SMS Doğrulama Kodları ve KVKK'nın 2025/1072 Sayılı İlke Kararı 17 Ağustos 2025

1. SMS Doğrulama Sisteminin Mevcut Durumu ve Hukuki Sorunlar

Kuruma intikal eden şikayetlerde tespit edilen temel sorun, veri sorumlularının ürün ve hizmet sunumu esnasında ilgili kişilere gönderdikleri SMS doğrulama kodlarını, ödeme işleminin tamamlanması veya fatura oluşturulması gerekçesiyle talep etmelerine rağmen, bu kodların aslında ticari elektronik ileti gönderimi için açık rıza alınması amacıyla kullanılmasıdır. Bu uygulama, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun temel ilkelerine aykırılık teşkil etmektedir.
 

Kanun'un 3. maddesinde tanımlanan açık rıza kavramının üç temel unsuru bulunmaktadır:

• belirli bir konuya ilişkin olma,
• bilgilendirilmeye dayanma
• ve özgür iradeyle açıklanma.

Mevcut uygulamalarda, ilgili kişiler neye rıza gösterdikleri konusunda yanıltılmakta, dolayısıyla bilgilendirilmeye dayanan bir rızadan söz edilememektedir. Ayrıca, ürün veya hizmetin sunulması ticari ileti iznine bağlandığında, özgür irade unsuru da ortadan kalkmaktadır.

Kişisel Verileri Koruma Kurumu Kararı - KVKK, K. 2020/173 T. 27.2.2020 sayılı kararında vurgulandığı üzere, "açık rızanın bir ürün veya hizmetin sunulmasının ön şartı olarak ileri sürülmesi halinde özgür irade unsuru zedelenmekte ve geçerli bir açık rızadan söz edilememektedir" (1). Bu içtihat, Kurul'un İlke Kararı'nda da temel dayanak noktalarından biri olmuştur.

2. İlke Kararının Getirdiği Düzenlemeler

Kurul'un İlke Kararı, veri sorumlularına açık ve uygulanabilir yükümlülükler getirmektedir. Birincisi, SMS ile gönderilen doğrulama kodunun amacı ve verilmesi halinde doğacak hukuki sonuçlar, katmanlı aydınlatma ilkesi gereğince ilgili kişilere açık ve anlaşılır bir biçimde aktarılmalıdır. Bu bilgilendirme, hem veri sorumlusunun görevlileri tarafından sözlü olarak hem de SMS içeriğinde yazılı olarak yapılmalıdır.

İkinci olarak, tek bir doğrulama koduyla birden fazla hukuki işlemin gerçekleştirilmesi yasaklanmıştır. Üyelik sözleşmesinin onaylanması, kişisel verilerin işlenmesine ilişkin açık rıza alınması ve ticari elektronik ileti gönderimi için izin alınması gibi birbirinden farklı hukuki sonuçlar doğuran işlemler için ayrı mekanizmalar kurulmalı ve ilgili kişilerden ayrı ayrı açık rıza alınmalıdır.

Üçüncü düzenleme, ticari elektronik ileti gönderimi için açık rıza alınmasının ürün ve hizmet sunumunun zorunlu bir unsuru olarak sunulamamasıdır. Karar'da açıkça belirtildiği üzere, ilgili kişilere ticari ileti izninin ürün veya hizmet sunumunun tamamlanması için zorunlu olmadığı, kodun verilmemesi halinde de işlemin tamamlanabileceği bilgisi net bir şekilde aktarılmalıdır.

Dördüncü ve son düzenleme ise veri sorumluları tarafından bu süreçlerde görev alan personele yönelik eğitim ve farkındalık çalışmalarının periyodik olarak yürütülmesi zorunluluğudur. Bu düzenleme, Kanun'un 12. maddesinde öngörülen veri güvenliğine ilişkin idari tedbirlerin bir parçası olarak değerlendirilmektedir.
 

3. Aydınlatma Yükümlülüğü ve Açık Rıza İlişkisi

Kanun'un 10. maddesi uyarınca, kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi tarafından ilgili kişilere aydınlatma yükümlülüğünün yerine getirilmesi gerekmektedir. Bu yükümlülük, açık rıza alınmasından bağımsız olarak yerine getirilmesi gereken bir yükümlülüktür. İlke Kararı'nda özellikle vurgulandığı üzere, aydınlatma yükümlülüğü ile açık rıza alınması işlemlerinin ayrı ayrı gerçekleştirilmesi zorunludur.
 

Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'de belirtildiği gibi, aydınlatma metinlerinin açık, anlaşılır ve erişilebilir olması gerekmektedir (2). SMS içeriklerinde bu aydınlatmanın tamamının yer alması teknik olarak mümkün olmadığından, katmanlı aydınlatma yöntemi benimsenmelidir. İlk katmanda temel bilgiler verilmeli, detaylı bilgi için ilgili kişiler dijital ortamlara yönlendirilmelidir.
 

4. Hukuki Yaptırımlar ve Sorumluluk Rejimi
 

İlke Kararı'na uyulmaması durumunda, Kanun'un 18. maddesi uyarınca idari para cezaları uygulanacaktır. 2025 yılı için belirlenen idari para cezaları, aydınlatma yükümlülüğünün ihlali için 68.083 TL - 1.362.021 TL arasında, ilgili kişinin açık rızası olmaksızın kişisel verilerin işlenmesi durumunda ise 204.285 TL - 13.620.402 TL arasında değişmektedir (3).
 

Kişisel verilerin hukuka aykırı olarak işlenmesi, aynı zamanda kişilik haklarına yönelik bir ihlal niteliği taşıyabilir. Türk Borçlar Kanunu'nun 58. maddesi uyarınca, kişilik hakkı zedelenen kişiler, uğradıkları manevi zarar için tazminat talebinde bulunabilirler.
 

Yargıtay içtihatlarında da bu durum açıkça görülmektedir. Örneğin, bir kararında davacının bilgisi ve rızası olmaksızın kimlik bilgileri kullanılarak, imzası taklit edilmek suretiyle adına telefon hattı açılmıştır. Faturaların ödenmemesi üzerine davacı aleyhine icra takibi başlatılmış ve davacı bu nedenle menfi tespit davası açmak zorunda kalmıştır. Yargıtay, telekomünikasyon şirketinin bayiyi özenle seçme ve etkin şekilde denetleme yükümlülüğünü yerine getirmediğini tespit etmiş; bu ihmalkârlığın davacının kişilik haklarını ihlal ettiğine hükmederek manevi tazminat talebini kabul etmiştir (Yargıtay 4. Hukuk Dairesi, E. 2019/979, K. 2019/2679).(4)

Ayrıca, Kurul'un veri işleme faaliyetinin durdurulmasına karar verme yetkisi bulunmaktadır. Tekrarlayan veya sistematik ihlaller durumunda, bu yetki kullanılarak veri sorumlusunun belirli veri işleme faaliyetleri tamamen durdurulabilir. Bu durum, özellikle müşteri verilerine dayalı iş modelleri için ciddi operasyonel riskler barındırmaktadır.

5. Uyum Sürecinde Alınması Gereken Tedbirler
 

Veri sorumluları, İlke Kararı'na uyum sağlamak için kapsamlı bir dönüşüm süreci yürütmelidir. Teknik altyapı düzeyinde, farklı amaçlar için ayrı onay mekanizmaları kurulmalıdır. SMS gönderim sistemleri, her bir işlem türü için özelleştirilmiş içerikler üretecek şekilde yeniden yapılandırılmalıdır. Özellikle, ticari ileti izni için gönderilen Sms'lerde bu iznin isteğe bağlı olduğu açıkça belirtilmelidir.

Operasyonel süreçler açısından, müşteri temas noktalarındaki tüm prosedürler gözden geçirilmelidir. Satış personeli, çağrı merkezi görevlileri ve dijital kanal yöneticileri için detaylı talimatnameler hazırlanmalıdır. Bu talimatlarda, hangi durumda ne tür bilgilendirme yapılacağı, hangi ifadelerin kullanılacağı ve hangi davranışlardan kaçınılacağı net olarak belirtilmelidir.

Hukuki uyum açısından, mevcut müşteri veri tabanlarının durumu değerlendirilmelidir. Hatalı yöntemlerle alınmış izinlerin hukuki geçerliliği bulunmadığından, bu izinlere dayalı veri işleme faaliyetleri derhal durdurulmalıdır. Gerekli durumlarda, müşterilerden yeniden ve uygun yöntemlerle açık rıza alınmalıdır.

Kurumsal yönetişim düzeyinde, veri koruma uyum programları geliştirilmelidir. Bu programlar, düzenli iç denetimler, risk değerlendirmeleri ve iyileştirme planlarını içermelidir. Üst yönetimin bu sürece aktif katılımı ve gerekli kaynakların tahsisi kritik öneme sahiptir.

6. Sonuç ve Değerlendirme

Kişisel Verileri Koruma Kurulu'nun 2025/1072 sayılı İlke Kararı, SMS doğrulama kodları üzerinden gerçekleştirilen veri işleme faaliyetlerinde şeffaflık ve dürüstlük ilkelerini ön plana çıkarmaktadır. Bu düzenleme, Türkiye'nin kişisel verilerin korunması alanında Avrupa Birliği müktesebatına uyum sürecinin önemli bir adımını teşkil etmektedir.
 

Veri sorumluları açısından bu karar, kısa vadede operasyonel zorluklar ve ek maliyetler getirebilecek olsa da, uzun vadede müşteri güveninin tesisi ve sürdürülebilir iş modellerinin geliştirilmesi açısından önemli fırsatlar sunmaktadır. Kişisel verilerin korunması konusunda proaktif yaklaşım sergileyen işletmeler, rekabet avantajı elde edecek ve dijital ekonominin güvenilir aktörleri olarak konumlanacaktır.
 

İlke Kararı'nın 26 Haziran 2025 tarihinde Resmi Gazete 'de yayımlanarak yürürlüğe girmesiyle birlikte, veri sorumluları için uyum süreci başlamıştır. Kurul'un geçiş süreci öngörmemesi, bu uygulamaların zaten hukuka aykırı olduğu gerçeğinden hareket etmektedir. Bu nedenle, veri sorumlularının derhal gerekli tedbirleri alması ve uyum çalışmalarını tamamlaması gerekmektedir.

Sonuç olarak, bu İlke Kararı sadece teknik bir düzenleme olmanın ötesinde, veri sorumluluğu bilincinin geliştirilmesi ve etik veri işleme kültürünün yerleştirilmesi açısından önemli bir dönüm noktasıdır. Veri ekonomisinin geleceğinin güven üzerine inşa edileceği gerçeğinden hareketle, bu düzenlemeye uyum sağlamak sadece hukuki bir zorunluluk değil, aynı zamanda sürdürülebilir büyümenin de temel şartıdır.
 

Kaynakça

(1) Kişisel Verileri Koruma Kurumu Kararı - KVKK, K. 2020/173 T. 27.2.2020
(2) Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, Resmi Gazete, Sayı: 30356, 10.03.2018.
(3) Kişisel Verileri Koruma Kurulu, "10/06/2025 Tarihli ve 2025/1072 Sayılı İlke Kararı", Resmi Gazete, Sayı: 32938, 26.06.2025.
(4) Yargıtay 4. Hukuk Dairesi, E. 2019/979, K. 2019/2679