni belli mi? |
Bu cetvel, binlerce ziyaretçiyi tek işlem gibi yönetmek yerine gerçek veri akışlarını ayırır. Her satırın belgelere dayanması gerekir; sonradan topluca “onay alındı” yazmak geçmişteki eksikliği gidermez. Fuar sonunda yalnız elde edilen kişi sayısı değil, hangi kayıtların hangi amaçla hukuka uygun kullanılabildiği kontrol edilmelidir. Böylece pazarlama ekibinin çalışma listesiyle kurumun uyum kayıtları birbirini doğrular.
Sık sorulan sorular
Kartvizit vermek bütün kampanyalara açık rıza sayılır mı?
Hayır. Belirli teklif talebiyle sürekli reklam faaliyeti ayrıdır. İşlemenin amacı, hukuki şartı ve gerektiğinde ayrı onay kaydı incelenir.
Çalışanın şirket e-postası kişisel veri olabilir mi?
Evet. Adı belirli veya belirlenebilir gerçek kişiyle ilişkilendirilen iş e-postası ve doğrudan iletişim bilgileri Kanun m.3 kapsamında değerlendirilir.
Yaka kartında sadece kod bulunması veriyi anonim yapar mı?
Tek başına yapmaz. Kod sistemde ziyaretçiye bağlanabiliyorsa kişi belirlenebilir durumdadır. Tarama sonrasında aktarılan alanlar ayrıca kontrol edilir.
Organizatörden alınan liste serbestçe kullanılabilir mi?
Hayır. Aktarımın ve sonraki kullanımın hukuki dayanağı ayrı belirlenir. Listeyi verenin veriye sahip olması, alıcıya sınırsız pazarlama yetkisi sağlamaz.
Aydınlatma metnini okutmak pazarlama onayı yerine geçer mi?
Geçmez. Aydınlatma bir yükümlülük; gerekli açık rıza ve ticari ileti onayı ise ayrı irade açıklamalarıdır. Belirsiz tek kabul cümlesiyle karıştırılmamalıdır.
Profesyonel fuardaki herkes tacir veya esnaf sayılır mı?
Hayır. Ziyaretçinin ve ileti alıcısının gerçek sıfatı belirlenmelidir. Bir şirketin çalışanı olmak, kişinin kendisini otomatik olarak tacir yapmaz.
Tacire ileti gönderme istisnası KVKK’yı kaldırır mı?
Kaldırmaz. 6563 m.6/2 ön onay istisnasıyla kişisel veri işleme, aydınlatma, aktarım ve güvenlik yükümlülükleri farklıdır.
Ret talebi geldikten sonra gönderim ne zaman durdurulur?
6563 m.8 uyarınca talebin ulaşmasından sonra üç iş günü içinde durdurulur. KVKK başvurusunun otuz günlük cevap süresi bu gönderim süresinin yerine geçmez.
Her yabancı yazılım otomatik olarak yurt dışı aktarımı mıdır?
Yazılım markasıyla yetinilmez; saklama, erişim ve alıcı yapısı incelenir. Fiilî yurt dışı aktarım varsa Kanun m.9’daki güncel koşullar değerlendirilir.
Fuar bitince bütün kayıtlar süresiz saklanabilir mi?
Hayır. Amaç, hukuki yükümlülük ve gerekli saklama süresi belirlenir. İşleme şartı ortadan kalkan kayıtlar için m.7 kapsamındaki işlemler uygulanır.
Kanuni dayanaklar ve resmî kaynaklar
6698 sayılı Kanun m.3–5, 7–13; işleme şartları, aydınlatma, yurt dışı aktarım ve veri güvenliği konularındaki Kurum açıklamaları. 6563 sayılı Kanun: m.6–8. Ticaret Bakanlığı ticari elektronik ileti bilgileri. Tarihsel kabul metinleri sonraki değişikliklerle birlikte değerlendirilmelidir.
İstanbul ofisi
Bakırcı & Keskin Hukuk Bürosu, Mersin merkezli Türkiye geneli çalışmalarını İstanbul ve Mersin odaklı yürütür. Fuar katılım sözleşmesi, ziyaretçi formu ve veri akışı kayıtlarıyla İstanbul ofisi iletişim bilgilerine ulaşabilirsiniz. Bu metin genel bilgilendirmedir; belirli bir veri tabanı hakkında verilmiş uygunluk kararı değildir.
Maslak Ahi Evran Caddesi, Polaris Plaza No:21, Kat:9, 34475 Sarıyer/İstanbul
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
