KVKK’den “SMS’le doğrulama kodu” istenmesine ilişkin ilke kararı

Ürün ve hizmet sunumlarına ilişkin ödeme yapma, kayıt açma, üyelik ve teklif oluşturma gibi süreçlerde ilgili kişilerin telefonuna gönderilecek SMS’in amacının ne olduğu ve SMS’le iletilen kodun verilmesi halinde ne gibi sonuçlar doğuracağı ilgili kişilere açık ve anlaşılır biçimde açıklanacak.

Kişisel Verileri Koruma Kurumu’nun (KVKK), ürün ve hizmet sunumunda doğrulama kodu gönderilerek kişisel verilerin işlenmesine ilişkin ilke kararı Resmi Gazete’de yayımlandı.

Karara göre, ödeme yapma, üyelik oluşturma veya kayıt açma gibi işlemler sırasında iletişim bilgileri talep edilerek, vatandaşların cep telefonlarına SMS ile doğrulama kodu gönderilmesi uygulamasıyla ilgili KVKK’ya çok sayıda şikayet ve ihbar ulaştı.

Şikayetlerde, doğrulama kodunun “ödeme işleminin tamamlanması”, “fatura oluşturulması” ya da “iletişim bilgilerinin güncellenmesi” gibi nedenlerle istendiği, ancak sonrasında bu verilerin kullanılarak ticari elektronik iletiler gönderildiği belirtildi.

Kurum tarafından yapılan incelemede, bazı şirketlerin SMS doğrulamasını, ticari ileti onayı ve kişisel verilerin işlenmesine açık rıza almak için kullandığı ve bu şekilde vatandaşları yanıltarak izin aldığı tespit edildi.

KVKK, alışveriş sırasında yaygın olarak yaşandığı anlaşılan bu durumla ilgili ilke kararı alındı.

Buna göre, ürün ve hizmet sunumlarına ilişkin ödeme yapma, kayıt açma, üyelik ve teklif oluşturma gibi süreçlerde ilgili kişilerin telefonuna gönderilecek SMS’in amacının ne olduğu ve SMS’le iletilen kodun verilmesi halinde ne gibi sonuçlar doğuracağı ilgili kişilere açık ve anlaşılır biçimde açıklanacak.

CEZAİ İŞLEM UYGULANACAK

“Üyelik onayı”, “kişisel veri işleme izni” ve “ticari ileti onayı” gibi farklı işlemler tek bir SMS üzerinden yapılamayacak. Bu işlemler için ayrı ayrı açık rıza alınacak.

Ticari elektronik ileti gönderilmesi amacıyla kişisel verilerin işlenmesine açık rıza verilmesinin istenmesi, işlemin tamamlanabilmesi için zorunlu kılınmayacak. Buna ilişkin açık rıza, ürün ve hizmet sunumunun tamamlanmasından sonra talep edilecek. Veri sorumlusu tarafından yapılacak bilgilendirmelerde, işlemin tamamlanması için onay verilmesinin zorunlu olmadığı belirtilecek.

Alınan ilke kararlarına uygun hareket etmeyen veri sorumluları hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18. maddesinde yer alan cezai işlemler uygulanacak.