Kişisel Verileri Koruma Kurumu (KVKK), dijital işlemlerde sıklıkla kullanılan SMS doğrulama kodları ile ilgili önemli bir ilke kararı yayımladı. Resmî Gazete'de duyurulan yeni karara göre, ödeme, üyelik ve kayıt gibi işlemler sırasında cep telefonlarına gönderilen doğrulama kodlarıyla kişisel verilerin işlenmesine dair ciddi düzenlemelere gidildi.
Şikâyetler Artınca KVKK Harekete Geçti
Kurum, vatandaşlardan gelen yoğun şikâyet ve ihbarlar üzerine inceleme başlattı. Özellikle bazı firmaların, ödeme veya üyelik işlemi bahanesiyle cep telefonu numarası gibi iletişim bilgilerini toplayarak, bu bilgileri daha sonra ticari elektronik ileti göndermek amacıyla kullandığı belirlendi. Şikâyetlerde, doğrulama kodlarının "ödeme tamamlamak", "fatura oluşturmak" veya "iletişim bilgisi güncellemek" gibi gerekçelerle istendiği, ancak ardından açık rıza alınmaksızın reklam içerikli mesajlar gönderildiği bildirildi.
Kodun Amacı Açıkça Belirtilmeli
Yeni ilke kararına göre, ödeme yapma, üyelik oluşturma, kayıt açma veya teklif sunma gibi hizmet süreçlerinde SMS ile gönderilen doğrulama kodlarının amacı kullanıcıya açıkça bildirilecek. Gönderilen mesajın hangi işlem için kullanıldığı ve kullanıcının kodu paylaşması durumunda ne gibi sonuçlar doğuracağı net bir biçimde anlatılacak.
Tek SMS ile Çoklu Onay Dönemi Sona Eriyor
Özellikle dikkat çeken değişikliklerden biri de "tek SMS ile çoklu onay" uygulamasının kaldırılması. Artık;
- Üyelik onayı,
- Kişisel verilerin işlenmesine onay,
- Ticari ileti alım izni
gibi işlemler tek bir mesaj üzerinden topluca yapılamayacak. Her biri için ayrı ayrı ve açık rıza alınması zorunlu olacak.
Açık Rıza, Hizmet Sonrasında Alınmalı
İlke kararında öne çıkan bir diğer detay da, ticari elektronik ileti gönderimi için gereken açık rızanın, ilgili işlemin (örn. alışverişin ya da üyeliğin) tamamlanmasının ardından alınması gerektiği. Kullanıcı, hizmeti alabilmek için ticari ileti onayı vermeye zorlanamayacak.
Uymayanlara Yaptırım Uygulanacak
KVKK, bu ilke kararına aykırı davranan veri sorumlularına karşı 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesi kapsamında idari para cezaları ve diğer yaptırımların uygulanacağını da net şekilde belirtti.
