Müşterinin Verdiği Telefon Numarası Pazarlamada Kullanılabilir mi? KVKK ve İYS Rehberi

Bir SaaS şirketinin satış temsilcisi, mevcut müşterisiyle görüşürken yeni bir potansiyel müşterinin iletişim bilgilerini almış olabilir.

Mevcut müşteri, satış temsilcisine şöyle der:

“Bizimle benzer faaliyet gösteren bir arkadaşım var. Sizin yazılımınızı o da kullanabilir. Telefon numarasını vereyim, arayın.”

Satış ekibi bu kişiyi CRM sistemine kaydeder ve birkaç gün sonra ürünün tanıtımını yapmak için telefonla arar.

Ancak aranan kişi numarasını şirkete vermediğini, reklam amacıyla aranmak istemediğini ve iletişim bilgilerinin nereden elde edildiğini bilmediğini söyler.

Peki, mevcut müşterinin referans vermesi hukuken yeterli midir? Bir kişinin telefon numarasını başka birine iletmesi, o kişinin reklam ve pazarlama amacıyla aranmasına izin verdiği anlamına gelir mi?

Kısa cevap: Bir telefon numarasının müşteri, arkadaş, iş ortağı veya başka bir üçüncü kişi tarafından paylaşılması, o numaranın reklam ve pazarlama amacıyla kullanılmasına tek başına hukuki dayanak oluşturmaz. Kişisel verilerin işlenmesi, ilgili kişinin aydınlatılması ve ticari elektronik ileti gönderilmesi farklı yükümlülüklerdir.

Kişisel Verileri Koruma Kurumu, 21 Temmuz 2026 tarihinde yayımladığı kamuoyu duyurusunda bu konuya özellikle dikkat çekmiştir.

Duyuruda, referans ve tavsiye yoluyla edinilen iletişim bilgilerinin, ilgili kişiler gerekli şekilde bilgilendirilmeden ve uygun hukuki şartlar sağlanmadan pazarlama amacıyla kullanılmasına ilişkin şikâyetler ele alınmıştır.

Bu konu özellikle CRM kullanan teknoloji şirketleri, SaaS girişimleri, e-ticaret işletmeleri, satış ajansları, franchise yapıları ve dijital pazarlama ekipleri bakımından önemlidir.

Ancak yalnızca KVKK'ya uygun şekilde kişisel veri işlenmesi de bütün ticari iletişim yükümlülüklerinin kendiliğinden karşılandığını göstermez.

6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik ve İleti Yönetim Sistemi (İYS) düzenlemeleri ayrıca değerlendirilmelidir.

Bu rehberde referansla edinilen telefon numaralarını, açık rıza ve aydınlatmayı, ticari elektronik ileti onayını, tacir ve esnaf istisnasını, LinkedIn üzerinden iletişim bilgisi toplanmasını, WhatsApp pazarlamasını, CRM süreçlerini ve hukuka aykırı pazarlama faaliyetlerinin sonuçlarını inceliyorum.

1. Müşterinin Verdiği Telefon Numarası Pazarlamada Kullanılabilir mi?

Mevcut müşterinin başka bir kişinin iletişim bilgisini paylaşması, iki ayrı veri işleme faaliyetini gündeme getirebilir.

Birinci faaliyet, iletişim bilgisinin referans veren kişi tarafından paylaşılmasıdır.

İkinci faaliyet ise bu bilgiyi alan şirketin kişisel veriyi kaydetmesi ve reklam veya pazarlama amacıyla kullanmasıdır.

Bu işlemler aynı hukuki ilişki değildir.

Örneğin bir müşteri, arkadaşının telefon numarasını SaaS şirketine vermiş olabilir.

Ancak ilgili arkadaşın:

• Bilgilerinin paylaşılmasından haberdar olup olmadığı,

• Hangi şirketin kendisini arayacağını bilip bilmediği,

• Reklam veya satış amaçlı iletişime ilişkin iradesi,

• Şirketin kişisel veriyi hangi hukuki sebeple işlediği

ayrı değerlendirilmelidir.

Referans veren kişi izin aldığını söylüyorsa yeterli mi?

Her durumda değil.

Örneğin referans veren müşteri, “Arkadaşım aramanızı kabul etti.” demiş olabilir.

Ancak bu beyanın ilgili kişinin hangi şirkete, hangi iletişim kanalına ve hangi pazarlama faaliyetine yönelik geçerli bir irade açıklamasında bulunduğunu kanıtlayıp kanıtlamadığı değerlendirilmelidir.

Şirketin kişisel veri işleme ve ticari elektronik ileti yükümlülükleri, sırf referans veren kişinin sözlü açıklamasıyla ortadan kalkmaz.

Referansla elde edilen numarayı CRM'e kaydetmek de veri işleme midir?

Evet.

KVKK kapsamında kişisel verinin kaydedilmesi, depolanması, sınıflandırılması, kullanılması ve aktarılması gibi işlemler kişisel veri işleme faaliyeti oluşturabilir.

Dolayısıyla henüz reklam SMS'i gönderilmemiş olması, iletişim bilgisinin CRM sistemine kaydedilmesinin hukuki değerlendirme dışında kaldığı anlamına gelmez.

Önemli olan, her veri işleme faaliyeti bakımından uygun hukuki sebebin ve ilgili diğer yükümlülüklerin bulunmasıdır.

2. KVKK'nın 21 Temmuz 2026 Tarihli Duyurusu Ne Anlatıyor?

Kişisel Verileri Koruma Kurumu, 21 Temmuz 2026 tarihinde “Üçüncü Kişilerden Elde Edilen Kişisel Verilerin Reklam ve Pazarlama Amaçlı Kullanılmasına İlişkin Kamuoyu Duyurusu”nu yayımlamıştır.

Bu duyuru, özellikle müşterilerden ve üçüncü kişilerden elde edilen iletişim bilgilerinin pazarlama amacıyla kullanılmasına yöneliktir.

Kurumun ele aldığı örnekler arasında:

• Referans,

• Tavsiye,

• Marka elçiliği,

• Tanıdık yönlendirmesi,

• Müşteri önerisi

gibi yöntemler bulunmaktadır.

Duyuruda, söz konusu yöntemlerle edinilen telefon veya e-posta bilgilerinin, kişisel verilerin korunması mevzuatındaki yükümlülükler yerine getirilmeden reklam ve pazarlama faaliyetlerinde kullanılmasının hukuki sorun doğurabileceği vurgulanmaktadır.

Duyuru bütün referans faaliyetlerini yasaklıyor mu?

Hayır.

Duyurunun amacı, üçüncü kişilerden edinilen kişisel verilerin her durumda ve her amaçla işlenemeyeceği yönünde mutlak bir yasak koymak değildir.

Kurum, kişisel verilerin işlenmesinin KVKK m.5 kapsamındaki uygun işleme şartına dayanması gerektiğini hatırlatmaktadır.

Ayrıca aydınlatma yükümlülüğünün ve açık rızaya dayanılan faaliyetlerde geçerli açık rıza koşullarının yerine getirilmesi gerektiğini açıklamaktadır.

Dolayısıyla mesele, “referans yöntemi tamamen yasaklandı mı?” sorusundan ibaret değildir.

Asıl hukuki sorun, referans yoluyla edinilen kişisel verinin hangi hukuki sebebe dayanılarak, hangi amaçla ve hangi iletişim kanalıyla kullanılacağıdır.

Duyurudaki en önemli uyarı nedir?

Kurum, ilgili kişinin tanıtımı dinlemeye devam etmesi, telefonu kapatmaması, soru sorması veya SMS'e cevap vermemesi gibi davranışların tek başına açık rıza olarak kabul edilemeyeceğini özellikle belirtmektedir.

Bu nedenle satış görüşmesinin devam etmiş olması veya ilgili kişinin pazarlama mesajını reddetmemesi, geçerli açık rıza bulunduğunu kendiliğinden göstermez.

Resmî kaynak: KVKK – 21 Temmuz 2026 Tarihli Kamuoyu Duyurusu

3. Telefon Numarası ve E-Posta Adresi Kişisel Veri midir?

Bir gerçek kişiyle ilişkilendirilebilen telefon numarası veya e-posta adresi kişisel veri niteliğinde olabilir.

Örneğin:

• Ad ve soyadla kayıtlı cep telefonu,

• Gerçek kişiye ait iş telefonu,

• Ad-soyad içeren kurumsal e-posta,

• Belirli bir çalışanla ilişkilendirilebilen iletişim bilgisi

kişisel veri işleme faaliyetlerine konu olabilir.

Kurumsal e-posta adresi de kişisel veri olabilir mi?

Evet.

Örneğin ad.soyad@firma.com biçimindeki kurumsal e-posta adresi, belirli veya belirlenebilir gerçek kişiyle ilişkilendirilebiliyorsa kişisel veri olabilir.

Buna karşılık yalnızca bir tüzel kişiye ilişkin ve belirlenebilir gerçek kişiye bağlanmayan genel iletişim adreslerinin kişisel veri niteliği farklı değerlendirilebilir.

Örneğin info@firma.com adresi ile belirli bir çalışanın doğrudan e-posta adresi aynı şekilde değerlendirilmemelidir.

Ancak genel kurumsal adreslerin kullanılması da ticari elektronik ileti mevzuatının uygulanabilirliğini kendiliğinden ortadan kaldırmaz.

Telefon numarasının herkese açık olması sonucu değiştirir mi?

Bir kişinin iletişim bilgisinin internette bulunması, o bilginin bütün ticari amaçlarla sınırsız kullanılabileceği anlamına gelmez.

Örneğin bir şirket çalışanının iş telefonu kurumsal web sitesinde bulunabilir.

Ancak bu bilginin hangi amaçla yayımlandığı ve yeni bir şirket tarafından hangi amaçla işlendiği ayrı değerlendirilmelidir.

Bu nedenle kamuya açık olma ile her türlü pazarlama faaliyetine izin verme aynı hukuki kavram değildir.

4. KVKK'ya Göre Pazarlama İçin Mutlaka Açık Rıza mı Gerekir?

Bu soruya bütün veri işleme faaliyetleri için aynı cevap verilemez.

KVKK m.5, kişisel verilerin işlenebileceği farklı hukuki şartları düzenlemektedir.

Açık rıza bunlardan biridir.

Örneğin kanunda öngörülen şartlarla:

• Sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili veri işleme,

• Hukuki yükümlülüğün yerine getirilmesi,

• Bir hakkın tesisi, kullanılması veya korunması,

• Temel hak ve özgürlüklere zarar vermemek kaydıyla meşru menfaat

gibi hukuki sebepler belirli işlemlerde gündeme gelebilir.

Ancak bu sebeplerin varlığı, yalnızca şirketin ticari yararı bulunduğu gerekçesiyle varsayılamaz.

Meşru menfaatle pazarlama yapılabilir mi?

Somut işleme faaliyetinin KVKK m.5/2-f kapsamında değerlendirilip değerlendirilemeyeceği, meşru menfaatin varlığı, veri işlemenin zorunluluğu ve ilgili kişinin temel hak ve özgürlüklerinin korunması bakımından incelenmelidir.

Bir şirketin daha fazla satış yapmak istemesi, her tür iletişim bilgisini sınırsız toplama ve kullanma hakkı doğurmaz.

Ayrıca kişisel veri işleme bakımından uygun hukuki sebep bulunsa bile ticari elektronik ileti göndermek için 6563 sayılı Kanun ve ilgili Yönetmelik kapsamında ayrıca onay gerekebilir.

Her B2B satış görüşmesi için açık rıza zorunlu mu?

Her durumda aynı sonuca varılamaz.

Verinin türü, elde edilme yöntemi, ilgili kişinin sıfatı, iletişimin amacı ve uygulanabilir işleme şartı değerlendirilmelidir.

Ancak “B2B satış yapıyoruz.” denilmesi, KVKK'nın kendiliğinden uygulanmayacağı anlamına gelmez.

Özellikle belirli çalışanların telefon numaraları ve kişisel kurumsal e-posta adresleri işlendiğinde kişisel veri koruma yükümlülükleri devam edebilir.

5. Aydınlatma Yükümlülüğü ile Açık Rıza Arasındaki Fark Nedir?

Pazarlama faaliyetlerinde sıklıkla karıştırılan iki kavram aydınlatma yükümlülüğü ve açık rızadır.

Aydınlatma, kişisel verilerin hangi amaçla, hangi hukuki sebeple ve kim tarafından işlendiği hakkında ilgili kişinin bilgilendirilmesini ifade eder.

Açık rıza ise belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan irade beyanıdır.

Bu işlemler aynı değildir.

Aydınlatma metni gönderilmesi pazarlama izni alındığı anlamına gelir mi?

Hayır.

Bir şirkete ilişkin aydınlatma metninin ilgili kişiye sunulması, kişinin reklam veya pazarlama amacıyla aranmayı kabul ettiği anlamına gelmez.

Aydınlatmanın yapılması, veri işleme şartı veya ticari elektronik ileti onayı yerine geçmez.

Tek kutucukla hem aydınlatma hem açık rıza alınabilir mi?

Aydınlatma yükümlülüğü ile açık rızanın birbirinden ayrı yürütülmesi gerekir.

Özellikle aydınlatmanın yapıldığına dair kayıt ile kişinin belirli pazarlama faaliyetini kabul etmesi aynı irade açıklaması olarak tasarlanmamalıdır.

Açık rıza nasıl olmalıdır?

KVKK m.3 kapsamında açık rızanın:

• Belirli bir konuya ilişkin olması,

• Bilgilendirmeye dayanması,

• Özgür iradeyle açıklanması

gerekir.

Örneğin “Bütün verilerimin her türlü amaçla kullanılmasını kabul ediyorum.” şeklindeki belirsiz ve genel bir ifade, belirli bir pazarlama faaliyeti için geçerli açık rızanın bütün şartlarını karşılamayabilir.

6. Telefon Numarası Üçüncü Kişiden Alındıysa Aydınlatma Ne Zaman Yapılır?

KVKK m.10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, ilgili kişinin doğrudan veri kaynağı olmadığı durumlara ilişkin özel hükümler içermektedir.

Tebliğ'in 6. maddesi özellikle önemlidir.

Buna göre kişisel veri ilgili kişiden elde edilmemişse:

• Verinin elde edilmesinden itibaren makul süre içerisinde,

• İlgili kişiyle iletişim amacıyla kullanılacaksa ilk iletişim kurulması esnasında,

• Veri aktarılacaksa en geç ilk aktarım esnasında

aydınlatma yükümlülüğünün yerine getirilmesi gerekir.

İlk telefon görüşmesinde aydınlatma yapılması pazarlama aramasını hukuka uygun hale getirir mi?

Her durumda hayır.

Tebliğ m.6, aydınlatmanın zamanlamasıyla ilgilidir.

Bu hüküm, ilgili kişinin telefon numarasının her koşulda reklam amacıyla kullanılabileceğine ilişkin bağımsız bir yetki vermez.

Özellikle ticari elektronik ileti için ön onayın gerekli olduğu durumda, ilk telefon görüşmesinin bizzat reklam veya tanıtım amacıyla gerçekleştirilmesi ayrı bir hukuki sorun doğurabilir.

Bu nedenle aydınlatma zamanlamasıyla pazarlama amacıyla ilk temasın hukuki dayanağı birbirine karıştırılmamalıdır.

Bir başkasının numarasına aydınlatma metni göndermek yeterli mi?

Yalnızca aydınlatma metni gönderilmesi her durumda yeterli değildir.

Öncelikle iletişim bilgisinin işlenmesinin hukuki sebebi ve o iletişimin ticari elektronik ileti niteliğinde olup olmadığı değerlendirilmelidir.

Resmî kaynak: KVKK – Aydınlatma Yükümlülüğü Tebliği

7. Ticari Elektronik İleti Nedir?

Ticari elektronik ileti, ticari amaçlarla elektronik iletişim araçları kullanılarak gönderilen belirli iletileri ifade eder.

6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili Yönetmelik kapsamında:

• SMS,

• E-posta,

• Telefon araması,

• Diğer elektronik iletişim yöntemleri

gündeme gelebilir.

Örneğin SaaS şirketinin yeni geliştirdiği ürünün tanıtımını yapmak amacıyla potansiyel müşterilere SMS göndermesi ticari elektronik ileti rejimi kapsamında değerlendirilebilir.

Telefonla satış araması ticari elektronik ileti midir?

Ticari amaçla yapılan belirli telefon aramaları ilgili düzenleme kapsamında bulunabilir.

Bu nedenle yalnızca SMS ve e-posta gönderilmediği gerekçesiyle telefonla pazarlamanın düzenleme dışında kaldığı söylenemez.

WhatsApp mesajı ticari elektronik ileti olabilir mi?

İletişimin amacı, kullanılan araç ve ilgili düzenlemenin kapsamı bakımından değerlendirilebilir.

WhatsApp üzerinden doğrudan ürün tanıtımı yapılması, sadece geleneksel SMS kullanılmadığı gerekçesiyle otomatik olarak ticari elektronik ileti mevzuatından bağımsız sayılmamalıdır.

Kişisel veri işleme yükümlülükleri ve platformun kendi kuralları da ayrıca önemlidir.

LinkedIn mesajı ticari elektronik ileti olabilir mi?

LinkedIn üzerinden gönderilen mesajlar bakımından da kullanılan kanal, mesajın ticari niteliği, ilgili mevzuatın kapsamı ve kişisel veri işleme faaliyeti değerlendirilmelidir.

Her sosyal medya mesajının otomatik olarak İYS kapsamındaki SMS ile aynı teknik yükümlülüklere tabi olduğu varsayılamaz.

Ancak sosyal medya aracılığıyla pazarlama yapılması, kişisel veri koruma yükümlülüklerini ortadan kaldırmaz.

8. KVKK Açık Rızası ile İYS Onayı Aynı Şey midir?

Hayır. Bu iki kavram farklı hukuki düzenlemelere dayanır.

KVKK kapsamında kişisel verilerin işlenmesine ilişkin hukuki sebep değerlendirilir.

6563 sayılı Kanun ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik kapsamında ise ticari elektronik iletilerin gönderilmesine ilişkin onay ve istisna koşulları incelenir.

Bir işlemde her iki düzenlemenin de uygulanması söz konusu olabilir.

KVKK açık rızası varsa İYS'ye ihtiyaç yok mu?

Böyle genel bir sonuç doğru değildir.

İlgili iletişim kanalına yönelik ticari elektronik ileti onayının ve İYS yükümlülüklerinin ayrı değerlendirilmesi gerekir.

Ayrıca bir kişinin verilerinin belirli amaçla işlenmesine rıza göstermesi, hangi şirketten hangi kanalla reklam mesajı almayı kabul ettiği sorusunu otomatik olarak çözmez.

İYS onayı varsa KVKK yükümlülükleri yerine getirilmiş olur mu?

Hayır.

İYS'de ticari elektronik ileti onayı bulunması, veri sorumlusunun KVKK m.4, m.5, m.10 ve ilgili diğer yükümlülüklerini ortadan kaldırmaz.

Karşılaştırma

Bu nedenle şirketin pazarlama sürecini yalnızca “İYS'de izin var mı?” sorusuna indirgemesi yeterli olmayabilir.

9. İleti Yönetim Sistemi (İYS) Nedir?

İleti Yönetim Sistemi, ticari elektronik ileti onaylarının ve retlerin yönetilmesi amacıyla oluşturulan sistemdir.

Ticaret Bakanlığının açıklamalarına göre İYS, alıcıların verdikleri ileti izinlerini görmesini ve ret haklarını kullanmasını sağlayan merkezi bir yapıdır.

Hizmet sağlayıcılar açısından ise onay ve ret kayıtlarının yönetimi önemlidir.

SaaS şirketi İYS'ye kayıt olmalı mı?

Ticari elektronik ileti gönderen hizmet sağlayıcılar bakımından Yönetmelik'in ilgili kayıt ve kontrol hükümleri değerlendirilmelidir.

Ancak şirketin herhangi bir yazılım geliştirmesi veya SaaS hizmeti sunması, her faaliyetinin kendiliğinden aynı ticari elektronik ileti yükümlülüğünü doğurduğu anlamına gelmez.

Önemli olan gerçekleştirilen ticari iletişim faaliyetidir.

Onay İYS dışından alınabilir mi?

Yönetmelikte ilgili usul ve esaslara göre hizmet sağlayıcı tarafından veya İYS üzerinden onay alınmasına ilişkin mekanizmalar bulunmaktadır.

Ancak alınan onayların İYS'ye kaydedilmesi ve ret bildirimlerinin yönetilmesiyle ilgili yükümlülükler ayrıca önemlidir.

İYS müşteriden alınan bütün kişisel verileri hukuka uygun hale getirir mi?

Hayır.

İYS onay yönetimi sistemidir. Kişisel veri işleme faaliyetinin bütün hukuki şartlarını otomatik olarak sağlayan genel bir izin mekanizması değildir.

Resmî kaynak: Ticaret Bakanlığı – İleti Yönetim Sistemi

10. Tacir ve Esnafa Reklam Mesajı Göndermek İçin Onay Gerekir mi?

Ticari elektronik ileti mevzuatında önemli bir istisna bulunmaktadır.

Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik'in 6. maddesi uyarınca tacir veya esnaf olan alıcıların elektronik iletişim adreslerine gönderilen ticari elektronik iletiler bakımından önceden onay alınması zorunlu değildir.

Ancak bu istisnanın uygulanması için ilgili alıcının gerçek hukuki sıfatı ve diğer şartlar önemlidir.

B2B pazarlamada her zaman onay gerekmez mi?

Bu ifade fazla geneldir.

Örneğin bir anonim şirketin kurumsal iletişim adresine ticari amaçlı ileti gönderilmesi ile şirket çalışanının kişisel cep telefonuna tanıtım SMS'i gönderilmesi aynı değerlendirmeye tabi olmayabilir.

Özellikle tacir veya esnaf olan alıcıya ilişkin istisnanın, şirkette görev yapan bütün gerçek kişilerin kişisel iletişim bilgileri için otomatik uygulanacağı varsayılmamalıdır.

Tacir istisnası KVKK'dan muafiyet sağlar mı?

Hayır.

Ticari elektronik ileti mevzuatında ön onay istisnası bulunması, kişisel veri niteliğindeki iletişim bilgilerinin KVKK'ya aykırı şekilde toplanmasına veya işlenmesine izin vermez.

Bu nedenle özellikle B2B satış ekipleri, tacir–esnaf istisnası ile KVKK kapsamında uygun işleme şartının bulunmasını birbirinden ayırmalıdır.

Tacir veya esnaf ileti almak istemezse ne olur?

Yönetmeliğe göre alıcının ret hakkını kullanması halinde gerekli koşullar sağlanmadan ticari elektronik ileti gönderilmeye devam edilemez.

Ayrıca tacir ve esnaf alıcılara ilişkin İYS kaydı ve ret kontrolü hükümleri dikkate alınmalıdır.

Resmî kaynak: Ticaret Bakanlığı – Ticari Elektronik İletiler Genel Bilgiler

11. LinkedIn'den Bulunan Telefon veya E-Posta Pazarlamada Kullanılabilir mi?

Startup ve SaaS şirketlerinin satış ekipleri potansiyel müşterilerini LinkedIn, şirket web siteleri ve profesyonel veri platformları üzerinden araştırabilir.

Bu yöntem genellikle Lead Generation, yani potansiyel müşteri oluşturma faaliyeti olarak adlandırılır.

Ancak profesyonel bir profilin internette yayımlanmış olması, ilgili kişinin bütün iletişim bilgilerinin her türlü reklam ve pazarlama amacıyla kullanılabileceği anlamına gelmez.

LinkedIn profilindeki iş e-postası kişisel veri midir?

Belirli bir gerçek kişiyle ilişkilendirilebiliyorsa kişisel veri olabilir.

Örneğin satış müdürünün adı ve soyadını içeren iş e-posta adresinin üçüncü taraf bir şirket tarafından CRM'e eklenmesi, kişisel veri işleme faaliyeti oluşturabilir.

LinkedIn'den toplu veri çekmek hukuka uygun mudur?

Bu işlem bakımından:

• Kişisel verilerin işlenme şartı,

• Toplama amacının meşruluğu,

• Veri minimizasyonu,

• Aydınlatma yükümlülüğü,

• Kullanılan platformun sözleşme ve teknik kullanım koşulları,

• Gerekli diğer hukuki düzenlemeler

değerlendirilmelidir.

Bir verinin teknik olarak erişilebilir olması, otomatik veya toplu şekilde toplanıp pazarlama listesine eklenmesini her durumda hukuka uygun hale getirmez.

LinkedIn'den bulunan e-posta adresine ilk tanıtım mesajı gönderilebilir mi?

İletişim bilgisinin elde edilme yöntemi, ilgili kişinin sıfatı, iletişimin ticari niteliği ve uygulanabilir ön onay istisnaları birlikte değerlendirilmelidir.

Bu nedenle “İnternetten buldum, o halde istediğim tanıtım e-postasını gönderebilirim.” yaklaşımı hukuken yeterli değildir.

12. Cold Email ve Cold Calling Türkiye'de Yasak mı?

Cold Email, daha önce doğrudan ticari ilişki kurulmamış bir kişiye e-posta gönderilmesini; Cold Calling ise önceden planlanmış bir müşteri ilişkisi bulunmadan satış veya tanıtım amaçlı arama yapılmasını ifade eder.

Türk hukukunda bütün soğuk iletişim faaliyetlerinin tek bir genel hükümle mutlak olarak yasaklandığı söylenemez.

Ancak ticari elektronik ileti ve kişisel veri koruma kurallarının uygulanabilirliği önemlidir.

B2C Cold Calling yapılabilir mi?

Potansiyel tüketicilerin reklam ve tanıtım amacıyla aranmasında ön onay koşulları ve KVKK yükümlülükleri ciddi önem taşır.

Referans veren bir kişinin numarayı paylaşması, aranan tüketicinin gerekli hukuki onayı verdiği anlamına gelmez.

B2B Cold Email yapılabilir mi?

Tacir veya esnaf olan alıcıların elektronik iletişim adreslerine ilişkin ön onay istisnası değerlendirilebilir.

Ancak kişinin gerçek hukuki sıfatı ve iletişimin kapsamı önemlidir.

Ayrıca çalışanların kişisel verilerinin işlenmesi bakımından KVKK'nın uygulanabilir hükümleri saklıdır.

Tek bir e-posta göndermek için de mevzuat uygulanır mı?

Gönderilen iletinin ticari elektronik ileti niteliği taşıması halinde, yalnızca tek seferlik gönderim olması bütün yükümlülükleri ortadan kaldırmaz.

Mesaj sayısı, ihlalin değerlendirilmesinde önem taşıyabilir; ancak tek başına genel bir muafiyet oluşturmaz.

13. “İzin Almak İçin SMS Göndermek” Hukuka Uygun mu?

Bu konu özellikle pazarlama ekiplerinin dikkat etmesi gereken bir ayrımdır.

Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik kapsamında, alıcıya ticari elektronik ileti gönderilerek onay talebinde bulunulmasına ilişkin sınırlama bulunmaktadır.

Dolayısıyla ön onaya tabi bir kişiye ticari elektronik ileti gönderip mesaj içerisinde “Reklam almak istiyorsanız EVET yazın.” denilmesi, kendiliğinden hukuka uygun bir onay toplama yöntemi değildir.

Telefonla arayıp reklam izni istemek mümkün mü?

Söz konusu aramanın hukuki niteliği ve ön onay kuralları değerlendirilmelidir.

Özellikle ilk aramanın gerçekte ürün tanıtımını içermesi, ilgili kişinin konuşma sırasında açık rıza verdiğinin ileri sürülmesiyle otomatik olarak hukuka uygun hale gelmez.

Daha uygun onay toplama yöntemleri nelerdir?

İlgili mevzuata uygun biçimde ve kişinin kendi iradesiyle başvurduğu:

• Web formu,

• Üyelik veya kayıt ekranı,

• İYS üzerinden onay,

• Yüz yüze ve usulüne uygun yöntemlerle alınan onay

gibi süreçler değerlendirilebilir.

Ancak onayın alınma yöntemi kadar hangi hizmet sağlayıcıya, hangi iletişim kanalına ve hangi amaçlara ilişkin olduğu da önemlidir.

14. Müşteri Sözleşme İçin Telefonunu Verdiyse Reklam Gönderilebilir mi?

Mevcut müşteriyle sözleşmesel ilişki bulunması, sözleşmenin ifasıyla ilgili iletişimler bakımından önem taşıyabilir.

Örneğin bir SaaS müşterisine:

• Planlı bakım bildirimi,

• Güvenlik uyarısı,

• Abonelik durumuna ilişkin bilgi,

• Ödeme hatırlatması,

• Sözleşme kapsamındaki teknik güncelleme

gönderilmesi, ürün tanıtımı ve reklam amacı taşıyan iletilerden farklı nitelikte olabilir.

Borç hatırlatma mesajı için reklam izni gerekir mi?

Ticari elektronik ileti mevzuatı, devam eden abonelik, üyelik, tahsilat, borç hatırlatma ve benzeri belirli bildirimleri onay gerektirmeyen durumlar arasında düzenlemektedir.

Ancak bu bildirimlere reklam veya başka mal ve hizmetlerin tanıtımının eklenmesi halinde değerlendirme değişebilir.

Mevcut müşteriye yeni ürün kampanyası göndermek aynı mı?

Hayır.

Örneğin mevcut aboneliğe ilişkin bakım bildirimi ile başka bir yazılım ürününe ilişkin indirim kampanyasının tanıtımı farklı amaçlar taşıyabilir.

Bu nedenle mevcut müşteri ilişkisi, bütün pazarlama iletileri için sınırsız izin sağladığı anlamına gelmez.

SaaS kullanıcısının kayıtta telefon vermesi pazarlama rızası sayılır mı?

Yalnızca telefon numarasının hesap güvenliği veya hizmet sunumu amacıyla verilmiş olması, kişinin yeni ürün reklamlarını almayı da kabul ettiği anlamına gelmez.

Bu nedenle kayıt ve pazarlama süreçlerinde amaçların ayrılması önemlidir.

15. CRM Sistemine Kaydedilen Potansiyel Müşteri Verileri Nasıl Yönetilmeli?

CRM, yani Customer Relationship Management, müşteri ilişkileri yönetimini sağlayan yazılım sistemidir.

Satış ekipleri CRM'de potansiyel müşterilere ilişkin farklı bilgiler tutabilir.

Örneğin:

• Ad ve soyad,

• Şirket,

• Görev,

• Telefon,

• E-posta,

• Referans kaynağı,

• Satış görüşmesi tarihi,

• İlgilenilen ürün,

• Pazarlama izin durumu.

Ancak CRM'in teknik olarak bu alanları desteklemesi, ilgili verilerin her durumda hukuka uygun biçimde kaydedilebileceği anlamına gelmez.

CRM'e alınan her lead pazarlama listesine eklenebilir mi?

Hayır.

Öncelikle verinin hangi yöntemle edinildiği ve hangi amaçla işlendiği belirlenmelidir.

Örneğin ürün demosu için kendi isteğiyle form dolduran kişi ile bir müşteri tarafından iletişim bilgisi paylaşılan kişinin hukuki durumu farklı olabilir.

CRM'de hangi uyum alanları tutulabilir?

Somut ihtiyaç ve veri minimizasyonu ilkesi gözetilerek:

• Veri kaynağı,

• Veri toplama tarihi,

• İşleme amacı,

• Hukuki işleme şartı,

• Aydınlatma durumu,

• İletişim kanalı,

• Ticari elektronik ileti onay durumu,

• İYS ret durumu,

• İzin kaydının doğrulanabildiği işlem bilgisi,

• Saklama veya silme takvimi

gibi alanlar değerlendirilebilir.

Ancak yalnızca bu alanların doldurulması, gerçek işleme faaliyetinin hukuka uygun olduğu anlamına gelmez.

Satış temsilcisi CRM'e “Onay var” yazarsa yeterli mi?

Her durumda değil.

Özellikle onay gerektiren faaliyetlerde ilgili kişinin gerçekten hangi kapsamda onay verdiğinin ispatlanabilmesi önemlidir.

CRM'e kullanıcı tarafından yazılan genel bir notun, geçerli onayın bütün unsurlarını kanıtladığı varsayılamaz.

16. Pazarlama Açık Rızası Nasıl İspatlanır?

Onayın ispatı, özellikle ticari elektronik ileti ve kişisel veri işleme uyuşmazlıklarında önemlidir.

Ticari elektronik ileti mevzuatı, ispat ve ilgili kayıtların saklanmasına ilişkin hükümler içermektedir.

Elektronik ortamda alınan onayda neler kayıt altına alınabilir?

İlgili mevzuat ve veri minimizasyonu ilkesi çerçevesinde:

• Onayın hangi hizmet sağlayıcı için verildiği,

• Hangi iletişim kanalını kapsadığı,

• Tarih ve saat,

• İlgili metnin sürümü,

• Onayın hangi yöntemle verildiği,

• Gerekli doğrulama bilgileri,

• Sonraki ret veya değişiklik kayıtları

önem taşıyabilir.

Sessizlik onay sayılır mı?

Hayır.

KVKK'nın 21 Temmuz 2026 tarihli duyurusu, yalnızca ret bildiriminde bulunulmamasının veya görüşmenin sürdürülmesinin tek başına geçerli açık rıza oluşturmayacağını açıkça vurgulamaktadır.

İlgili kişinin kampanyayla ilgilenmesi onay anlamına gelir mi?

Her durumda değil.

Örneğin kişi kendisine yapılan bir görüşmede ürün hakkında soru sormuş olabilir.

Bu davranışın tek başına bütün sonraki pazarlama aramalarına yönelik geçerli izin oluşturduğu kabul edilmemelidir.

Ancak ilgili kişinin belirli bir tanıtım talebini kendi iradesiyle iletmesi veya usulüne uygun onay vermesi gibi farklı durumlar ayrıca değerlendirilmelidir.

17. İYS'de Ret Veren Kişiye Yeniden Reklam Gönderilebilir mi?

Ticari elektronik ileti mevzuatında alıcının ret hakkı önemlidir.

Alıcı, kendisine ticari elektronik ileti gönderilmesini reddedebilir.

Ret bildiriminin ardından hizmet sağlayıcının ilgili kanuni yükümlülükleri yerine getirmesi gerekir.

Ret bildirimi sonrasında kaç iş günü içinde iletiler durdurulur?

Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik'in 10. maddesi kapsamında, ret bildiriminin hizmet sağlayıcıya ulaşmasını takip eden üç iş günü içinde ticari elektronik ileti gönderiminin durdurulmasına ilişkin düzenleme bulunmaktadır.

İYS kayıt ve bildirim süreçleri için de ilgili Yönetmelik hükümleri ayrıca uygulanır.

Ret veren kişiye başka marka üzerinden reklam yapılabilir mi?

İlgili onay veya ret kaydının kapsamı, iletişimi gönderen gerçek hizmet sağlayıcı ve taraflar arasındaki hukuki ilişkiler değerlendirilmelidir.

Aynı şirketin başka bir marka kullanması, ilgili kişinin ret hakkının etrafından dolaşılabileceği anlamına gelmez.

Ret veren kişiyi bütün CRM'den silmek zorunlu mu?

Her durumda değil.

Örneğin şirketin ret durumunu koruyabilmek veya hukuken gerekli belirli kayıtları saklayabilmek için ilgili sınırlı verileri işlemesi gündeme gelebilir.

Ancak ret kaydı bulunması, kişinin bütün geçmiş satış ve davranış verilerinin sınırsız biçimde saklanmasına gerekçe oluşturmaz.

18. Pazarlama Ajansı veya CRM Sağlayıcısı Kişisel Verilerden Sorumlu mu?

Bir şirket pazarlama faaliyetlerini kendi personeliyle yürütebileceği gibi dışarıdan hizmet de satın alabilir.

Örneğin:

• Pazarlama ajansı,

• Çağrı merkezi,

• SMS gönderim firması,

• E-posta otomasyon sağlayıcısı,

• CRM platformu,

• İYS entegratörü

sürece katılabilir.

Ancak şirketin dışarıdan hizmet alması, kişisel veri koruma ve ticari elektronik ileti sorumluluklarının tamamını otomatik olarak üçüncü tarafa geçirmez.

CRM sağlayıcısı her zaman veri işleyen midir?

Hayır.

Somut işleme faaliyetinde verilerin işlenme amaçlarını kimin belirlediği önemlidir.

Örneğin CRM sağlayıcısı müşterisinin talimatlarıyla satış kayıtlarını barındırıyor olabilir.

Başka bir faaliyetinde ise kendi ürününün pazarlaması için iletişim bilgilerini bağımsız amaçlarla işliyor olabilir.

Bu ilişkiler farklı veri sorumlusu ve veri işleyen değerlendirmeleri gerektirebilir.

Pazarlama ajansı veri sorumlusu olabilir mi?

Ajansın hangi işlemleri kimin adına gerçekleştirdiği ve amaçları bağımsız belirleyip belirlemediği önemlidir.

Bu nedenle bütün ajansların otomatik olarak yalnızca veri işleyen olduğu söylenemez.

DPA hazırlamak gerekir mi?

Veri işleme ilişkisinin niteliğine göre tarafların sorumluluklarının yazılı biçimde belirlenmesi önemli olabilir.

Ancak KVKK'daki sözleşmesel çerçeve ile GDPR m.28'deki açık düzenleme birbirinden ayrılmalıdır.

Bu konuyu B2B SaaS Veri İşleme Anlaşması (DPA) Nasıl Hazırlanır? KVKK ve GDPR Rehberi başlıklı makalemde ayrıca ele aldım.

19. Yurt Dışındaki CRM veya E-Posta Servisi Kullanılırsa Ne Olur?

Bir startup, satış ve pazarlama verilerini yabancı SaaS altyapılarında işliyor olabilir.

Örneğin uluslararası CRM, e-posta otomasyonu veya analitik platformu kullanılması söz konusu olabilir.

Bu durumda kişisel verilerin yurt dışına aktarılıp aktarılmadığı değerlendirilmelidir.

KVKK m.9 uygulanabilir mi?

Kişisel verilerin yurt dışına aktarılması halinde KVKK m.9 kapsamındaki şartlar önem taşır.

2024 yılında değiştirilen düzenleme kapsamında yeterlilik kararı, uygun güvenceler ve kanuni şartlarla istisnai aktarım mekanizmaları bulunmaktadır.

Ancak bütün CRM hizmetleri bakımından tek ve otomatik bir çözüm bulunduğu söylenemez.

Yabancı CRM sağlayıcısıyla DPA imzalamak yeterli mi?

Her durumda değil.

Örneğin kişisel veri aktarımı için KVKK m.9 kapsamında ayrıca uygun aktarım mekanizması gerekebilir.

Bu nedenle veri işleme sözleşmesi ile yurt dışına aktarımın hukuki dayanağı birbirine karıştırılmamalıdır.

Sunucu Türkiye'deyse yurt dışına aktarım yok mu?

Yalnızca sunucu konumu üzerinden kesin sonuca varılamaz.

Yabancı hizmet sağlayıcısının destek personelinin verilere erişmesi veya başka teknik işlemler gerçekleştirmesi gibi durumlar ayrıca değerlendirilmelidir.

20. Hukuka Aykırı Pazarlama Faaliyetlerinde Hangi Yaptırımlar Gündeme Gelebilir?

Pazarlama ve ticari elektronik ileti mevzuatına aykırılıklar farklı idari süreçlere konu olabilir.

KVKK bakımından

6698 sayılı Kanun'un 18. maddesi kapsamında, kanunda düzenlenen belirli yükümlülüklere aykırılıklar nedeniyle idari para cezaları gündeme gelebilir.

Ancak hangi yaptırımın uygulanacağı, hangi yükümlülüğün ihlal edildiğine ve somut olayın koşullarına bağlıdır.

21 Temmuz 2026 tarihli Kurum duyurusunda da ilgili veri sorumluları hakkında kanundaki yaptırımların uygulanabileceği belirtilmektedir.

Ticari elektronik ileti bakımından

6563 sayılı Kanun ve ilgili mevzuat kapsamında onay, ileti içeriği, ret hakkı ve diğer yükümlülüklere aykırılıklar nedeniyle idari yaptırımlar gündeme gelebilir.

Aynı olayda iki farklı mevzuat uygulanabilir mi?

Evet.

Örneğin bir şirket hem kişisel veri niteliğindeki telefon numarasını hukuka aykırı şekilde işlemiş hem de gerekli koşullar bulunmadan ticari elektronik ileti göndermiş olabilir.

Bu durumda ilgili faaliyetlerin ayrı hukuki yükümlülükler bakımından değerlendirilmesi gerekebilir.

Ancak her olayda otomatik olarak iki ayrı para cezası uygulanacağı şeklinde genel bir sonuç çıkarılamaz.

Şikâyet nereye yapılabilir?

Kişisel veri işleme şikâyetleri bakımından KVKK'nın ilgili kişiye tanıdığı başvuru ve şikâyet yolları önemlidir.

Ticari elektronik iletiler bakımından ise Ticaret Bakanlığının ilgili şikâyet mekanizmaları ve İYS ret işlemleri gündeme gelebilir.

Şikâyetin konusu ve başvuru şartları birbirinden farklı olabilir.

21. Örnek Olay: SaaS Şirketi Müşterisinin Verdiği Numarayı Arıyor

Türkiye'de kurulu Atlas CRM AŞ isimli bir SaaS şirketinin kurumsal müşteri ilişkileri yönetimi yazılımı geliştirdiğini düşünelim.

Şirket, satışlarını artırmak için mevcut müşterilerinden potansiyel müşteri yönlendirmesi istemektedir.

Atlas CRM'in mevcut müşterilerinden Nova Teknoloji Ltd. Şti. yetkilisi, satış temsilcisine şu bilgiyi iletir:

“Arkadaşım Eren'in şirketi de CRM arıyor. Numara vereyim, kendisini arayın.”

Satış temsilcisi Eren'in adını ve cep telefonu numarasını CRM'e kaydeder.

Bir gün sonra Eren'i arayarak ürün tanıtımı yapar.

Eren ise:

“Ben numaramı size vermedim. Reklam için aranmayı kabul etmedim. Bilgilerimi nereden aldınız?”

diye sorar.

Atlas CRM satış temsilcisi, müşterisinin referans verdiğini söyleyerek görüşmeye devam eder.

Bu olay nasıl değerlendirilmelidir?

Birinci mesele: Numaranın kişisel veri niteliği

Eren'in belirlenebilir gerçek kişi olarak iletişim bilgilerinin KVKK kapsamında kişisel veri oluşturup oluşturmadığı değerlendirilir.

İkinci mesele: Verinin kaynağı

Telefon numarasının doğrudan Eren'den değil, üçüncü kişiden edinildiği tespit edilir.

Üçüncü mesele: İşleme amacı

Numaranın ürün tanıtımı ve satış görüşmesi amacıyla kullanılması değerlendirilir.

Dördüncü mesele: KVKK m.5 işleme şartı

Bu amaçla kişisel veri işlenmesinin hangi hukuki sebebe dayandığı incelenir.

Beşinci mesele: Aydınlatma

KVKK m.10 ve Aydınlatma Tebliği m.6 kapsamında yükümlülükler değerlendirilir.

Altıncı mesele: Ticari elektronik ileti

Telefonla yapılan görüşmenin ticari elektronik ileti niteliği ve ön onay yükümlülükleri incelenir.

Yedinci mesele: Alıcının sıfatı

Aramanın Eren'e bireysel olarak mı yoksa belirli tacir veya esnaf alıcıya ilişkin iletişim adresi üzerinden mi yöneltildiği değerlendirilir.

Sekizinci mesele: Referansın kapsamı

Nova Teknoloji yetkilisinin verdiği bilginin, Eren'in geçerli hukuki onayını gösterip göstermediği incelenir.

Dokuzuncu mesele: Görüşmenin sürdürülmesi

Eren'in görüşmeyi hemen kapatmaması veya soru sorması, tek başına geçerli açık rıza oluşturmaz.

Onuncu mesele: CRM kayıtları

Numaranın hangi amaçla, hangi hukuki sebep ve süreyle CRM'de saklandığı değerlendirilir.

On birinci mesele: Sonraki tanıtımlar

Eren'in herhangi bir ret veya itirazının bulunması halinde ilgili satış ve pazarlama süreçlerinin buna uygun yönetilmesi gerekir.

On ikinci mesele: Şirketin iç süreçleri

Satış ekibinin referans bilgilerini doğrudan pazarlama listesine aktarmasına ilişkin prosedürler incelenir.

Bu örnekte Atlas CRM'in temel hatası yalnızca Eren'i aramış olması değildir. Üçüncü kişiden elde edilen iletişim bilgisinin hukuki işleme şartı, ilgili kişi bilgilendirmesi ve ticari elektronik ileti gereklilikleri ayrı ayrı değerlendirilmeden otomatik olarak satış faaliyetine dönüştürülmesidir.

22. SaaS ve Startup Şirketlerinde Hukuka Uygun Lead Generation Nasıl Planlanabilir?

Lead Generation faaliyetleri şirketin ticari hedefleri bakımından önemli olabilir.

Ancak potansiyel müşteri oluşturma sürecinin hukuken değerlendirilmesi gerekir.

Örneğin şirket:

• Web sitesinden demo başvurusu alabilir.

• Etkinliklere katılan kişilerle görüşebilir.

• Kurumsal iletişim adreslerinden gelen talepleri değerlendirebilir.

• B2B satış faaliyetleri yürütebilir.

• İçerik pazarlaması ve organik başvurular kullanabilir.

Bu faaliyetlerin tamamının aynı kişisel veri işleme şartına veya aynı ticari elektronik ileti onayına tabi olduğu söylenemez.

Demo başvurusu ile referans numarası arasında fark var mı?

Evet.

Bir kişi kendi iradesiyle demo talebinde bulunmuş olabilir.

Başka bir kişinin iletişim bilgileri ise üçüncü kişi tarafından paylaşılmış olabilir.

Verinin doğrudan ilgili kişiden elde edilmesi, kullanım amacı ve ilgili kişinin beklentisi bu senaryolarda farklıdır.

Demo talebi sonraki bütün kampanyalara izin verir mi?

Hayır.

Bir kullanıcının belirli ürün hakkında bilgi istemesi ile ilerideki bütün pazarlama kampanyalarına onay vermesi aynı değildir.

Bu nedenle demo talebinin karşılanması için gerekli iletişimlerle başka ürünlerin reklamı ayrıştırılmalıdır.

Mevcut müşteriden referans istemek tamamen yasak mı?

Böyle bir genel sonuç doğru değildir.

Ancak referans programının üçüncü kişilerin iletişim verilerini hangi yöntemle topladığı ve kullandığı önemlidir.

Örneğin mevcut müşterinin potansiyel ilgili kişiye şirketin genel tanıtım sayfasını iletmesi ve ilgilenen kişinin kendi iradesiyle başvurması, üçüncü kişinin telefon numarasının doğrudan satış listesine yüklenmesinden farklı bir veri akışı oluşturabilir.

Bu yöntemde de gerçek işleme faaliyeti ve gerekli yükümlülükler ayrıca değerlendirilmelidir.

23. CRM ve Pazarlama Sözleşmelerinde Hangi Maddeler Bulunmalıdır?

Bir şirket pazarlama ajansı, CRM sağlayıcısı veya satış otomasyon hizmetiyle çalışıyorsa veri koruma ve ticari elektronik ileti yükümlülüklerini sözleşmede belirlemeyi değerlendirebilir.

Veri kaynağı ve veri edinme yetkisi

Hizmet sağlayıcısının kullanacağı iletişim verilerini hangi kaynaklardan temin edebileceği belirlenmelidir.

İşleme amacı

Verilerin hangi pazarlama, satış veya başka ticari faaliyetler için kullanılabileceği tanımlanmalıdır.

Veri sorumlusu–veri işleyen ilişkisi

Tarafların gerçek işleme faaliyetlerine göre hukuki rolleri belirlenmelidir.

Aydınlatma yükümlülüğü

İlgili kişilere hangi kapsamda ve hangi süreçle aydınlatma yapılacağı düzenlenebilir.

Ticari elektronik ileti onayı

Onayın gerekli olduğu durumlar, onayın kim tarafından alınacağı ve ilgili kayıtların nasıl yönetileceği belirlenmelidir.

İYS yönetimi

Onay ve ret kayıtlarının güncellenmesi, kontrol edilmesi ve taraflar arasındaki teknik görev dağılımı düzenlenebilir.

Alt hizmet sağlayıcılar

SMS, e-posta, CRM ve veri işleme altyapısı sağlayıcılarının kullanımı değerlendirilmelidir.

Veri güvenliği

Erişim yetkileri, şifreleme, yetkisiz veri dışa aktarımı ve veri ihlali süreçleri belirlenmelidir.

Saklama ve silme

Potansiyel müşteri verilerinin hangi hukuki sebep ve süreyle saklanacağı açıklanabilir.

Denetim ve belgelendirme

Onay kayıtları, veri kaynakları ve ilgili yükümlülüklere uyumun nasıl kontrol edileceği kararlaştırılabilir.

Sorumluluk ve uyuşmazlık

Tarafların sözleşmesel sorumlulukları, ilgili kanuni yükümlülükler ve emredici hükümlerle uyumlu biçimde düzenlenmelidir.

Ancak yalnızca “Bütün KVKK sorumluluğu ajansa aittir.” şeklindeki genel bir hüküm, veri sorumlusunun kanuni sorumluluklarını kendiliğinden ortadan kaldırmaz.

24. Pazarlama Süreçleri İçin Hukuki Kontrol Listesi

Bir teknoloji şirketinin satış ve pazarlama süreçlerini gözden geçirirken aşağıdaki sorular önem taşır.

Veri toplama

• İletişim bilgileri hangi kaynaktan ediniliyor?

• Veri doğrudan ilgili kişiden mi alınıyor?

• Üçüncü kişi referansları nasıl değerlendiriliyor?

• Toplanan verilerin tamamına gerçekten ihtiyaç var mı?

KVKK

• Her işleme faaliyeti için uygun hukuki sebep belirlenmiş mi?

• Aydınlatma yükümlülüğü yerine getiriliyor mu?

• Açık rızaya dayanılan işlemlerde geçerli rıza alınıyor mu?

• Açık rıza ve aydınlatma süreçleri ayrı mı?

• Verilerin saklama ve silme şartları belirli mi?

Ticari elektronik ileti

• Gönderilen ileti ticari elektronik ileti niteliğinde mi?

• Ön onay kuralı veya ilgili istisna uygulanabilir mi?

• Tacir ve esnaf alıcılara ilişkin koşullar kontrol edilmiş mi?

• İYS kayıtları güncel mi?

• Ret bildirimleri zamanında uygulanıyor mu?

• İleti içeriğinde gerekli tanıtıcı ve iletişim bilgileri bulunuyor mu?

CRM ve satış otomasyonu

• Lead kaynağı kaydediliyor mu?

• Pazarlama izni ile genel müşteri kaydı ayrılmış mı?

• Satış ekibinin veri dışa aktarım yetkileri sınırlandırılmış mı?

• Ajans ve alt hizmet sağlayıcılar tespit edilmiş mi?

• Yurt dışındaki sistemlere veri aktarımı incelenmiş mi?

• İlgili kişi talep ve itirazları yönetilebiliyor mu?

Bu liste, bütün şirketlerin aynı işleme ve onay rejimine tabi olduğu anlamına gelmez. Uygulanabilir yükümlülükler, somut faaliyete göre belirlenmelidir.

25. KVKK ve Ticari Elektronik İleti Konusunda Sık Yapılan Hatalar

Müşteri referansı bulunmasını açık rıza saymak: Üçüncü kişinin verdiği iletişim bilgisi tek başına yeterli hukuki dayanak değildir.

Telefon internette yayımlandığı için reklam araması yapabilmek: Kamuya açıklık, sınırsız pazarlama yetkisi anlamına gelmez.

Aydınlatmayı açık rıza yerine kullanmak: Aydınlatma ve açık rıza farklı yükümlülüklerdir.

KVKK rızasını İYS onayıyla aynı saymak: İki düzenleme ayrı hukuki konulara ilişkindir.

Tacir istisnasını bütün çalışan telefonlarına uygulamak: Alıcının gerçek sıfatı ve iletişim adresinin niteliği değerlendirilmelidir.

İYS'de ret bulunmamasını her durumda onay saymak: Ön onay kuralı ve istisnalar ayrı değerlendirilmelidir.

Bir kez aranan kişinin telefonu kapatmamasını rıza saymak: Zımni davranışlar tek başına geçerli açık rıza oluşturmaz.

Demo başvurusunu sınırsız pazarlama izni olarak görmek: Başvuru amacı ve sonraki reklam faaliyetleri farklıdır.

İzin istemek için izinsiz reklam SMS'i göndermek: Ticari elektronik iletiyle onay talep edilmesine ilişkin yasak ve sınırlamalar dikkate alınmalıdır.

CRM'de “izin var” notu bulunmasını yeterli saymak: Geçerli iznin kapsamı ve ispatı önemlidir.

Ajansla çalışınca bütün hukuki sorumluluğun sona erdiğini düşünmek: Tarafların kanuni sıfatları ve yükümlülükleri devam edebilir.

Yabancı CRM'de veri saklamayı yalnızca hizmet sözleşmesiyle çözmek: KVKK m.9 ve ilgili aktarım mekanizmaları ayrıca önem taşıyabilir.

26. Müşteri Referansları, İYS ve KVKK Hakkında Sık Sorulan Sorular

Müşterinin verdiği telefon numarası reklam için kullanılabilir mi?

Sırf mevcut müşteri tarafından verilmiş olması nedeniyle kullanılamaz. KVKK kapsamında hukuki işleme şartı, aydınlatma ve ticari elektronik ileti mevzuatındaki gereklilikler ayrıca değerlendirilmelidir.

Referans veren kişi onay aldığını söylüyorsa yeterli mi?

Her durumda değil. İlgili kişinin hangi şirket, amaç ve iletişim kanalı için geçerli izin verdiğinin ispatlanabilir olması önemlidir.

KVKK'nın 21 Temmuz 2026 duyurusu ne hakkında?

Üçüncü kişilerden referans, tavsiye veya benzer yöntemlerle elde edilen iletişim bilgilerinin reklam ve pazarlama amacıyla kullanılmasında veri koruma yükümlülüklerini hatırlatmaktadır.

Telefon numarası kişisel veri midir?

Belirli veya belirlenebilir gerçek kişiyle ilişkilendirilebiliyorsa kişisel veridir.

Kurumsal e-posta adresi KVKK kapsamında mı?

Belirli gerçek kişiyle ilişkilendirilebiliyorsa kişisel veri olabilir. Örneğin ad-soyad içeren iş e-posta adresleri bu kapsamda değerlendirilebilir.

Pazarlama için her zaman açık rıza gerekir mi?

Her kişisel veri işleme faaliyetinde zorunlu değildir. KVKK m.5'teki uygun işleme şartı somut olaya göre belirlenir. Ticari elektronik ileti ön onayı ise ayrıca değerlendirilir.

Aydınlatma yapılması pazarlama onayı anlamına gelir mi?

Hayır. Aydınlatma, açık rıza ve ticari elektronik ileti onayı farklıdır.

Kişinin telefonu kapatmaması açık rıza mıdır?

Tek başına hayır. KVKK'nın 21 Temmuz 2026 tarihli duyurusunda bu ayrım özellikle vurgulanmıştır.

İYS nedir?

Ticari elektronik ileti onay ve ret süreçlerinin merkezi olarak yönetilmesini sağlayan sistemdir.

İYS onayı varsa KVKK'ya uyum sağlanmış olur mu?

Hayır. KVKK kapsamındaki işleme şartı ve diğer yükümlülükler ayrıca değerlendirilmelidir.

Tacirlere izinsiz ticari elektronik ileti gönderilebilir mi?

Yönetmelik'te tacir ve esnaf olan alıcıların elektronik iletişim adresleri bakımından ön onay istisnası bulunmaktadır. Ancak ret hakkı, İYS ve KVKK yükümlülükleri devam eder.

Şirket çalışanının cep telefonuna B2B reklam gönderilebilir mi?

Tacir–esnaf istisnası ve kişisel veri işleme şartları, çalışanın gerçek sıfatı ve ilgili iletişim adresinin niteliği dikkate alınarak değerlendirilmelidir.

LinkedIn'de bulunan telefon numarası reklam amacıyla aranabilir mi?

Sırf LinkedIn'de bulunması otomatik hukuki izin sağlamaz. Kişisel veri işleme ve ticari elektronik ileti kuralları değerlendirilmelidir.

Cold Email Türkiye'de yasak mı?

Bütün durumlar için mutlak bir yasak bulunduğu söylenemez. Alıcının hukuki sıfatı, iletişimin niteliği, ticari elektronik ileti onay kuralları ve KVKK önemlidir.

WhatsApp üzerinden reklam göndermek için izin gerekir mi?

İletişimin ticari amacı ve kullanılan kanalın hukuki niteliğine göre ticari elektronik ileti ve kişisel veri koruma yükümlülükleri gündeme gelebilir.

İzin almak için SMS gönderebilir miyiz?

Ön onaya tabi alıcılara ticari elektronik ileti göndererek onay talep edilmesine ilişkin Yönetmelik sınırlamaları dikkate alınmalıdır.

Demo isteyen kişiye ürün bilgisi gönderilebilir mi?

Kişinin kendi talebi ve hizmetin niteliği kapsamında değerlendirilir. Ancak demo talebi sonraki bütün reklam kampanyalarına otomatik izin anlamına gelmez.

CRM'de müşteri verisi saklamak için açık rıza şart mı?

Her durumda değil. Veri işleme amacı ve KVKK m.5'teki hukuki şartlar değerlendirilmelidir.

CRM'de saklanan eski lead'ler ne zaman silinir?

İlgili veri kategorisinin işlenmesini gerektiren sebepler, saklama yükümlülükleri ve KVKK m.7 ile ilgili yönetmelik kapsamında değerlendirilmelidir.

İYS ret bildirimi kaç günde uygulanır?

Ticari elektronik ileti gönderiminin ret bildiriminin ulaşmasını takip eden üç iş günü içerisinde durdurulmasına ilişkin düzenleme bulunmaktadır.

Pazarlama ajansı KVKK ihlalinden sorumlu olabilir mi?

Somut veri işleme rolüne, faaliyetlerine ve ilgili yükümlülüklere göre sorumluluk gündeme gelebilir.

İzinsiz reklam mesajına nereye şikâyet yapılır?

Ticari elektronik iletiye ilişkin süreçlerde Ticaret Bakanlığının şikâyet mekanizmaları; kişisel veri işleme ihlallerinde ise KVKK kapsamındaki başvuru ve şikâyet yolları değerlendirilebilir.

Sonuç: Referansla Elde Edilen İletişim Bilgisi, Kendiliğinden Pazarlama İzni Değildir

SaaS ve teknoloji şirketlerinin satış faaliyetlerinde referans yöntemi, potansiyel müşteri oluşturmanın yaygın yollarından biridir.

Ancak bir müşterinin başka bir kişinin telefon numarasını paylaşması, ilgili kişinin kişisel verilerinin sınırsız biçimde işlenmesine veya reklam amacıyla aranmasına kendiliğinden izin vermez.

Kişisel Verileri Koruma Kurumunun 21 Temmuz 2026 tarihli duyurusu, üçüncü kişilerden elde edilen iletişim verilerinin pazarlama amacıyla kullanılmasında veri sorumlularının hukuki yükümlülüklerini özellikle hatırlatmaktadır.

Bu nedenle şirketlerin KVKK m.5 kapsamında uygun işleme şartını, m.10 kapsamındaki aydınlatma yükümlülüğünü ve gerekiyorsa geçerli açık rızayı değerlendirmesi önemlidir.

Ayrıca ticari elektronik ileti gönderimi bakımından 6563 sayılı Kanun, Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik ve İYS hükümleri ayrı olarak uygulanabilir.

Özellikle B2B satışlarda tacir ve esnaf alıcılara ilişkin ön onay istisnası ile kişisel veri koruma yükümlülükleri birbirine karıştırılmamalıdır.

Pazarlama faaliyetlerinde hukuki güvenlik, yalnızca potansiyel müşterinin telefon numarasını elde etmekle değil; bu numaranın hangi hukuki sebeple toplandığının, hangi amaçla kullanılabileceğinin ve ilgili kişinin iletişim tercihinin nasıl yönetileceğinin açıkça belirlenmesiyle sağlanabilir.

Hukuki Dayanaklar ve Resmî Kaynaklar

6698 sayılı Kişisel Verilerin Korunması Kanunu

• m.3 – Kişisel veri ve açık rıza tanımları.

• m.4 – Kişisel verilerin işlenmesinde genel ilkeler.

• m.5 – Kişisel verilerin işlenme şartları.

• m.7 – Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.

• m.8–9 – Kişisel verilerin aktarılması.

• m.10 – Aydınlatma yükümlülüğü.

• m.11 – İlgili kişinin hakları.

• m.12 – Veri güvenliğine ilişkin yükümlülükler.

• m.13–14 – Başvuru ve şikâyet mekanizmaları.

• m.18 – İdari yaptırımlar.

Ticari elektronik ileti mevzuatı

• 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun.

• Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik; özellikle m.5–13.

• Ticari Elektronik İleti Yönetim Sistemi (İYS) kapsamında uygulanabilir düzenlemeler.

Diğer ilgili düzenlemeler

• Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ; özellikle m.5–6.

• Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.

• Uygulanabildiği ölçüde Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR), özellikle m.5–6, m.13–14 ve m.21.

Resmî kaynaklar

• KVKK – Üçüncü Kişilerden Elde Edilen Kişisel Verilerin Reklam ve Pazarlama Amaçlı Kullanılmasına İlişkin Kamuoyu Duyurusu (21.07.2026)

• KVKK – Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ

• Ticaret Bakanlığı – Ticari Elektronik İletiler

• Ticaret Bakanlığı – İleti Yönetim Sistemi

• Ticaret Bakanlığı – Elektronik Ticaret Mevzuatı

Yazar

Av. Şenay Yağmur Efe

Kişisel verilerin korunması, bilişim hukuku, SaaS ve teknoloji sözleşmeleri, startup hukuku ve dijital ticari faaliyetlerin hukuki süreçleri üzerine çalışmalar yürütmektedir.

Bu makale 5 Kasım 2026 itibarıyla genel hukuki bilgilendirme amacıyla hazırlanmıştır. Kişisel verilerin pazarlama amacıyla kullanılması ve ticari elektronik ileti gönderimi, verinin kaynağı, ilgili kişinin sıfatı, iletişim kanalı, işlemenin amacı ve uygulanabilir mevzuat dikkate alınarak somut olay özelinde değerlendirilmelidir.