Ticari Elektronik İleti İzni ve KVKK: E-Bülten Kurulumu

E-bülten, bir markanın okuyucusuyla doğrudan ve düzenli konuşabildiği az sayıdaki kanaldan biridir. Aynı zamanda en kolay yanlış kurulan kanallardan biridir: bir form, bir onay kutusu, bir gönderim aracı ve işin bittiği sanılır. Oysa Türkiye'de e-bülten, üç ayrı hukuki katmanın kesiştiği bir alandır. Birincisi, pazarlama amaçlı iletilerin önceden onay şartına bağlandığı ticari elektronik ileti rejimidir. İkincisi, e-posta adresi ve abonelik kayıtları gibi kişisel verilerin işlenmesini düzenleyen KVKK'dır. Üçüncüsü ise bu iki alanı gündelik işe çeviren teknik ve operasyonel kararlardır: form tasarımı, kayıt tutma, iptal bağlantısı, üçüncü taraf gönderim aracı ve saklama süresi.

Bu rehber pazarlama yöneticisi, e-bülten sahibi ve ajans çalışanı için yazıldı. Önce kavramları ayırır, sonra bir abonelik akışını form ekranından iptal talebine kadar adım adım kurar. Hukuki dayanaklar 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik ve 6698 sayılı KVKK metinleridir; ilgili madde numaraları parantez içinde verilir. Örnekler kurgusaldır, gerçek bir şirketi anlatmaz ve rakam içermez.

Önemli uyarı: Bu içerik genel bilgilendirme amacı taşır ve hukuki tavsiye değildir. Mevzuat değişebilir; uygulamaya geçmeden önce güncel mevzuat metnini ve yetkili kurumun açıklamalarını kontrol edin. Somut bir uyuşmazlıkta, ceza riskinde veya karmaşık bir veri akışında bir avukata ya da veri koruma uzmanına danışın.

Üç Katman: Ticari Elektronik İleti, Aydınlatma ve Açık Rıza

E-bülten uyumunda en sık görülen hata, "izin" kelimesinin tek bir şey sanılmasıdır. Pratikte en az üç ayrı yükümlülük birlikte çalışır ve her birinin dayanağı, şartı ve kanıt biçimi farklıdır. Önce bunları ayırmak, sonraki bütün tasarım kararlarını kolaylaştırır.

Ticari elektronik ileti onayı

6563 sayılı Kanun'un 6. maddesinin birinci fıkrası, ticari elektronik iletilerin alıcılara ancak önceden onayları alınmak kaydıyla gönderilebileceğini söyler. Aynı fıkraya göre bu onay yazılı olarak veya her türlü elektronik iletişim aracıyla alınabilir. Yönetmelik'in 4. maddesi ticari elektronik iletiyi; telefon, çağrı merkezi, faks, otomatik arama makinesi, e-posta ve kısa mesaj gibi araçlarla elektronik ortamda, ticari amaçla gönderilen veri, ses ve görüntü içerikli iletiler olarak tanımlar. Bir e-bülten hizmetin veya ürünün tanıtımını, kampanya duyurusunu ya da marka bilinirliğini artıran içeriği taşıyorsa bu tanımla ilişkisi mutlaka değerlendirilmelidir. Yönetmelik'in 5. maddesi, mal ve hizmetlerini tanıtmak, pazarlamak, işletmesini tanıtmak ya da kutlama ve temenni gibi içeriklerle tanınırlığını artırmak amacıyla gönderilen iletiler için onay arar. Bu nedenle "yalnızca bilgi veriyoruz" ifadesi tek başına sorunu çözmez; iletinin amacına ve içeriğine bakılır.

Kanun ve Yönetmelik metinlerini 6563 sayılı Kanun (yeni sekmede açılır) ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik (yeni sekmede açılır) bağlantılarından okuyabilirsiniz.

KVKK kapsamında aydınlatma

6698 sayılı KVKK (yeni sekmede açılır)'nın 10. maddesi, kişisel veriler elde edilirken veri sorumlusunun ilgili kişiye bazı bilgileri vermesini zorunlu kılar. Bunlar veri sorumlusunun ve varsa temsilcisinin kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile 11. maddede sayılan diğer haklardır. Kişisel Verileri Koruma Kurumu'nun aydınlatma yükümlülüğü sayfası (yeni sekmede açılır) bu beş başlığı sıralar ve işlemenin açık rızaya dayandığı durumlarda bile bilgilendirme yükümlülüğünün devam ettiğini belirtir. E-bülten formunda e-posta adresi toplayan herkes bu açıdan veri sorumlusu gibi düşünmelidir.

Açık rıza: aydınlatmadan ve ticari ileti onayından ayrı bir kavram

KVKK'nın 3. maddesi açık rızayı belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar. Kurum'un açık rıza alırken dikkat edilecek hususlar (yeni sekmede açılır) sayfası, belirli bir konuya bağlanmayan genel nitelikli rızaların hukuken geçersiz sayıldığını, ispat yükümlülüğünün veri sorumlusunda olduğunu ve rızanın dilendiği zaman geri alınabileceğini anlatır. Burada ince bir ayrım vardır: ticari elektronik ileti onayı 6563 sayılı Kanun'dan, açık rıza kavramı ise KVKK'dan gelir. İki metin farklı amaçlara hizmet eder ve birbirinin yerine geçmez. Bir formda tek bir kutu hem pazarlama iletisi onayı hem de başka amaçlar için açık rıza gibi davranıyorsa, hangi hukuki dayanağın nerede kullanıldığı belirsizleşir. Hangi işlemin hangi dayanağa oturduğunu hukuk danışmanınızla birlikte yazılı hâle getirmek en sağlıklı yoldur.

Onay gerektirmeyen durumlar ve esnaf-tacir ayrımı

Kanun'un 6. maddesinin birinci fıkrası, alıcının iletişim bilgilerini kendisiyle iletişime geçilmesi amacıyla vermesi hâlinde, temin edilen mal veya hizmetlere ilişkin değişiklik, kullanım ve bakıma yönelik ticari elektronik iletiler için ayrıca onay alınmayacağını söyler. Yönetmelik'in 6. maddesi devam eden abonelik, üyelik veya ortaklık durumuna, tahsilat, borç hatırlatma, bilgi güncelleme, satın alma ve teslimat gibi bildirimlere ve yasal bilgi verme yükümlülüklerine de onay şartı aramaz; ancak bu bildirimlerde herhangi bir mal veya hizmet özendirilemez ve tanıtılamaz. Başka bir deyişle sipariş onayı e-postasına kampanya banner'ı eklemek, o iletiyi muaf kategoriden çıkarma riski taşır. Esnaf ve tacirlere onay alınmadan ticari elektronik ileti gönderilebileceği de hüküm altındadır; fakat Yönetmelik, esnaf ve tacirlerin ret hakkını kullanması hâlinde onayları alınmadan ileti gönderilemeyeceğini ekler.

İYS'nin yeri

Kanun'un 11. maddesinin beşinci fıkrası, Bakanlığa onayların alınmasına ve reddetme hakkının kullanılmasına imkân tanıyan bir elektronik sistem kurma veya kurdurma yetkisi verir. Ticaret Bakanlığı'nın İleti Yönetim Sistemi (İYS) sayfası (yeni sekmede açılır) sistemin onayların tek noktada toplanmasını, vatandaşın verdiği onayları görüp kontrol edebilmesini ve ret hakkını kullanabilmesini amaçladığını anlatır. Yönetmelik'in 5. maddesine göre ticari elektronik ileti göndermek isteyen gerçek ve tüzel kişiler İYS'ye kaydolur ve İYS üzerinde onayı bulunmayan alıcılara ticari elektronik ileti gönderilemez. Bu, abonelik formunuzdaki kutunun tek başına yeterli sayılmayabileceği, onayın İYS'ye aktarılması gerektiği anlamına gelir; ayrıntı aşağıda.

Abonelik Formu Tasarımı: Alanlar, Onay Kutusu ve Kanıt

Form, hukuki yükümlülüğün ilk somutlaştığı yerdir. İyi tasarlanmış bir form hem dönüşümü bozmaz hem de bir şikâyet geldiğinde elinizdeki kanıtı güçlendirir.

Hangi alanları istemelisiniz?

KVKK'nın 4. maddesi kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını, ayrıca ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini ilke olarak koyar. E-bülten için bu, genellikle e-posta adresinin yeterli olduğu ve telefon, doğum tarihi, adres gibi alanların açık bir gerekçesi yoksa istenmemesi gerektiği anlamına gelir. Yönetmelik'in 7. maddesi ise İYS dışında alınan onayda olumlu irade beyanının yanında alıcının adı, soyadı ve elektronik iletişim adresinin yer almasını sayar; İYS üzerinden alınan onayda ise olumlu irade beyanı ve elektronik iletişim adresi yeterlidir. Dolayısıyla formu kendiniz kuruyorsanız ad ve soyad alanı yasal olarak anlamlı bir alan olabilir; formu İYS üzerinden yönetiyorsanız bu alanı veri minimizasyonu açısından yeniden düşünebilirsiniz. Hangisinin sizin için geçerli olduğunu gönderim araçlarınızla birlikte hukuk danışmanınıza sorun.

Onay kutusu: boş, ayrı ve anlaşılır

Yönetmelik'in 7. maddesinin sekizinci fıkrası, onay metninde olumlu irade beyanının önceden seçilmiş olarak yer alamayacağını açıkça yazar. Kutu boş gelmeli, kullanıcı kendisi işaretlemelidir. Dokuzuncu fıkra, hizmet sağlayıcının ticari elektronik ileti onayı vermesini sunduğu mal ve hizmetin temini için ön şart olarak ileri süremeyeceğini söyler. Bunun formdaki karşılığı şudur: bir indirme, bir hesap ya da bir sipariş, pazarlama iletisi onayına bağlanamaz. Onay metni de kısa ve net olmalıdır. Kurgusal bir örnek: "Kampanya ve yeni içerik duyurularını e-posta ile almayı kabul ediyorum." cümlesi, amacı ve kanalı gösteren sade bir ifadedir. "Tüm iştiraklerimizin her türlü bilgilendirmesi" gibi geniş bir ifade ise belirsizdir ve Kurum'un belirli konu ilkesiyle bağdaşmaz.

Sözleşmeye gömülen onay ve 12 punto kuralı

Onay bir üyelik, abonelik veya satış sözleşmesinin içeriğine dahil edilerek alınıyorsa Yönetmelik'in 7. maddesi özel bir biçim şartı koyar: onay sözleşmenin sonunda, olumlu irade beyanından veya imzadan önce, "ticari elektronik ileti" kenar başlığı altında, reddetme imkânı da tanınarak en az on iki punto ile yazılarak alınır. Üyelik formuna e-bülten onayını da eklemek istiyorsanız bu satırı ayrı bir kutu olarak, görünür biçimde ve kendi başlığıyla koymanız doğru yaklaşımdır. Kullanım koşulları metninin derinlerine saklanmış bir cümle bu şartı karşılamaz.

Teşvik sunmak ve onayı pazarlık konusu yapmak

Bülten abonesine hoş geldin içeriği veya rehber hediye etmek yaygın bir uygulamadır. Burada dikkat edilecek nokta, hediyenin onayın karşılığı değil, aboneliğin doğal bir parçası olarak sunulmasıdır. Dokuzuncu fıkradaki ön şart yasağı ile özgür irade kavramı birlikte ele alındığında, onayı vermeyen kişinin hizmetin temel kısmından yoksun bırakıldığı bir kurgu risklidir; küçük bir hoş geldin hediyesi ile hizmetin kendisini bu onaya bağlamak ise farklı şeylerdir. Şüpheli bir kurguyu hayata geçirmeden önce uzman görüşü almak yerinde olur.

Kanıt kaydı: neyi saklamalısınız?

Yönetmelik'in 7. maddesine göre İYS üzerinden alınmayan onaylarda onayın alındığına ilişkin ispat yükümlülüğü hizmet sağlayıcıdadır; 13. madde de şikâyete konu işlemlerde ispat yükümlülüğünün hizmet sağlayıcıya ve/veya aracı hizmet sağlayıcıya ait olduğunu söyler. Kanıt kaydı pratikte şu unsurlardan oluşabilir: onayı veren kişinin e-posta adresi ve gerekliyse adı, onayın tarihi ve saati, kullanılan formun adresi ve sürümü, o anda gösterilen onay metninin birebir kopyası ve onayın hangi kanal için verildiği. Bu liste mevzuatta sayılmış bir şablon değildir; Avrupa Veri Koruma Kurulu'nun onay rehberi (yeni sekmede açılır), akış hakkında belgelenmiş bir kayıt tutmanın ve yalnızca doğru yapılandırmaya atıf yapmanın yetmediğinin altını çizer. Aynı rehber ispat için gereğinden fazla kişisel veri toplanmaması gerektiğini de söyler; yani kanıt kaydı da asgari veri ilkesine tabidir.

Onayın İYS'ye aktarılması ve onay bilgisi iletisi

Yönetmelik'in 7. maddesine göre İYS üzerinden alınmayan onaylar hizmet sağlayıcı tarafından üç iş günü içinde İYS'ye kaydedilir ve İYS'ye kaydedilmeyen onaylar geçersiz kabul edilir. Onayın elektronik ortamda alınması durumunda ise onayın alındığı bilgisi, reddetme imkânı da tanınarak, alıcının elektronik iletişim adresine yirmi dört saat içinde iletilir; bu fıkra İYS üzerinden alınan onaylara uygulanmaz. Bu iki süre, abonelik sisteminizin otomasyonuna yazılması gereken somut gereksinimlerdir: onay kaydı oluştuğunda hem İYS aktarımı hem de bilgi iletisi tetiklenmelidir.

Çift Onay (Double Opt-in): Neden Önerilir, Nerede Dikkat Gerekir

Çift onay, kullanıcının formu doldurduktan sonra e-posta adresine gelen bir doğrulama bağlantısına tıklayarak aboneliğini ikinci kez teyit etmesidir. Kanun ve Yönetmelik metinlerinde "çift onay" adıyla bir zorunluluk yer almaz; yani bu bir hukuki şart değil, iyi bir uygulama tasarımıdır. Yine de üç sorunu birden çözdüğü için yaygın olarak tercih edilir.

Çift onayın sağladıkları

Birincisi, adresin gerçekten kullanıcıya ait olduğunu gösterir; başkasının adresini yazan biri, o kişiyi bültene yazamaz. İkincisi, yanlış yazılmış adreslere ileti gitmesini önler ve gönderim itibarınızı korur. Üçüncüsü, ispat zincirini güçlendirir: formun doldurulduğu an ile adresin sahibi tarafından teyit edildiği an iki ayrı kayıt olarak durur. Yönetmelik ispat yükümlülüğünü hizmet sağlayıcıya yüklediği için bu ikinci kayıt bir şikâyette değerlidir.

Doğrulama iletisinin içeriği

Yönetmelik'in 7. maddesinin dördüncü fıkrası, alıcının elektronik iletişim adresine ticari elektronik ileti gönderilerek onay talebinde bulunulamayacağını yazar. Bu hüküm doğrudan doğrulama iletisinin tasarımını ilgilendirir. Doğrulama iletisi kullanıcının kendi başlattığı bir işlemin sonucudur ve yalnızca doğrulama bağlantısını taşır; içinde kampanya, indirim, ürün tanıtımı ya da ek bir çağrı olmamalıdır. Bu bir yorumdur, kurum görüşü değildir; kendi akışınızı bir uzmana göstermeden "bu ileti ticari sayılmaz" kabulüyle yayına almayın.

Doğrulanmayan adreslere ne olur?

Doğrulama bağlantısına tıklanmamış bir adresi listenize eklememeniz gerekir. Bekleyen kayıtlar için makul bir süre belirleyin, bu süre dolunca kaydı silin ve hatırlatmayı da sınırlı tutun; ısrarla tekrarlanan hatırlatmalar aynı sorunu yeniden doğurur. Beklemede kalan kayıtların da kişisel veri olduğunu unutmayın: onlar için de saklama süresi ve silme kuralı belirlenmelidir.

Hoş geldin iletisi

Onay tamamlandıktan sonra gönderilen hoş geldin iletisi, onay metninde söz verdiğiniz kapsamla örtüşmelidir. Yönetmelik'in 8. maddesi iletinin içeriğinin alıcıdan alınan onaya uygun olması gerektiğini söyler. Alıcı yalnızca haftalık yazı özeti için onay verdiyse, bu onayı üçüncü taraf kampanyalarına genişletemezsiniz.

Gönderilen İletide Bulunması Gerekenler: Kimlik, Nitelik İbaresi ve İptal İmkânı

Onay alındıktan sonra her ileti kendi yükümlülük listesini taşır. Yönetmelik'in 8. ve 9. maddeleri bunları sıralar.

Gönderenin kimliği

Ticari elektronik iletinin başlığında veya içeriğinde tacirler için MERSS (Merkezi Sicil Kayıt Sistemi) numarası ve ticaret unvanına, esnaflar için ad ve soyadı ile T.C. veya vergi kimlik numarasına yer verilir. Hizmet sağlayıcı bunlara ek olarak marka veya işletme adı gibi kendisini tanıtan diğer bilgilere de yer verebilir. Ayrıca iletide, iletişim aracının türüne bağlı olarak hizmet sağlayıcının telefon, faks, kısa mesaj numarası veya e-posta adresi gibi erişilebilir iletişim bilgilerinden en az biri bulunur. E-bülten şablonunuzun alt bilgisi bu alanları kalıcı olarak içermelidir.

Niteliği belirleyen ibare

İletinin niteliği içeriğinden açık biçimde anlaşılamıyorsa tanıtım, kampanya ve bilgilendirme gibi niteliği belirleyici bir ibareye yer verilir. Yönetmelik bu ibarenin e-posta ile gönderilen iletilerde konu bölümünde belirtileceğini söyler. Gönderim aracınızın konu satırı şablonuna bu alanı eklemek, tek seferlik bir ayarla çözülen küçük bir iştir.

Promosyon bilgisi

Yönetmelik, iletide indirim veya hediye gibi promosyonlar ile promosyon amaçlı yarışma veya oyunlar bulunması hâlinde bunun iletide açıkça belirtilmesini ve geçerlilik süresi ile yerine getirilmesi gereken şartların açık ve şüpheye yer vermeyecek şekilde, özel bir URL adresi veya müşteri hizmetleri numarası gibi kolay ulaşılabilir yöntemlerle sunulmasını ister. Bültende kampanya duyurusu yapıyorsanız şartları bir kısa not olarak değil, bağlantılı bir sayfada tam olarak yazın.

İptal imkânı her iletide

Yönetmelik'in 9. maddesi ret bildirimi imkânının gönderilen her ticari elektronik iletide yer alacağını söyler. Hizmet sağlayıcı, alıcının ret bildiriminde bulunabilmesi için müşteri hizmetleri numarası, kısa mesaj numarası veya yalnızca ret bildirimine özgülenmiş bir URL adresi gibi erişilebilir bir iletişim adresine iletide yer verir. İletinin gönderildiği kanalla ret bildirimi de kolay ve ücretsiz biçimde sağlanır. E-bülten için bunun sade karşılığı tek tıklamalık, giriş şifresi istemeyen ve ücretsiz bir iptal bağlantısıdır. Bağlantı gizlenmiş, küçük puntolu ya da onay için ek formlar dolduran bir yapıda olmamalıdır.

İptal (Ret) Hakkı ve Süreler

Ret hakkı, onay sisteminin simetrik yarısıdır ve en sık ihlal edilen kısmıdır. Çünkü onay almak bir kez yapılan bir iştir, iptal talebini uygulamak ise her gün çalışması gereken bir süreçtir.

Kanun ne söyler?

Kanun'un 8. maddesi alıcıların diledikleri zaman, hiçbir gerekçe belirtmeksizin ticari elektronik iletileri almayı reddedebileceğini, hizmet sağlayıcının ret bildiriminin elektronik iletişim araçlarıyla kolay ve ücretsiz iletilmesini sağlamakla yükümlü olduğunu ve talebin ulaşmasını müteakip üç iş günü içinde alıcıya elektronik ileti göndermeyi durdurması gerektiğini yazar. Yönetmelik'in 10. maddesi aynı üç iş günü kuralını tekrarlar. İş günü kavramı Yönetmelik'in 4. maddesinde ulusal bayram ile genel ve hafta sonu tatil günleri hariç diğer günler olarak tanımlanır.

Ret bildirimi neyi geçersiz kılar?

Yönetmelik'in 9. maddesine göre alıcının ret bildiriminde bulunması, bildirimin yapıldığı iletişim kanalına ilişkin onayı geçersiz kılar. Üstelik 5. madde, onayın reddetme hakkı kullanılıncaya kadar geçerli olduğunu söyler. Yani e-posta kanalı için verilen onay iptal edildiğinde aynı kişiye aynı kanaldan yeniden ileti göndermek, yeni bir onay alınmadıkça yasaktır. Ret talebinin ardından eski listelerden birine yanlışlıkla yeniden eklenmesi, yaygın ve önlenebilir bir hatadır.

İYS tarafı

Yönetmelik hizmet sağlayıcının kendisine iletilen ret bildirimlerini üç iş günü içinde İYS'ye bildirmesini ister ve alıcının reddetme hakkını İYS üzerinden de kullanabileceğini belirtir. Bu iki hüküm, iptal sürecinin tek bir sisteme dayanamayacağı anlamına gelir: hem kendi abonelik listenizdeki iptal talebi hem de İYS üzerinden gelen ret bildirimi aynı gönderim listesine yansıtılmalıdır. Gönderim aracınızın İYS ile eşitlenme biçimini kurulum aşamasında test edin.

Operasyonel kural önerisi

Kanunun üç iş günü sınırı bir üst sınırdır, hedef değildir. Çoğu e-bülten aracı iptal bağlantısına tıklandığı anda adresi otomatik olarak listeden çıkarabilir. Bu gerçek zamanlı davranışı tercih edin ve manuel bir e-posta ile iptal talebi gelirse bu talebi de aynı gün kayda geçirecek bir iç kural koyun. Bu bir mevzuat gereği değil, riski azaltan bir iş kuralı önerisidir.

Veri Saklama, Silme ve Üçüncü Taraf Araç Riski

Bülten verisi dört yerde dolaşır: abonelik formunuzda, gönderim aracının veri tabanında, kendi muhasebe veya CRM sisteminizde ve bazı durumlarda ajansınızın yedeklerinde. Bu yerlerin her biri saklama, silme ve güvenlik açısından ayrı bir sorudur.

Ne kadar süre saklanır?

Yönetmelik'in 13. maddesi hizmet sağlayıcı ve/veya aracı hizmet sağlayıcının onay kayıtlarını onayın geçerliliğinin sona erdiği tarihten, ticari elektronik iletilere ilişkin diğer kayıtları ise kayıt tarihinden itibaren üç yıl süreyle saklayacağını ve talep edilmesi hâlinde bu kayıtları Bakanlığa sunacağını yazar. KVKK'nın 7. maddesi ise işlenmesini gerektiren sebepler ortadan kalktığında kişisel verilerin resen veya ilgili kişinin talebi üzerine silinmesini, yok edilmesini veya anonim hâle getirilmesini düzenler; maddenin ikinci fıkrası, başka kanunlardaki hükümleri saklı tutar. İki kural birbiriyle çelişmek zorunda değildir: abonelik sona erdiğinde pazarlama verisi silinir, fakat onay kaydı ve ilgili iletilere ait kayıtlar Yönetmelik'te yazan süre boyunca ispat amacıyla ayrıca tutulabilir. Bu ayrımın nasıl kurulacağı, hangi kayıtların ayrı ve kısıtlı erişimle saklanacağı bir uzman görüşü gerektiren bir tasarım kararıdır.

Üçüncü taraf gönderim araçları

Gönderim aracı sizin adınıza kişisel veri işleyen bir hizmet sağlayıcıdır. KVKK'nın 12. maddesi veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, muhafazayı sağlamak için gerekli her türlü teknik ve idari tedbiri almasını ister; verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde bu tedbirlerin alınmasından veri sorumlusunun bu kişilerle müştereken sorumlu olduğunu da ekler. Yönetmelik'in 12. maddesi de hizmet sağlayıcı ve aracı hizmet sağlayıcının elde ettikleri verilerin muhafazasından ve hukuka aykırı erişimin önlenmesinden sorumlu olduğunu, kişisel verilerin üçüncü kişilerle paylaşılabilmesi, işlenebilmesi ve başka amaçlarla kullanılabilmesi için ilgili kişiden önceden onay alınması gerektiğini söyler. Pratik sonuç: aracı seçerken veri işleme sözleşmesi, erişim yetkileri, yedekleme ve silme olanakları ile alt işleyici listesi sorgulanmalı, aboneler listesi başka bir kampanyaya "kolaylık olsun" diye aktarılmamalıdır.

Yurt dışına aktarım

Birçok gönderim aracı yurt dışında barındırılır. KVKK'nın 9. maddesi 2024 tarihli 7499 sayılı Kanun'la değiştirilmiş hâliyle yurt dışına aktarım için yeterlilik kararı, uygun güvenceler veya sınırlı istisnai hâller gibi seçenekler sayar. Aracınızın sunucuları yurt dışındaysa bu madde sizi doğrudan ilgilendirir ve bunun hangi seçenekle karşılandığı yazılı olarak bilinmelidir. Bu başlıkta yanlış bir kabulle ilerlemek, aracı değiştirme maliyetini sonradan çok artırır.

Çerez ve ölçüm pikselleri

E-bültenin içindeki açılma izleme pikselleri ve bağlantı izleme parametreleri de kişisel veri üretebilir. Web sitesi tarafındaki izleme ve çerez onayı ayrı bir konudur ve ölçüm etkileriyle birlikte çerez onayı, KVKK ve ölçüm kaybı yazısında ele alınıyor. Buradaki ilke aynıdır: toplanan her ek veri için amaç ve hukuki dayanak yazılı olmalı, aydınlatma metni bunu yansıtmalıdır.

Aracı hizmet sağlayıcı ve yayıncı ilişkileri

Başkalarının e-bülten kitlesine ulaşmak ya da reklam yerleştirmek isteyen markalar için konu daha da hassastır. Yönetmelik'in 11. maddesi aracı hizmet sağlayıcının başkaları adına, onların mal ve hizmetlerini tanıtmak amacıyla ticari elektronik ileti göndermek için onay alamayacağını hükme bağlar. Bir yayıncının listesi üzerinden sizin adınıza bir ileti gidecekse, o listenin onay kapsamının bunu karşılayıp karşılamadığını önceden netleştirin. Bülten yayıncılığı ve dağıtım tarafının marka görünürlüğüyle ilişkisini haber bülteni ile içerik dağıtımı yazısında bulabilirsiniz; reklam alanı satın alma ve yayıncı rolleri için de Akua Adforce nedir ve nasıl kullanılır yazısına bakabilirsiniz.

Denetim, Şikâyet ve Yaptırım Çerçevesi

Bu bölüm bir tehdit değil, riskin hangi biçimlerde ortaya çıktığını gösteren bir haritadır.

Şikâyet nasıl yapılır?

Yönetmelik'in 14. maddesine göre şikâyet başvuruları elektronik ortamda e-Devlet kapısı, İYS veya Bakanlığın internet sitesi üzerinden ya da yazılı olarak şikâyetçinin ikametgâhının bulunduğu yerdeki il müdürlüğüne yapılır. Başvuru, ticari elektronik iletinin gönderildiği tarihten itibaren üç ay içinde yapılır; e-posta için iletinin görsel bir örneği başvuruya eklenir. Şikâyetçi yalnızca kendi iletişim adreslerine gönderilen iletiler için başvurabilir. Şikâyetle ilgili talep edilen bilgi ve belgeler on beş gün içinde teslim edilir; Yönetmelik bu sürenin bir defaya mahsus en fazla on beş gün uzatılabileceğini ekler. Yani kanıt kayıtlarınızın hızla bulunabilir olması gerekir.

İdari para cezaları

Kanun'un 12. maddesi çeşitli ihlaller için idari para cezası öngörür. Önceden onay almadan ileti göndermeye ilişkin 6. maddenin birinci fıkrasına ve içeriğin onaya uygunluğuna ilişkin 7. maddenin birinci fıkrasına aykırılık bir ceza bendinde; iletide bulunması gereken bilgilere ilişkin 7. maddenin ikinci ve üçüncü fıkralarına aykırılık başka bir bentte; ret hakkına ilişkin 8. maddenin ikinci ve üçüncü fıkralarına aykırılık ise yine ayrı bir bentte düzenlenmiştir. Bir defada birden fazla kişiye 6. maddenin birinci fıkrasına aykırı ileti gönderilmesi hâlinde cezanın on katına kadar artırılabileceği de maddede yazar. Madde metni 2026 yılı için uygulanacak tutarlara Kanun'un sonundaki tabloda yer verir; güncel tutarları buradan ve Bakanlığın duyurularından kontrol edin. Cezaları verme yetkisi Bakanlığa aittir, bu yetki il müdürlüklerine devredilebilir ve Yönetmelik'in 17. maddesi verilen cezaların tebliğ tarihinden itibaren bir ay içinde ödeneceğini söyler.

KVKK tarafında 18. madde, aydınlatma yükümlülüğünü yerine getirmeyenler ve veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler için ayrı idari para cezaları tanımlar. Güncel tutar aralıkları için Kanun metnine ve Kurum'un duyurularına bakın.

Yaptırımdan çok önce: itibar etkisi

Mevzuattaki ceza tutarları kadar önemli olan bir başka etki daha vardır: izinsiz ileti alan kişi şikâyet etmese bile gönderim araçlarının spam filtreleri, şikâyet oranı yüksek hesapları engeller. Onaysız toplu gönderim bu yüzden hem hukuki hem teknik bir kayıptır. Bu gözlem genel bir uygulama notudur, kaynaklı bir veri değildir.

Yurt dışındaki abonelere gönderim: GDPR ve CAN-SPAM'e kısa bakış

Listenizde Avrupa Birliği'nde ya da Amerika Birleşik Devletleri'nde yaşayan aboneler varsa, Türkiye kuralları tek başına yeterli olmayabilir. Avrupa tarafında GDPR'nin rıza tanımı serbest, belirli, bilgilendirilmiş ve açık bir irade beyanı arar; Avrupa Veri Koruma Kurulu'nun yukarıda anılan rehberi önceden işaretli kutuları geçersiz sayar, rıza geri alma işleminin vermek kadar kolay olmasını ister ve ispatın veri sorumlusunda olduğunu hatırlatır. Amerika Birleşik Devletleri'nde ise Federal Ticaret Komisyonu'nun CAN-SPAM uyum rehberi (yeni sekmede açılır) ticari e-postalarda doğru başlık ve konu satırı, reklam olduğunun belirtilmesi, geçerli bir posta adresi ve çıkış yöntemi gibi sekiz maddelik bir liste sayar; çıkış taleplerinin on iş günü içinde işlenmesini ve adınıza gönderen üçüncü tarafların sorumluluğunun sözleşmeyle devredilemeyeceğini belirtir. Bu iki rejim Türkiye'deki önceden onay mantığıyla birebir örtüşmez; yurt dışındaki bir kitleye düzenli gönderim yapıyorsanız o ülkenin güncel kurallarını yerel bir uzmanla değerlendirin.

Uygulama Kontrol Listesi ve Belgeleme

Aşağıdaki liste, yukarıdaki bölümlerin işlevsel özetidir. Hukuki bir kontrol listesi yerine geçmez; ekibinizin uygulama sırasında hangi soruyu sorması gerektiğini hatırlatır.

Yayından önce

• Form onay kutusu boş geliyor mu ve ayrı bir satırda mı duruyor?
• Onay metni kapsamı (kanal, konu, gönderen) açıkça yazıyor mu?
• Aydınlatma metni forma yakın ve erişilebilir bir bağlantıyla duruyor mu?
• Onay, bir ürünün veya içeriğin sunulması için ön şart yapılmış mı?
• Kayıt sistemi onay tarihini, form sürümünü ve metnin kopyasını tutuyor mu?
• İYS kaydı ve onayların üç iş günü içinde aktarılması otomatikleştirilmiş mi?
• Doğrulama iletisi yalnızca doğrulama içeriyor mu?

Her gönderimde

• Konu satırında nitelik ibaresi var mı?
• Alt bilgide unvan, kimlik bilgisi ve en az bir iletişim yolu var mı?
• İptal bağlantısı çalışıyor, tek tıklamalı ve ücretsiz mi?
• İçerik, abonenin onay verdiği kapsamda mı?
• Promosyon varsa şartları tam sayfada açıkça yazılı mı?

Düzenli denetim

• İptal ve ret talepleri üç iş günü içinde listeye yansıyor mu?
• İYS ile kendi listeniz arasında fark kontrolü yapılıyor mu?
• Saklama süresi dolan kayıtlar silinip anonimleştiriliyor mu?
• Gönderim aracının yurt dışı aktarım ve alt işleyici durumu güncel mi?
• Aydınlatma metni gerçek uygulamayla örtüşüyor mu?

Belgeleme tablosu

Kurgusal örnek: bir eğitim platformunun bülteni

Kurgusal bir örnek: bir çevrim içi eğitim sitesi, haftalık yazı özeti için bülten formu ekliyor. Form yalnızca e-posta adresini ve boş bir onay kutusunu içeriyor, kutunun yanındaki metin kanal ve konu kapsamını açıkça yazıyor ve aydınlatma bağlantısı hemen altında duruyor. Kullanıcı formu gönderince yalnızca doğrulama bağlantısı içeren bir ileti alıyor; bağlantıya tıkladığında onay kaydı tarih, form sürümü ve metin kopyasıyla birlikte oluşuyor, İYS aktarımı tetikleniyor ve abone onayın alındığını bildiren bir ileti alıyor. Her bültenin konu satırında nitelik ibaresi, alt bilgisinde unvan ve iletişim yolu, en altta tek tıklamalı iptal bağlantısı bulunuyor. İptal geldiğinde adres anında listeden çıkıyor ve İYS'ye bildiriliyor. Örnekte kimsenin satın alınmış bir listeye eklenmediğine, hiçbir kutunun önceden işaretlenmediğine ve ek veri istenmediğine dikkat edin. Bu kurgunun hukuki yeterliliği somut koşullara bağlıdır; örnek yalnızca akışın mantığını gösterir.

Sık yapılan hatalar

• Satın alınmış veya devralınmış liste: Bir üçüncü tarafın topladığı onay genellikle sizin adınıza geçerli sayılmaz; bu tür bir listeyle çalışmayın.
• Önceden işaretli kutu: Yönetmelik bunu açıkça yasaklar.
• Onayı hizmete bağlamak: Pazarlama onayı olmadan ürün veya içerik sunmamak ön şart yasağıyla çelişir.
• Genel ve belirsiz onay metni: Kapsamı açık olmayan rıza, KVKK anlayışına göre sorunludur.
• İptal bağlantısını gizlemek: Ret imkânı kolay ve ücretsiz olmalıdır.
• Ret talebini geç işlemek: Üç iş günü bir sınırdır; arkasına sığınılacak bir hedef değildir.
• Kayıt tutmamak: İspat yükümlülüğü sizdedir ve kayıt yoksa onay da yok sayılabilir.
• Doğrulama iletisine reklam eklemek: Onay talebi için ticari ileti gönderme yasağını tetikleyebilir.

Sıkça Sorulan Sorular

E-bülten göndermek için her zaman onay gerekir mi?

Mal ve hizmeti tanıtan, pazarlayan veya tanınırlığı artıran iletiler için Kanun önceden onay arar. Alıcı iletişim bilgilerini sipariş sonrası değişiklik, kullanım ve bakım bildirimleri için verdiyse bu bildirimlere ayrıca onay aranmaz; ancak bunlara tanıtım eklenemez. Esnaf ve tacirler için ayrı bir kural vardır. Hukuki tavsiye değildir; kendi durumunuz için güncel mevzuatı kontrol edin ve gerekirse bir uzmana danışın.

Çift onay yasal olarak zorunlu mu?

Kanun ve Yönetmelik metinlerinde "çift onay" adıyla bir zorunluluk yoktur. Yine de adres doğrulama ve ispat açısından yaygın bir iyi uygulamadır. Doğrulama iletisinde reklam bulunmamalıdır, çünkü Yönetmelik ticari elektronik ileti gönderilerek onay talebinde bulunulmasını yasaklar. Güncel mevzuat ve uzman görüşüyle teyit edin.

İptal talebini ne kadar sürede uygulamam gerekir?

Kanun'un 8. maddesi ve Yönetmelik'in 10. maddesi, talebin ulaşmasını müteakip üç iş günü içinde ileti göndermeyi durdurmayı öngörür. Ret bildirimlerinin üç iş günü içinde İYS'ye bildirilmesi de ayrıca istenir. Güncel metni doğrulayın; uyuşmazlıkta uzmana danışın.

Onay kayıtlarını ne kadar saklamalıyım?

Yönetmelik'in 13. maddesi onay kayıtlarının onayın geçerliliğinin sona erdiği tarihten, diğer kayıtların ise kayıt tarihinden itibaren üç yıl saklanmasını söyler. KVKK'nın 7. maddesi ise amaç ortadan kalktığında silmeyi düzenler. İkisini birlikte nasıl uygulayacağınız için güncel metni ve uzman görüşünü esas alın.

Satın alınmış bir e-posta listesine bülten gönderebilir miyim?

Bu yaklaşımı önermiyoruz. Onay, gönderen hizmet sağlayıcının kendisi veya İYS üzerinden alınır ve ispat yükümlülüğü hizmet sağlayıcıdadır. Üçüncü taraf listesinde bu zinciri kurmak çok zordur. Güncel mevzuat ve uzman görüşü olmadan böyle bir listeyle çalışmayın.

Bu içerik hukuki tavsiye yerine geçer mi?

Hayır. Bu içerik genel bilgilendirmedir. Mevzuat değişebilir, her işletmenin koşulu farklıdır. Güncel mevzuat metnini ve yetkili kurum kaynaklarını doğrulayın, uyuşmazlık veya ceza riski durumunda bir avukata ya da veri koruma uzmanına başvurun.

Sonuç

E-bülten uyumu tek bir kutuyla çözülmez; üç katman birlikte çalışır. Ticari elektronik ileti onayı pazarlama iletisine izin verir, aydınlatma kişisel verinin neden ve nasıl işlendiğini anlatır, açık rıza ise KVKK'nın belirli, bilgilendirilmiş ve özgür iradeye dayanan rıza tanımına bağlıdır. Formu boş kutu, ayrı onay satırı ve net bir metinle kurun; onayı tarih, form sürümü ve metin kopyasıyla kayda alın; İYS aktarımını ve ret süresini otomatikleştirin; her iletide kimlik bilgisi, nitelik ibaresi ve tek tıklamalı iptal bağlantısı bulundurun; saklama ve silme kurallarını yazılı hâle getirin. Satın alınmış liste, önceden işaretli kutu ve onayı hizmete bağlama gibi kestirmelerden uzak durun.

Bu içerik hukuki tavsiye değildir. Mevzuat metinleri değişebilir; uygulamadan önce güncel metni ve yetkili kurum kaynağını doğrulayın, uyuşmazlık veya yaptırım riski durumunda bir avukata ya da veri koruma uzmanına danışın.

Yayıncı bültenlerinde ve editoryal sitelerde marka görünürlüğü arıyorsanız, Akua Adforce'ta tanıtım yazısı seçeneklerini inceleyebilirsiniz; kapsam ve koşullar ürün sayfasında yazılıdır.