KVKK Kapsamında E-posta İzni: Alma ve İptal Etme Rehberi

Bir firma e-postayla iletişime geçtiğinde karşı taraf iki soru sorar: bu izinle mi gönderildi, gerekiyorsa nasıl vazgeçerim. KVKK e-posta izni nasıl alınır sorusunun cevabı, gönderdiğiniz mesajın türüne ve alıcının tüzel kişi mi gerçek kişi mi olduğuna göre değişir; bu yazı açık rıza, meşru menfaat ve tacir muafiyeti arasındaki farkı, kvkk izni nasıl iptal edilir sorusunun pratik cevabını ve B2B e-postada neyin gerçekten zorunlu olduğunu anlatıyor.

Açık Rıza mı, Meşru Menfaat mi

KVKK'da (6698 sayılı Kişisel Verilerin Korunması Kanunu) kişisel veri işlemenin tek yolu açık rıza değildir. Açık rıza; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle verilen onaydır — pazarlama e-postası göndermek isteyen bir firma için en sık akla gelen dayanak budur, ama tek dayanak olmak zorunda değildir. Veri sorumlusunun meşru menfaati de, ilgili kişinin temel hak ve özgürlükleriyle çatışmadığı sürece, kişisel veri işleme için kullanılabilecek dayanaklardan biridir.

B2B e-postada pratik ayrım şudur: bir şirketin genel bilgi adresine (info@, satis@) veya kamuya açık kurumsal iletişim adresine, o şirketin faaliyet alanıyla doğrudan ilgili bir teklif göndermek, çoğu zaman meşru menfaat kapsamında değerlendirilebilecek bir senaryodur. Bir kişinin özel e-posta adresine, işiyle ilgisi olmayan bir konuda kitlesel gönderim yapmak ise açık rıza gerektiren tüketici pazarlaması sınırına çok daha yakındır. Kvkk izni nasıl alınır sorusuna doğru cevap, önce hangi senaryoda olduğunuzu netleştirmekle başlar.

Ticari Elektronik İlette İYS Kaydı

Pazarlama, tanıtım veya satış amacı taşıyan e-posta, KVKK'nın yanında Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik kapsamında da değerlendirilir. Bu yönetmeliğin uygulama aracı İYS'dir (İleti Yönetim Sistemi) — onay gerektiren ticari elektronik iletilerde alıcının onayı bu sistem üzerinden kayıt altına alınır, ret talepleri de yine bu sistem veya iletinin kendisi üzerinden işlenir. Onay gerektiren bir kampanyada İYS kaydı olmadan gönderim yapmak, hem KVKK hem de ticari ileti mevzuatı açısından risk oluşturur.

Burada kritik nokta, her ticari elektronik iletinin İYS onayı gerektirmediğidir. Yönetmelik, alıcının tacir veya esnaf olduğu ve iletinin de o tacir/esnafın mesleki faaliyetiyle ilgili olduğu durumlarda önceden onay şartını aramaz. Bu istisna, B2B e-postanın büyük bölümünü kapsar — ama istisnanın var olması, alıcıya ret hakkı sunma zorunluluğunu ortadan kaldırmaz.

B2B'de Tacir Muafiyeti Ne Anlama Gelir

Bir şirketin satış temsilcisinin, bir başka şirketin satın alma yetkilisine, o şirketin faaliyet alanıyla ilgili bir ürün veya hizmet için yazdığı e-posta, tacirden tacire ticari elektronik iletidir. Bu senaryoda önceden açık rıza alma zorunluluğu aranmaz — yönetmelik burada gerçek kişi tüketicilere göre daha esnek bir çerçeve sunar. Ancak bu, sınırsız gönderim anlamına gelmez: alıcının her an ve tek işlemle bu tür iletileri reddedebilmesi gerekir, ve ret bildiren alıcıya bir daha aynı içerikte e-posta gönderilmemesi şarttır.

Bu ayrımı karıştırmamak önemlidir: aynı kişiye kurumsal e-postasından değil de kişisel Gmail veya Hotmail adresinden ulaşmak, tacir muafiyetini otomatik olarak devre dışı bırakmasa da ispat ve nitelendirme açısından riski artırır. Kurumsal alan adına kayıtlı, o kişinin görevine uygun bir adrese, görevle ilgili bir teklif göndermek, hem hukuki hem de pratik açıdan en sağlam zemindir.

İzin Bileşenlerinin Ağırlığı

Bir e-posta izin sürecini değerlendirirken dört unsur öne çıkar: alıcının tüzel kişi mi gerçek kişi mi olduğu, iletinin içeriğinin alıcının mesleki alanıyla ilgisi, kullanılan adresin kurumsal mı kişisel mi olduğu ve ret mekanizmasının ne kadar kolay erişilebilir olduğu. Pratikte en sık gözden kaçan unsur son ikisidir — firmalar içerik ve hedef kitleye özen gösterirken ret linkini küçük yazı tipiyle gizlemek veya birden fazla adımda bırakmak gibi hatalar yapar.

KVKK İzni Nasıl Alınır: Adım Adım

Açık rıza gerektiren bir senaryoda (örneğin gerçek kişi tüketiciye yönelik pazarlama) izin süreci üç aşamada kurulur. Önce alıcıya hangi veri türünün, hangi amaçla, ne kadar süreyle işleneceği açık ve anlaşılır dille anlatılır. Sonra alıcı, aktif bir eylemle (kutu işaretleme, form gönderme, e-posta yanıtlama) onayını verir — önceden işaretli kutular veya sessiz kalmayı onay sayan ifadeler geçerli kabul edilmez. Son olarak bu onay, tarih, kaynak ve içerikle birlikte kayıt altına alınır; ticari elektronik ileti söz konusuysa bu kayıt İYS üzerinden tutulur.

Tacir muafiyeti kapsamındaki B2B iletişimde ise 'izin alma' değil 'doğru zemin kurma' süreci işler: alıcının kurumsal adresi ve görevi doğrulanır, iletinin içeriği o görevle ilgili tutulur, ve her mesaja görünür bir ret seçeneği eklenir. Bu, açık rıza sürecinden daha hafif ama disiplin gerektiren bir süreçtir.

KVKK İzni Nasıl İptal Edilir

Kvkk izni nasıl iptal edilir sorusunun cevabı, izin türüne göre değişir. Açık rızaya dayalı bir işleme için alıcı, veri sorumlusuna yazılı olarak (e-posta, form veya dilekçe yoluyla) başvurarak rızasını geri çekebilir; veri sorumlusu bu talebi makul bir sürede işleme almak ve talep sahibine sonucunu bildirmekle yükümlüdür. Ticari elektronik iletilerde ise kvkk izin iptali çok daha basit bir mekanizmaya bağlanmıştır: her iletide bulunması gereken tek tık ret linki veya 'RET' yazıp gönderme gibi bir yöntemle alıcı, ek bir gerekçe sunmadan iletişimi durdurabilir.

Kvkk izin iptali nasıl yapılır konusunda alıcı tarafında pratik yol şudur: önce iletinin altındaki ret/abonelikten çık bağlantısı denenir; bu çalışmıyorsa gönderen firmaya doğrudan yazılı talep iletilir; bu da sonuçsuz kalırsa Kişisel Verileri Koruma Kurumu'na şikâyet hakkı saklıdır. Gönderen firma tarafında ise ret talebi geldiği anda o kişinin iletişim listesinden çıkarılması ve bu değişikliğin geri dönüşsüz şekilde kayıt altına alınması gerekir — aynı kişiye yanlışlıkla tekrar gönderim yapılması, tek başına ciddi bir uyumsuzluk sinyalidir.

LDM'in Yaklaşımı: Hedefli Gönderim, Basit Çıkış

LDM'de kampanyalar kitlesel abone listeleri üzerinden değil, tüzel kişi yetkililerine yönelik hedefli ve kişiselleştirilmiş küçük hacimli gönderimlerle yürütülür. Bu yaklaşım, kvkk izni nasıl verilir tartışmasını basitleştirir: her alıcı, neden bu e-postayı aldığını ve ilgi alanıyla bağlantısını içerikten anlayabilir, ve her mesajda ret seçeneği net biçimde yer alır. Kitlesel, rastgele adres listesine gönderim yapan modellerde hem izin zemini zayıflar hem de ret taleplerini takip etmek zorlaşır; adresli, düşük hacimli model bu iki riski de azaltır.

Pratikte bu, her kampanya öncesi alıcı listesinin tüzel kişi/gerçek kişi ayrımına göre gözden geçirilmesi, kurumsal adreslerin doğrulanması ve ret taleplerinin merkezi bir listede tutulması anlamına gelir — böylece kvkk izin iptali talep eden bir kişi, aynı firmanın başka bir kampanyasında da tekrar karşımıza çıkmaz.

Sık sorulan sorular