KVKK Tarafından "SMS Doğrulama Kodu Yoluyla Gizli Onay Alınmasına" İlişkin İlke Karar Yayınlanmıştır

KVKK Tarafından "SMS Doğrulama Kodu Yoluyla Gizli Onay Alınmasına"  İlişkin İlke

Kişisel Verileri Koruma Kurumu (KVKK), bireylerin kişisel verilerinin işlenmesi süreçlerine dair yeni bir İlke Kararı ile önemli bir düzenlemeye imza atmıştır. 10 Haziran 2025 tarihli ve 2025/1072 sayılı bu karar, 26 Haziran 2025 tarihinde Resmî Gazete’de yayımlanarak yürürlüğe girmiştir. Karar, ürün ve hizmetlerin sunumu sırasında kişilerin cep telefonlarına gönderilen SMS doğrulama kodlarının kullanımıyla ilgili şikâyetler üzerine oluşturulmuştur.

Son dönemde ödeme işlemleri, üyelik kaydı ya da çeşitli dijital hizmetlerin kullanımı sırasında cep telefonlarına gönderilen doğrulama kodlarının görevli personele bildirilmesi veya sisteme girilmesi istenmektedir. Bu uygulamalar kapsamında birçok kullanıcıdan, ilgili kodun hizmetin tamamlanabilmesi için zorunlu olduğu gerekçesiyle paylaşılması talep edilmektedir. Ancak bu süreçte, doğrulama kodunu içeren SMS’ler gönderilmeden önce kişilere gerekli bilgilendirmenin yapılmadığı; bazı durumlarda da bu kodun kullanılarak dolaylı yoldan ticari elektronik ileti izni alınmaya çalışıldığı görülmüştür.

Kurul Ne Tespit Etti?

Kurulun yaptığı değerlendirmeler sonucunda şu temel hususlar ortaya konmuştur:

• Doğrulama kodlarının gönderilmesi öncesinde kişilere açık ve anlaşılır bir aydınlatma yapılması gerekmektedir.

• Gönderilen SMS’in amacı, kodun neden talep edildiği ve paylaşılması halinde doğabilecek sonuçlar net bir şekilde açıklanmalıdır.

• Açık rıza alma süreci ile aydınlatma yükümlülüğü birbirinden bağımsız işlemler olup, bu iki sürecin karıştırılmaması önemlidir.

• SMS doğrulama kodu göndererek ticari ileti izni almak, kişinin bilgilendirilmiş ve özgür iradeye dayanan açık rızasını sakatlayabilir.

• Açık rızanın, hizmetin bir ön şartı gibi sunulması halinde “özgür irade” unsuru ortadan kalkar. Bu durumda, alınan rızanın geçerliliğinden söz edilemez.

  
  

Veri Sorumluları Ne Yapmalı?

Veri işleme faaliyetlerinde bulunacak tüm kuruluşların aşağıdaki konulara dikkat etmesi gerekmektedir:

• SMS doğrulama kodları üzerinden yapılan işlemler öncesinde aydınlatma yükümlülüğü eksiksiz yerine getirilmelidir.

• Açık rıza talep edilecekse, bu işlem kullanıcıya sunulan hizmetin devamlılığına bağlanmamalı, rızanın verilmemesi halinde de hizmet sağlanmaya devam edilmelidir.

• İlgili kişiye açıkça, kodun paylaşılmasının zorunlu olmadığı, tercihlerini dilediği zaman değiştirebileceği gibi bilgilendirmeler yapılmalıdır.

• Kurum içi tüm personelin bu süreçlere dair eğitilmesi ve farkındalık kazanması sağlanmalıdır.

• Kanun’un 13. maddesi uyarınca, gerekli teknik ve idari tedbirler alınmalı; kişisel veri işleme faaliyetleri güvenli bir şekilde yürütülmelidir.

  
  

Son duruma göre, bu tür işlemlerde SMS ile açık rıza alınacaksa:

• SMS, alışveriş tamamlandıktan sonra gönderilmeli,VEYA

• İşlem öncesinde ya da işlem sırasında gönderilecekse,SMS içeriğinde ya da fiziksel/dijital ortamda yapılan bilgilendirmelerde “Doğrulama kodunun verilmemesinin ürün ya da hizmetin sunulması için bir ön şart olmadığı” açıkça belirtilmelidir.

  
  

Uymayanlar İçin Ne Olacak?

İlke Karar’a aykırı hareket eden veri sorumluları hakkında, 6698 sayılı Kanun’un 18. maddesi uyarınca idari yaptırımların uygulanacağı açıkça ifade edilmiştir. Ya

KVKK İlke Karar’ın tam metnine buradan ulaşabilirsiniz.yın

lanmıştır