Son güncelleme: 27.07.2026
Tavsiye pazarlaması Türkiye’de yasak değildir. Ancak bir arkadaşın telefon numarasını toplayıp CRM sistemine eklemek ve bunu doğrudan iletişime geçilecek bir potansiyel müşteri olarak değerlendirmek, yalnızca bir tavsiye formuyla karşılanamayacak kişisel veri ve ticari elektronik ileti yükümlülüklerini beraberinde getirir.
Kişisel Verileri Koruma Kurumu (KVKK), 21 Temmuz 2026 tarihinde üçüncü kişilerden elde edilen ve reklam veya pazarlama amacıyla kullanılan kişisel verilere ilişkin bir kamuoyu duyurusu yayımladı. Bu duyuru; tavsiyeler, öneriler, marka elçiliği programları, tanıdık yönlendirmeleri ve müşteri önerileri aracılığıyla elde edilen telefon numaraları, e-posta adresleri ve benzeri iletişim bilgileriyle ilgili gelen çok sayıda ihbar ve şikâyet üzerine yapıldı.
Kurumun verdiği temel mesaj oldukça nettir:
Bir müşteriden veya başka bir üçüncü taraftan iletişim bilgilerini almak, bu bilgilerin reklam veya pazarlama amacıyla kullanılması için tek başına hukuki bir dayanak oluşturmaz.
Bu, her pazarlama faaliyeti için açık rızanın zorunlu olduğuna dair yeni ve genel bir kural değildir. Kurum, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki işleme şartlarının her somut olay için ayrı ayrı değerlendirilmesi gerektiğini açıkça belirtmektedir. Buradaki pratik uyarı, “bu kişiyi bir başkası önerdi” ifadesinin söz konusu işleme şartlarından biri olmadığıdır.
Bu nedenle kuruluşlar, tavsiye kampanyalarını iki ayrı hukuki katman üzerinden test etmelidir:
Bir testten geçmek, diğerinin de otomatik olarak karşılandığı anlamına gelmez.
Kurum, mevcut müşterilerden veya diğer üçüncü taraflardan elde edilen iletişim bilgilerini reklam ve pazarlama amacıyla kullanan veri sorumluları hakkında çok sayıda ihbar ve şikâyet aldığını belirtti.
Bildirilen uygulamalar arasında şunlar yer almaktadır:
Duyuru ayrıca, üçüncü taraflardan elde edilen verilerin pazarlama amacıyla kullanıldığı Kurul incelemelerine de atıfta bulunmaktadır. Veri sorumlularına, bu tür faaliyetlerin KVKK'nın işleme şartlarına, şeffaflık gerekliliklerine ve genel ilkelere uygun olması gerektiğini hatırlatmaktadır.
Duyuru, yönlendirme tarzı yöntemleri açıkça belirtse de, gerekçeleri satın alınan, takas edilen veya gayri resmi olarak paylaşılan müşteri listeleri için de geçerlidir. Bir liste satın almak veya teslim almak verinin kaynağını değiştirir; ancak alıcının kendi kullanımı için yasal dayanak oluşturmaz.
Duyuru, yönlendirme pazarlamasına yönelik yeni bir yasal yasaktan ziyade, mevcut yükümlülüklerin kamuoyuna duyurulması ve açıklanması niteliğindedir. Bununla birlikte Kurum, KVKK'ya aykırı hareket ettiği tespit edilen veri sorumlularının 18. madde uyarınca idari yaptırımlarla karşılaşabileceğini açıkça belirtmektedir.
Tipik bir yönlendirme formu, mevcut bir müşteriden bir arkadaşının adını ve telefon numarasını girmesini ister. Gönderim yapıldıktan sonra şirket şu varsayımlarda bulunabilir:
Bu varsayımların hiçbiri bir KVKK işleme şartı oluşturmaz.
Yönlendirenin beyanı, normal şartlarda yönlendirilen kişinin kendi açık rızası yerine geçmez. "Sadece kabul eden kişileri yönlendirin" diyen bir kampanya kuralı yararlı bir davranışsal kontrol olabilir, ancak veri sahibinin veri sorumlusuna ait bilgileri aldığını ve belirli, bilgilendirilmiş ve özgür iradesiyle bir beyanda bulunduğunu kanıtlamaz.
Bu durum, şirket veriyi aldığı andan itibaren önem kazanır. Veri toplama, CRM'e giriş, zenginleştirme, puanlama, çağrı merkeziyle paylaşma ve arama yapma işlemlerinin her biri ayrı birer işleme faaliyetidir. Daha sonra alınan rıza, işleme şartı bulunmayan önceki veri toplama veya kullanım işlemlerini geriye dönük olarak yasallaştıramaz.
Yönlendirme teşvikleri riski artırabilir. Müşteriler, elçiler veya iş ortakları indirim, komisyon veya ödül aldıklarında, daha fazla sayıda kişi bilgisi göndermek veya kişilerin ilgisini abartmak için bir nedenleri olur. Veri sorumlusu, yönlendirenin güvencesini güvenilir bir kanıt olarak kabul etmek yerine, bu teşviki göz önünde bulundurarak bir tasarım yapmalıdır.
KVKK'nın 5. maddesi, kişisel verilerin açık rıza ile veya ilgili şartların karşılandığı durumlarda 5(2). maddede listelenen rıza dışı şartlardan biri kapsamında işlenmesine izin verir.
Her amaç için doğru şart seçilmelidir. Talep edilen bir fiyat teklifini destekleyen bir şart, gelecekteki tanıtım mesajlarını, profillemeyi veya bir kampanya ortağına veri aktarımını desteklemeyebilir.
| Scenario or purpose | Processing condition that may be relevant | Important limit |
|---|---|---|
| The individual clicks a referral link and asks the company to call, prepare an offer or take steps toward a contract | Processing directly necessary for establishing or performing a contract may apply | The processing must be genuinely necessary for the person’s request. It does not automatically cover unrelated future marketing |
| The individual has deliberately made a business contact detail public for the specific purpose of receiving this type of approach | Processing of data made public by the data subject may be considered | Public availability alone is insufficient. Use must remain connected to the purpose for which the person made it public |
| The company keeps a minimal suppression record after an objection or withdrawal | Legal obligation, establishment or protection of a right, or legitimate interests may be relevant depending on the record and purpose | Retain only what is necessary to prevent further contact and demonstrate compliance; do not preserve the full marketing profile by default |
| The company checks duplicate referrals, prevents reward fraud or accounts for a qualifying referral | Legitimate interests may be relevant after a documented necessity and balancing assessment | This may support limited anti-fraud or accounting processing, not the initial cold marketing approach itself |
| A referred consumer has not initiated contact and no other Article 5 condition applies | Explicit consent will often be the realistic condition for promotional processing | Consent must come from the referred person, meet the KVKK standard and be obtained before the consent-based processing begins |
Soğuk pazarlamada “meşru menfaat” şartına dikkatle yaklaşılmalıdır. Kurul, daha önce istenmeyen sigorta pazarlamasıyla ilgili bir kararda, şirketin poliçe satma konusundaki ekonomik menfaatinin pazarlama işlemini gerekli kıldığı yönündeki argümanı reddetmiştir. Kurul, satışların başka yöntemlerle de gerçekleştirilebileceğini ve istenmeyen reklamların bireylerin verileri üzerindeki kontrol yeteneğine zarar verebileceğini gerekçe göstermiştir.
Benzer şekilde, internette bulunan bir telefon numarası veya iş e-postası, alakasız reklamlar için otomatik olarak kullanılabilir hale gelmez. Kurul kararları, herkese açık verilerin yalnızca kişinin bu verileri paylaşma amacıyla tutarlı bir şekilde kullanılabileceğini vurgulamıştır.
Rıza dışı şartlar teorik değildir. Bu şartlar şu durumlarda uygulanabilir:
Savunulması zor olan durum, üçüncü taraf iletişim verilerini istenmeyen tüketici pazarlama listesine dönüştürmek için geniş kapsamlı bir “satışları artırma meşru menfaati” gerekçesinin kullanılmasıdır.
Bir pazarlama araması, SMS veya e-postası, hem KVKK'yı hem de 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun'u ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik'i ilgilendirebilir.
Ticari ileti rejimi kapsamında, tanıtım amaçlı elektronik iletiler gönderilmeden önce genellikle ön onay alınması gerekir. Telefon ve çağrı merkezi iletişimleri, SMS ve e-postalar buna dahildir. Onaylar ve ret bildirimleri, rejimin gerektirdiği durumlarda İYS üzerinden yönetilmelidir.
Yönetmelikler belirli istisnalar içerir, bunlar şunlardır:
Bu istisnalar dar yorumlanmalıdır.
Mevcut müşteri statüsü, genel bir reklam izni anlamına gelmez. Türkiye'deki düzenlemeler, halihazırda edinilmiş mal veya hizmetlere ilişkin değişiklik, kullanım ve bakım işlemleri için bir istisna öngörmektedir. Ayrıca, mal veya hizmet tanıtımı içermeyen belirli işlemsel veya üyelik bildirimlerine de izin verilmektedir.
Bu durum, bir şirketin her mevcut müşterisine önceden onay almaksızın kendi "benzer ürün veya hizmetlerini" pazarlamasına olanak tanıyan geniş kapsamlı bir kural ile aynı şey değildir.
Makbuz, teslimat güncellemesi veya bakım bildirimi gibi iletiler, satış teklifi aracı olarak kullanılmamalıdır. Tanıtım içerikleri eklemek, iletiyi istisna kapsamının dışına çıkarabilir.
Alıcı tacir veya esnaf ise, reddetme hakkını kullanmadığı sürece ticari ileti onayı genellikle gerekmez. Bu istisnaya dayanmadan önce gönderici, alıcının ilgili statüsünü doğrulamalı, kayıt altına almalı ve İYS üzerindeki ret durumunu kontrol etmelidir.
Ancak bu istisna, ticari elektronik ileti onayı ile ilgilidir. Otomatik olarak KVKK 5. madde kapsamında bir işleme şartı oluşturmaz.
Kurul daha önce, bir şirketin bir avukatın herkese açık iş adresine pazarlama yapmak için tacir/esnaf istisnasına dayandığı bir vakayı değerlendirmiştir. Kurul, hem alıcının bu istisna için iddia edilen statüye sahip olmadığına hem de herkese açık iş iletişim bilgilerinin reklam amacıyla paylaşılmadığına karar vermiştir. Bu vaka, iki hukuki testin neden birbirine karıştırılmaması gerektiğini göstermektedir.
Ticari iletişim düzenlemeleri, bir alıcıya yalnızca gelecekteki ticari iletiler için onay almak amacıyla ticari elektronik ileti gönderilemeyeceğini belirtir.
Bu durum, "bir kez arayıp izin isteyeceğiz" şeklindeki yönlendirme süreçleri için temel bir sorun yaratır. Aramadan önce veri sorumlusunun, numarayı kullanmak için hala bir KVKK dayanağına ihtiyacı vardır. Aramanın kendisi de ticari ileti kuralları kapsamına girebilir. Arama sırasında alınan bir onay veya açık rıza, iletişim bilgilerinin daha önceki temini, saklanması ve kullanımı için gereken hukuki dayanak eksikliğini gidermez.
KVKK'nın 10. maddesi, veri sorumlusunun veya yetkilendirdiği kişinin ilgili kişiyi şu konularda bilgilendirmesini zorunlu kılar:
Kişiden doğrudan elde edilmeyen veriler için Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, doğrudan toplamanın uygulamada imkansız olduğu veya kişiye ulaşılamadığı durumlar için özel zamanlama kuralları belirler. Bildirim şu zamanlarda yapılmalıdır:
Temmuz ayındaki duyuru, veri sorumlularına bu kuralları özellikle hatırlatmaktadır. Daha güvenli operasyonel yaklaşım, bilgiyi mümkün olan en erken aşamada sağlamak ve ilk temas kuralına başvurulacaksa, pazarlama teklifini sunmadan önce bu bilgilendirmeyi yapmaktır.
Zamanlama kuralı, bir işleme şartı oluşturmaz. Veri sorumlusunun, numarayı elde etmek ve kullanmak için her halükarda yasal bir dayanağa sahip olması gerekir.
Kuruluşlar bu metni, Kurul'un Şubat 2026 tarihli İlke Kararı ile birlikte değerlendirmelidir. Söz konusu karar, şeffaflığın işleme başlamadan önce tamamlanması ve bildirimlerin gerçek amacı, veriyi ve yasal nedeni açıkça belirtmesi yönündeki genel beklentiyi ortaya koymaktadır. Bu nedenle yönlendirme süreçleri, ilk temas anındaki bilgilendirmeyi varsayılan çözüm olarak görmek yerine, mümkün olan durumlarda veriyi doğrudan toplayacak şekilde yeniden tasarlanmalıdır.
Kurum, tekrarlanan bir uyum eksikliğine dikkat çekmektedir: bilgilendirme ile rızayı aynı süreç olarak ele almak.
Gizlilik bildirimi, veri sorumlusu tarafından sağlanan bir bilgilendirmedir. İşlemenin açık rızaya veya 5. maddedeki diğer şartlara dayanıp dayanmadığına bakılmaksızın zorunludur. İlgili kişinin, veri sorumlusunun bildirimini "onaylaması" gerekmez.
Açık rıza, ilgili kişinin belirli bir işleme faaliyetine izin veren ayrı bir beyanıdır. KVKK uyarınca açık rıza şu nitelikleri taşımalıdır:
Kurul'un Şubat 2026 tarihli İlke Kararı, şeffaflık bildirimleri ile açık rıza metinlerinin ayrı ayrı sunulmasını şart koşmaktadır. Aynı sayfada yer almaları durumunda, farklı başlıklar altında, ayrı bölümlerde gösterilmeleri ve ayrı beyanlar gerektirmeleri gerekir.
Temmuz ayındaki duyuru ayrıca, aşağıdaki davranışların tek başına geçerli bir açık rıza teşkil etmediğini belirtmektedir:
Sessizlik, pasiflik ve itiraz etmemek, olumlu bir rıza anlamına gelmez.
Ticari sözleşmelerdeki tanımlamalar KVKK rollerini belirlemez. Kararların fiili dağılımı belirleyicidir.
| Party | Likely role and responsibility |
|---|---|
| Business operating the campaign | Usually the controller because it decides why leads are collected, which data are required, who will be contacted, how the campaign works and how long records are retained |
| Referring customer | Usually a source of data, not the person who can give consent for the referred individual. The campaign operator cannot transfer its controller obligations to the customer through campaign terms |
| Professional ambassador, affiliate or lead generator | May be an independent controller, joint participant in determining the processing, or a processor depending on who decides the purposes and essential means. Incentives, independent list-building and reuse of leads point away from a purely mechanical processor role |
| Outsourced call centre | May be a processor where it acts only on documented instructions and does not select leads, determine purposes or reuse data. It may become a controller for activities whose purposes and essential means it independently determines |
| Marketing agency | Role depends on whether it merely executes the controller’s instructions or designs targeting, selects data sources, combines lists or uses data for its own purposes |
| Lead-list seller and buyer | The seller must justify disclosure and the buyer must independently justify acquisition and use. A contractual warranty from the seller is evidence to examine, not a substitute for a lawful processing condition |
12. Madde uyarınca veri sorumluları, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve verileri korumak için gerekli teknik ve idari tedbirleri almak zorundadır. Bir veri işleyen ile çalışıldığında, KVKK'nın gerektirdiği güvenlik önlemleri konusunda veri sorumlusu ve veri işleyen müştereken sorumludur.
Bu nedenle çağrı merkezleri, ajanslar ve potansiyel müşteri sağlayıcıları ile yapılan sözleşmelerde şunlar ele alınmalıdır:
Ticari elektronik ileti mevzuatı kapsamındaki “aracı hizmet sağlayıcı” yasal bir roldür ve KVKK kapsamındaki “veri işleyen” ile otomatik olarak aynı kabul edilmemelidir. Her sınıflandırma kendi kuralları çerçevesinde değerlendirilmelidir.
B2B verileri inceleme kapsamı dışında tutulmamalıdır.
İsme özel iş e-postası, doğrudan iş telefonu numarası veya tanımlanabilir bir çalışana, profesyonele ya da şahıs şirketine bağlı diğer iletişim bilgileri KVKK kapsamında kişisel veri olabilir. Bir şahıs şirketinin ticari bilgileri, çoğu zaman doğrudan o gerçek kişiyle ilişkilidir.
Tamamen genel bir şirket adresi—örneğin info@company.example—bir gerçek kişiyi tanımlamayabilir ve bu nedenle belirli bir durumda KVKK tanımının dışında kalabilir. Ancak, ticari elektronik ileti kuralları hem gerçek hem de tüzel kişi alıcıların elektronik adresleri için geçerlidir. Bu nedenle KVKK ve ticari ileti sınıflandırmaları ayrı ayrı değerlendirilmelidir.
Şunları varsaymayın:
Evet. Çoğu durumda en sağlam tasarım, yönlendirilen kişi etkileşime geçmeyi seçene kadar onun adını, telefon numarasını veya e-posta adresini toplamamaktır.
Daha düşük riskli bir akış şu şekilde işleyebilir:
Bu tasarım tüm yükümlülükleri ortadan kaldırmaz. Çerezler, ilişkilendirme teknolojileri, dolandırıcılık kontrolleri ve yönlendirme ödülü kayıtları hala kendi değerlendirmelerine tabidir. Ancak en riskli özelliği, yani veri sorumlusunun habersiz bir kişinin iletişim bilgilerini alıp bunları istenmeyen bir yaklaşım için kullanmasını ortadan kaldırır.
“Müşteri tavsiyesi” olarak etiketlenmiş bir yönlendirme kaynağı alanı yeterli değildir. CRM ve bağlantılı sistemler, ilgili her işleme ve iletişim adımının neden izin verilebilir olduğunu kanıtlayabilmelidir.
| Record | What to retain |
|---|---|
| Source and collection | Source type, referrer or partner ID where necessary, collection time, channel, campaign and the exact form or integration used |
| Purpose and processing condition | Purpose-specific KVKK condition, documented reasoning and any legitimate-interest necessity and balancing assessment |
| Transparency | Notice version, language, delivery method, date and time, and evidence of display or delivery |
| Explicit consent | Separate consent-text version, exact affirmative action, scope, channel, date and time, and evidence linking the declaration to the person |
| Commercial-message approval | Channel-specific approval status, source, date, IYS registration or check, and applicable exception where no prior approval was required |
| Calls and messages | Campaign, sender, recipient channel, date, time, content or approved script version, and delivery or call outcome |
| Objections and withdrawals | Date, channel, scope, IYS update, suppression status and confirmation that downstream systems and vendors were updated |
| Vendors | Controller instructions, recipient list version, access logs, sub-processor details, return or deletion evidence and audit results |
| Retention | Retention rule, trigger date, legal rationale, deletion date and systems in which copies or backups exist |
“Yönlendiren tarafından onaylandı” ifadesini, yönlendirilen kişinin kendi rızasının kanıtıymış gibi kaydetmeyin. Veri sorumlusu açık rızaya dayanıyorsa, yönlendirilen kişinin kendi bilgilendirilmiş ve olumlu beyanını kanıtlayabilmelidir.
KVKK, tüm yönlendirme verileri için tek bir evrensel saklama süresi öngörmemektedir. 4. madde, kişisel verilerin yalnızca ilgili mevzuatta öngörülen veya işleme amacı için gerekli olan süre kadar saklanmasını şart koşar. İşleme nedenleri ortadan kalktığında, 7. madde uyarınca verilerin ilgili kurallara uygun olarak silinmesi, yok edilmesi veya anonim hale getirilmesi gerekir.
Ticari elektronik ileti yönetmeliği, kanıt için belirli bir asgari süre eklemektedir:
Bu durum, her CRM alanını, çağrı kaydını veya zenginleştirilmiş profili üç yıl boyunca saklamayı haklı çıkarmaz. Kayıtları ayrıştırın:
Daha uzun süreli saklama, belirli bir yasal talep veya kanuni yükümlülük için gerekçelendirilebilir, ancak bu durum "ne olur ne olmaz" mantığıyla genel bir uygulama haline getirilmek yerine belgelendirilmelidir.
Yönlendirmeleri, müşteri tavsiyelerini, marka elçilerini, iş ortaklarını veya harici potansiyel müşteri kaynaklarını kullanan kuruluşlar aşağıdaki eylemleri değerlendirmelidir:
Normal şartlarda hayır. Yönlendirmeyi yapan müşterinin beyanı, yönlendirilen kişinin kendi özgür iradesiyle verdiği, bilgilendirilmiş ve özel rızasının yerini tutmaz. Yasal olarak yetkilendirilmiş bir temsilci durumu farklıdır ve sıradan bir müşteri yönlendirmesiyle karıştırılmamalıdır.
Şirketin, numarayı elde etmek ve kullanmak için önceden bir KVKK işleme şartı bulunmadığı durumlarda bunu gerekçelendirmek zordur. Ticari ileti yönetmeliği, sadece onay almak amacıyla ticari elektronik ileti gönderilmesini de yasaklar. Kişi tarafından başlatılan bir yönlendirme bağlantısı genellikle daha savunulabilir bir yöntemdir.
Böyle varsaymayın. Türkiye'nin ticari ileti kuralları; edinilen mal veya hizmetlerle ilgili değişiklik, kullanım veya bakım işlemleri ve belirli, promosyonel olmayan operasyonel bildirimler için dar kapsamlı istisnalar içerir. Bu kurallar, benzer ürünlerin pazarlanması için geniş bir mevcut müşteri istisnası oluşturmaz. KVKK işleme şartı da ayrıca değerlendirilmelidir.
Hayır. Tanımlanabilir bir çalışana, profesyonele veya şahıs şirketine ait iletişim verileri kişisel veri olabilir. Ticari ileti kuralları kapsamındaki tacir/esnaf istisnası, KVKK kapsamında bir hukuki sebebe duyulan ihtiyacı ortadan kaldırmaz.
Hayır. Veri sorumlusu, kampanyanın hukuka uygunluğundan ve yönetiminden sorumlu olmaya devam eder. Çağrı merkezi ayrıca veri işleyen sıfatıyla, ticari ileti kuralları kapsamında aracı hizmet sağlayıcı olarak veya bağımsız olarak belirlediği faaliyetler için veri sorumlusu sıfatıyla doğrudan yükümlülükler taşıyabilir.
21 Temmuz tarihli duyuru, tavsiye pazarlamasını yasaklamamakta ve her pazarlama faaliyeti için tek hukuki dayanağın açık rıza olduğunu belirtmemektedir. Ancak, yaygın olarak kullanılan bir kestirme yolu ortadan kaldırmaktadır: Üçüncü bir tarafın birinin bilgilerini paylaşmaya istekli olması, şirketin bu verileri işlemesi için hukuki bir dayanak teşkil etmez.
En savunulabilir tavsiye programları; üçüncü taraf veri toplamayı en aza indirir, potansiyel müşteriyi iletişimi başlatmaya davet eder, gizlilik bildirimleri ile izinleri birbirinden ayırır ve CRM üzerinden yapılan çalışmaları denetlenebilir kanıtlarla ilişkilendirir. İşletmeler yalnızca bir onay kutusunun ifadesini değil; tavsiye formundan ödül modeline, çağrı merkezi metinlerinden İYS durumuna, verilerin silinmesi ve engellenmesine kadar tüm süreci gözden geçirmelidir.
Kooch Cybersecurity & Compliance, kuruluşların tavsiye ve potansiyel müşteri oluşturma süreçlerini haritalandırmalarına, KVKK ve İYS gerekliliklerini ayırt etmelerine, bildirimleri ve CRM kanıtlarını iyileştirmelerine, tedarikçi ve veri saklama kontrollerini gözden geçirmelerine yardımcı olabilir. Bir kampanyanın tartışmalı bir hukuki yoruma dayandığı durumlarda, operasyonel inceleme yetkin bir Türk hukuk danışmanı ile koordine edilmelidir.
Bu makale genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz.
