SMS Onayı İçin Dikkat! KVKK'da Yeni Dönemle Gelen Değişiklikler Neler?

Kişisel Verileri Koruma Kurumu (KVKK), ürün ve hizmet sağlayıcılarının doğrulama kodu aracılığıyla kişisel verileri işleme yöntemleri hakkında bir ilke kararı yayımladı. Resmi Gazete'de yer alan bu karara göre, ödeme işlemleri, yeni hesap oluşturma ya da kayıt işlemleri sırasında vatandaşlardan iletişim bilgileri talep edilerek, cep telefonlarına SMS yoluyla doğrulama kodu gönderilmesi uygulaması ile ilgili çok sayıda şikayet ve uyarı KVKK'ya ulaşmış durumda.

Bu şikayetlerde, doğrulama kodunun "ödeme işleminin tamamlanması", "fatura kesilmesi" ya da "iletişim bilgilerinin güncellenmesi" amacıyla istendiği, fakat sonrasında bu verilerin ticari elektronik iletilerin gönderimi için kullanıldığı kaydedildi. Kurumun araştırmaları sonucunda birçok firmanın SMS doğrulama işlemini, kullanıcıların ticari ileti onayını ve kişisel verilerin işlenmesine onay vermesini sağlamak amacıyla kullandığını, dolayısıyla vatandaşları yanılttıkları ortaya çıkmıştır.

Kişisel Verileri Koruma Kurumu, alışveriş süreçlerinde sıkça karşılaşılan bu duruma yönelik bir ilke kararı almaya karar verdi. Böylece, ürün ve hizmetlerin sunumu ile ilgili ödeme, hesap açma, üyelik veya teklif oluşturma süreçlerinde, kullanıcıların cep telefonlarına gönderileceği SMS'in ne amaçla gönderildiği ve iletilen kodun sağlanmasının sonucunun ne olacağı, vatandaşlara açık ve anlaşılır bir şekilde belirtilmesi gerekecek.

AÇIK RIZA GEREKECEK

"Üyelik onayı", "kişisel veri işleme izni" ve "ticari ileti onayı" gibi farklı taleplerin tek bir SMS üzerinden gerçekleştirilemeyeceği ifade edildi. Bu işlemler için ayrı ayrı açık rızaların alınması zorunlu kılınacak.

Kişisel verilerin işlenmesi ve ticari ileti gönderilmesi için açık rıza istenmesi, sürecin tamamlanabilmesi adına mecburi bir unsur olmayacak.

Ayrıca, açık rıza, ürün ve hizmet sunumunun tamamlanmasından sonra talep edilecektir. Veri sorumlularının yapacağı bilgilendirmelerde, işlemin yerine getirilebilmesi için onay verilmesinin zorunlu olmadığı vurgulanacaktır. Alınan ilke kararlarına uymayan veri sorumluları hakkında, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesi gereğince cezai yaptırımlar uygulanacaktır.