KVKK ve ticari e-posta: firmalara izinsiz mail gönderilebilir mi?

Türkiye’de ticari e-posta göndermek isteyen bir firma iki ayrı düzenlemeye bakmak zorunda. Bunlar farklı sorulara cevap veriyor ve çoğu tartışma ikisinin karıştırılmasından çıkıyor.

KVKK tarafı: veriyi işlemenin dayanağı

KVKK kişisel veriyi korur. `info@firma.com` gibi bir kurumsal iletişim adresi genellikle belirli bir gerçek kişiyi tanımlamaz; `ahmet.yilmaz@firma.com` ise tanımlar. Bu ayrım pratikte önemlidir — ikincisi açıkça kişisel veridir.

Kişisel veri niteliğindeki bir adres için işleme dayanağı gerekir. Açık rıza tek yol değildir; KVKK m.5/2-(f) meşru menfaat hükmü, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için işlemeye izin verir.

Meşru menfaate dayanmanın pratik gerekleri vardır: verinin kamuya açık bir kaynaktan alınmış olması, kullanımın kişinin makul beklentisi içinde kalması (firmanın sitesinde iletişim için yayımladığı adrese iş amaçlı yazmak bu beklentiye uyar), ve dengeye ilişkin bir değerlendirmenin yapılmış olması.

6563 tarafı: ileti göndermenin kuralı

6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, ticari elektronik iletiler için kural olarak önceden onay arar. Ancak kanunun aynı maddesinde önemli bir istisna vardır.

Tacir veya esnaf olan alıcıların elektronik iletişim adreslerine gönderilen ticari elektronik iletiler için önceden onay alınması zorunlu değildir.

B2B soğuk e-postanın Türkiye’deki hukuki zemini büyük ölçüde budur. Karşı taraf bir tüzel kişi ya da esnaf ise ve iletişim adresi ticari faaliyeti için yayımlanmışsa, önceden onay aranmaz.

Ret hakkı: teknik olarak ne yapmalı?

Ret hakkının kâğıt üzerinde tanınması yetmez; gönderdiğiniz her mailde kullanılabilir olması gerekir. Uygulamada bu üç şey demektir:

1. 1Her mailde görünür bir çıkma bağlantısı bulunmalı. Metnin sonunda, okunabilir büyüklükte.
2. 2`List-Unsubscribe` başlığı eklenmeli — RFC 8058 uyumlu tek tıkla çıkma. Gmail ve Yahoo bunu toplu göndericiler için zorunlu tutuyor.
3. 3Çıkan adres kalıcı olarak kaydedilmeli ve hiçbir yeni listeye girmemeli.

Üçüncü madde en çok ihlal edilenidir: yeni bir liste yüklendiğinde daha önce çıkmış adresler yeniden içeri girer. Çıkma kaydının liste eklemesinden bağımsız ve üstün olması gerekir.

Bu aynı zamanda teknik bir korumadır: çıkamayan alıcının elindeki tek düğme spam düğmesidir ve spam şikâyeti, listeden çıkıştan kat kat pahalıdır. Ayrıntı için mailleriniz neden spam’e düşüyor.

İYS (İleti Yönetim Sistemi)

İYS, ticari elektronik ileti onaylarının ve retlerinin tutulduğu merkezi sistemdir. Hizmet sağlayıcıların onaya dayalı gönderimlerini İYS’ye kaydetmesi ve ret taleplerini oradan takip etmesi beklenir.

Tacir/esnaf istisnasına dayanan gönderimlerde onay kaydı söz konusu olmasa da, ret taleplerinin yönetimi açısından İYS yükümlülüğünüzün kapsamını kendi durumunuza göre değerlendirmeniz gerekir. Bu, danışman sorusudur; genel bir cevabı yoktur.

Pratik kontrol listesi

• Adresler kamuya açık kurumsal kaynaklardan mı geldi? Satın alınmış liste bu zeminin dışındadır.
• Hedef kitle tacir veya esnaf mı? Son tüketiciye gönderim farklı bir rejime tabidir.
• Adres firmanın ticari iletişim için yayımladığı adres mi?
• Her mailde görünür çıkma bağlantısı ve `List-Unsubscribe` başlığı var mı?
• Çıkan adresler kalıcı olarak engellendi mi, yeni listelerde kontrol ediliyor mu?
• Sitenizde bir aydınlatma metni ve gizlilik politikası yayımlı mı?
• Gönderdiğiniz mailde firma kimliğiniz açıkça yazıyor mu?

Ne yapılmamalı?

• Hazır liste satın almak. Kaynağını bilmediğiniz veriyi işlemenin meşru menfaate dayandırılması güçtür ve teknik olarak da zararlıdır.
• Kişisel adresleri toplamak. `ad.soyad@firma.com` biçimindeki adresler açıkça kişisel veridir ve daha yüksek bir eşik gerektirir.
• Ret talebini geciktirmek. Ret geldiğinde gönderim derhâl durmalıdır; “bir sonraki kampanyada çıkarırız” kabul edilebilir değildir.
• Gönderen kimliğini gizlemek. Kim olduğunuzun anlaşılmadığı bir ticari ileti hem mevzuata aykırıdır hem de zaten cevap almaz.