Eğitim Sektöründe İzinsiz SMS ve Denetim İhmali: 2019/276 Sayılı Karar Analizi
Kişisel Verileri Koruma Kurulu (Kurul), 18/09/2019 tarihli bu kararıyla, eğitim kurumlarının pazarlama faaliyetleri sırasında uyması gereken yasal sınırları bir kez daha hatırlatmıştır. Karar, sadece izinsiz bir reklam mesajının ötesinde, Kurul’un inceleme taleplerine sessiz kalmanın veri sorumlusu üzerindeki ağır sonuçlarını da ortaya koymaktadır.
1. Olayın Özeti: İzinsiz Reklam ve Cevapsız İnceleme Talebi
Olay: Bir vatandaş, Sevinç Eğitim Kurumları tarafından telefonuna açık rızası olmaksızın reklam amaçlı kısa mesaj (SMS) gönderildiğini belirterek Kurul’a şikayette bulunmuştur.
Kurul, şikayet üzerine veri sorumlusu nezdinde bir inceleme başlatmış; hatta yerinde inceleme (audit) yaparak bazı bilgi ve belgelerin sunulmasını talep etmiştir. Ancak eğitim kurumu, kendisine verilen yasal süreye (05.08.2019) kadar bu belgeleri Kuruma iletmemiştir.
2. Kurulun Hukuki Değerlendirmesi: “Rıza Yoksa İşleme de Yok”
Kurul, eğitim kurumunun bu faaliyetini KVKK’nın temel veri işleme şartları üzerinden değerlendirmiştir:
A. SMS Gönderimi Bir Veri İşleme Faaliyetidir
Kanun’un 3. maddesi uyarınca, bir telefon numarasının reklam amacıyla “kullanılması”, o verinin işlenmesi anlamına gelir. Bir eğitim kurumunun bu numarayı rehberine kaydetmesi ve mesaj atması, Kanun kapsamında bir veri işleme eylemidir.
B. İşleme Şartlarının Yokluğu (Md. 5)
Eğitim kurumları için kişisel veri işleme genellikle “eğitim sözleşmesi” veya “kanuni yükümlülükler” çerçevesinde gerçekleşir. Ancak reklam ve pazarlama faaliyetleri bu istisnaların dışındadır.
- Açık Rıza Şartı: Reklam amaçlı SMS göndermek için ilgili kişinin önceden alınmış, belirli bir konuya ilişkin ve özgür iradesiyle açıklanmış bir açık rızası bulunmalıdır.
- Kurul, olayda ne açık rızanın ne de Madde 5/2’de sayılan diğer istisnaların (sözleşme ifası, meşru menfaat vb.) bulunmadığını saptamıştır.
C. Veri Güvenliği ve Denetim Kusuru (Md. 12)
Veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini önlemekle yükümlüdür. Sevinç Eğitim Kurumlarının;
- Herhangi bir yasal dayanak olmadan SMS atması,
- Kurul’un inceleme sırasında talep ettiği belgeleri sunmaması,şirketin veri güvenliğini sağlamaya yönelik idari tedbirleri almadığını ve denetim yükümlülüğünü yerine getirmediğini kanıtlamıştır.
3. Karar Sonucu: 50.000 TL İdari Para Cezası
Kurul inceleme neticesinde;
- Şikayetçinin açık rızası olmadan reklam içerikli mesaj gönderildiği,
- Kurum tarafından talep edilen belgelerin sunulmayarak denetim sürecinin aksatıldığı,Gerekçeleriyle, Sevinç Eğitim Kurumları hakkında 50.000 TL (2019 yılı değeri) idari para cezası uygulanmasına karar vermiştir.
4. Özgür Eralp Perspektifi: “Eğitim Kurumları İçin En Büyük Ders: Uyum”
Bilişim hukuku alanındaki tecrübemizde, özellikle özel okul ve kursların “veli adayları” listelerine ulaşmak için bazen agresif pazarlama yöntemlerini seçtiklerini görüyoruz. Ancak KVKK, bir numaranın sadece “rehberde kayıtlı olması”nı o numaraya her türlü mesajın atılabileceği şeklinde yorumlamaz.
Bir yatırımcı avukat vizyonuyla uyarım şudur: Şirketler için Kurul’dan gelen bir inceleme talebi, “halledilir” denilecek bir bürokratik işlem değildir. Bu kararda cezanın temel sebeplerinden biri de talep edilen belgelerin iletilmemesidir. Eğitim kurumları, pazarlama listelerini (data) oluştururken mutlaka İleti Yönetim Sistemi (İYS) ile entegre çalışmalı ve ellerindeki rızaların “zaman damgalı” kanıtlarını saklamalıdır. Kurul incelemeye geldiğinde dosyayı boş bırakmak, doğrudan mahkumiyet demektir.
Sıkça Sorulan Sorular
1. Çocuğumun okulundan reklam mesajı gelmesi yasak mı?
Eğer okul ile yaptığınız kayıt sözleşmesinde pazarlama amaçlı SMS gönderimine ayrıca ve açıkça onay (açık rıza) vermediyseniz, okulun size reklam içerikli mesaj atması hukuka aykırıdır. Eğitim ile ilgili bilgilendirmeler (sınav saati vb.) rıza gerektirmeyebilir ama “yaz kampı indirimi” reklamdır.
2. Kurul “yerinde inceleme” yapar mı?
Evet, Kurul’un veri sorumlusunun ofisine giderek sistemleri ve dosyaları yerinde denetleme yetkisi vardır. Bu incelemede talep edilen belgelerin sunulmaması ek ceza sebebidir.
3. “Numaramı bir yerden bulmuşlar” savunması geçerli mi?
Kesinlikle hayır. Veri sorumlusu, o veriyi hangi yasal dayanakla işlediğini ispat etmek zorundadır. Verinin kaynağını açıklayamamak ve rıza gösterememek ihlalin kabulüdür.
4. 50.000 TL ceza düşük değil mi?
Karar 2019 yılına aittir. 2026 yılı güncel tutarlarıyla benzer bir ihlalin cezası yüz binlerce lirayı bulmaktadır. Ayrıca bu idari yaptırımlar şirketin “güvenilir kurum” imajına da büyük zarar verir.
5. Gelen SMS’te “Ret” linki olması durumu kurtarır mı?
Hayır. Ret imkanı sunmak Elektronik Ticaret Kanunu gereğidir. Ancak o numarayı en başta işlemek (rehbere kaydetmek ve mesaj atmak) için bir işleme şartınız (açık rıza vb.) yoksa, mesajda ret linki olsa bile KVKK ihlali gerçekleşmiş olur.
Kaynaklar
- KVKK Kurumu – 2019/276 Sayılı Karar Özeti
- 6698 Sayılı KVKK (Madde 5, 12 ve 18)
- Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik
Etiketler
KVKK, Sevinç Eğitim Kurumları, Reklam SMS, İzinsiz Mesaj, Açık Rıza, İdari Para Cezası, 2019/276 Sayılı Karar, Bilişim Hukuku, Özgür Eralp, Veri İşleme Şartları, Yerinde İnceleme, Eğitim Sektörü Uyum
Avukat-Hukuk Danışmanı,
Dijital İçerik oluşturucu,
Kitle fonlama girişimci ve yatırımcısı,
ODTÜ Felsefe Öğrencisi:)
AÖF Yönetim Bilişim Sistemleri Öğrencisi:),