KVKK'dan 'SMS'le doğrulama kodu' kararı

---

Bir işlem yaparken cep telefonumuza onay kodu geliyor ve onu girerek işlemi tamamlıyoruz.

Biz sadece işleme onay verdiğimizi zannederken aslında işlemlerin tümüne izin veriyoruz.

Bu işlemden sonra işlemini onayladığımız kurum ya da şirket, bize tanıtım SMS'leri göndermeye devam ediyor.

Bu durumun tüketiciyi mağdur etmesinin önüne geçmek için Kişisel Verileri Koruma Kurumu (KVKK) devreye girdi.

KVKK'nın, ürün ve hizmet sunumunda doğrulama kodu gönderilerek kişisel verilerin işlenmesine ilişkin ilke kararı da Resmi Gazete'de yayımlandı.

ŞİKAYET GELDİ

Karara göre; ödeme yapma, üyelik oluşturma veya kayıt açma gibi işlemler sırasında iletişim bilgileri talep edilerek, vatandaşların cep telefonlarına SMS ile doğrulama kodu gönderilmesi uygulamasıyla ilgili KVKK'ya çok sayıda şikayet ve ihbar ulaştı.

TİCARİ ELEKTRONİK İLETİLER İÇİN KULLANILIYOR

Şikayetlerde, doğrulama kodunun "ödeme işleminin tamamlanması", "fatura oluşturulması" ya da "iletişim bilgilerinin güncellenmesi" gibi nedenlerle istendiği, ancak sonrasında bu verilerin kullanılarak ticari elektronik iletiler gönderildiği belirtildi.

VATANDAŞ YANILTILIYOR

Kurum tarafından yapılan incelemede, bazı şirketlerin SMS doğrulamasını, ticari ileti onayı ve kişisel verilerin işlenmesine açık rıza almak için kullandığı ve bu şekilde vatandaşları yanıltarak izin aldığı tespit edildi.

KVKK İLKE KARARI ALDI

KVKK, alışveriş sırasında yaygın olarak yaşandığı anlaşılan bu durumla ilgili ilke kararı aldı.

Buna göre, ürün ve hizmet sunumlarına ilişkin ödeme yapma, kayıt açma, üyelik ve teklif oluşturma gibi süreçlerde ilgili kişilerin telefonuna gönderilecek SMS'in amacının ne olduğu ve SMS'le iletilen kodun verilmesi halinde ne gibi sonuçlar doğuracağı ilgili kişilere açık ve anlaşılır biçimde açıklanacak.

HER İŞLEME AYRI ONAY

"Üyelik onayı", "kişisel veri işleme izni" ve "ticari ileti onayı" gibi farklı işlemler, tek bir SMS üzerinden yapılamayacak.

Bu işlemler için ayrı ayrı açık rıza alınacak.

Ticari elektronik ileti gönderilmesi amacıyla kişisel verilerin işlenmesine açık rıza verilmesinin istenmesi, işlemin tamamlanabilmesi için zorunlu kılınmayacak.

AÇIK RIZA İŞLEMDEN SONRA İSTENECEK

Buna ilişkin açık rıza, ürün ve hizmet sunumunun tamamlanmasından sonra talep edilecek. Veri sorumlusu tarafından yapılacak bilgilendirmelerde, işlemin tamamlanması için onay verilmesinin zorunlu olmadığı belirtilecek.

İLKE KARARLARINA UYMAYANLARA CEZAİ İŞLEM

Alınan ilke kararlarına uygun hareket etmeyen veri sorumluları hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesinde yer alan cezai işlemler uygulanacak.