KVKK'ya Uygun WhatsApp Toplu Mesaj Gönderme

WhatsApp'tan toplu mesaj göndermek yasak değildir; yasak olan izinsiz göndermektir. Alıcının telefon numarası kişisel veridir ve onu işlemek KVKK'nın (6698 sayılı Kanun) kapsamına girer; pazarlama amaçlı ileti gönderiyorsanız 6563 sayılı Kanun ve İYS de devreye girer. Bu rehberde açık rıza, hizmet bildirimi istisnası, opt-out ve GDPR'ı sade bir dille açıklıyor; sonunda uygulamaya dökebileceğiniz pratik dört kural sunuyoruz.

1. Neden bir telefon numarası "kişisel veri"?

Bir kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan her bilgi kişisel veridir. Telefon numarası tek başına bir kişiye ulaşmayı sağladığı için bu tanımın tam merkezindedir. Dolayısıyla numaraları bir listeye ekleyip toplu mesaj göndermek, hukuken bir kişisel veri işleme faaliyetidir ve bir "işleme şartına" (hukuki dayanağa) ihtiyaç duyar.

KVKK, işleme için birden fazla dayanak sayar: açık rıza, bir sözleşmenin ifası, hukuki yükümlülük, meşru menfaat vb. Pratikte pazarlama iletileri için en güvenli ve en çok kullanılan dayanak açık rızadır. "Toplu mesaj yasal mı?" sorusunun daha geniş cevabı için WhatsApp toplu mesaj yasal mı yazısına bakabilirsiniz.

2. Açık rıza: nedir, ne değildir?

KVKK'da açık rızanın üç unsuru vardır ve üçü birden sağlanmalıdır:

• Belirli bir konuya ilişkin: "Her türlü işlem için" gibi muğlak, battaniye rızalar geçersizdir. Kişi tam olarak neye izin verdiğini bilmelidir (örn. "kampanya duyuruları").
• Bilgilendirmeye dayalı: Kişiye kim, hangi veriyi, hangi amaçla işleyecek ve hakları neler olduğu önceden açıklanmış olmalıdır (aydınlatma yükümlülüğü).
• Özgür iradeyle açıklanmış: Rıza, bir hizmetin ön koşulu yapılamaz. "Rıza vermezsen kaydını yapmam" dayatması özgür irade unsurunu ortadan kaldırır.

Önemli bir ayrım: birinin numarasını size vermiş olması, ona pazarlama mesajı atma izni verdiği anlamına gelmez. Kartvizit, sipariş formu ya da rezervasyon sırasında alınan numara, yalnızca o işlemin amacı için kullanılabilir. Pazarlama için ayrı ve açık bir onay gerekir.

3. Ticari elektronik ileti (6563) ve İYS

Pazarlama, tanıtım, kampanya veya kutlama içeren mesajlar 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun kapsamında ticari elektronik iletidir. Bu iletiler için alıcının önceden onayı gerekir ve bu onaylar ile ret talepleri İYS (İleti Yönetim Sistemi) üzerinde kayıt altına alınır.

İYS; SMS, e-posta ve telefon aramasının yanında elektronik iletişim kanallarını kapsayan resmi bir onay havuzudur. Ticari amaçlı toplu WhatsApp mesajı gönderen bir işletmeyseniz, iznin İYS'ye işlenmesi ve alıcı "ret" dediğinde bu tercihe her kanalda uyulması beklenir. Ret hakkı kullanıldığında gönderimin en geç üç iş günü içinde durdurulması gerekir.

4. Hizmet bildirimi istisnası: en çok karıştırılan konu

Kişinin kendisinin talep ettiği bir işlemin sonucu olan bildirimler ticari elektronik ileti sayılmaz. Sipariş onayı, kargo takibi, randevu hatırlatması, aidat/ödeme bildirimi, stok geldi uyarısı gibi mesajlar bu istisnaya girer. Bunlar için ayrı ticari izin aramanıza gerek yoktur; çünkü bunlar pazarlama değil, hizmetin ifasıdır.

Ancak sınır incedir: bir hizmet mesajının içine kampanya, indirim veya çapraz satış cümlesi eklerseniz mesaj bütünüyle ticari iletiye dönüşür ve istisnadan çıkar. Altın kural: bir mesaj = bir amaç. Sipariş bildirimi yalnızca siparişten, randevu hatırlatması yalnızca randevudan bahsetsin. Bu ayrımın senaryolara dökülmüş hali için e-ticaret sipariş ve kargo bildirimi ve randevu hatırlatma yazılarına bakın.

5. Opt-out (çıkış hakkı) her mesajda olmalı

Ret hakkı, KVKK ve 6563'ün ortak omurgasıdır. Her pazarlama mesajında alıcının kolayca ve ücretsiz çıkabileceği bir yol sunmalısınız. WhatsApp'ta bunun en pratik yolu, mesajın sonuna basit bir talimat eklemektir:

Gelen "İPTAL / DUR / ÇIKIŞ" yanıtlarını mutlaka işleyin: kişiyi listeden çıkarın, İYS ret kaydını güncelleyin ve bir daha o kişiye pazarlama mesajı göndermeyin. Bir liste ne kadar temiz ve gönüllüyse, hem hukuki risk hem de spam şikâyetiyle gelen WhatsApp ban riski o kadar düşer. Bu ilişkinin teknik tarafı için ban yememek için kurallar yazısına göz atın.

6. GDPR: AB'deki alıcılar için ek katman

Alıcılarınız arasında Avrupa Birliği'nde bulunan kişiler varsa GDPR de uygulanır. GDPR'ın mantığı KVKK'ya çok benzer: geçerli bir hukuki dayanak (çoğu pazarlama için "consent"), şeffaf aydınlatma, veri minimizasyonu, silme/erişim hakları ve kolay geri çekme. Pratikte KVKK'ya uygun, iyi belgelenmiş bir açık rıza akışı kurduysanız GDPR gereksinimlerinin büyük kısmını da karşılamış olursunuz; ancak yurt dışına veri aktarımı ve "veri koruma sorumlusu (DPO)" gibi başlıklar ek değerlendirme isteyebilir.

7. Self-hosted olmanın veri koruma avantajı

Bu blogda anlatılan sistem kendi sunucunuzda (self-hosted) çalışan, QR tabanlı açık kaynak bir yapıdır — resmi Business API değil, whatsapp-web.js kullanır. KVKK açısından buradaki en somut avantaj, rehberinizin ve mesaj geçmişinizin üçüncü bir SaaS sağlayıcısının bulutu yerine sizin kontrolünüzdeki sunucuda kalmasıdır:

• Daha az veri aktarımı: Kişisel veriler dışarıdaki bir panele akmaz; veri sorumlusu olarak zinciriniz kısalır.
• Saklama kontrolü: Verinin ne kadar tutulacağına, ne zaman sileneceğine siz karar verirsiniz.
• Hesap verebilirlik: Sunucu Türkiye'de veya seçtiğiniz yargı bölgesinde olabilir; yurt dışı aktarım tartışması azalır.

Bu avantaj sorumluluğu ortadan kaldırmaz; sunucu güvenliği, erişim yetkileri ve yedekleme artık sizin görevinizdir. Mimarinin ayrıntısı için self-hosted mesaj sistemi yazısına bakabilirsiniz. Dernek ve vakıflar için özel senaryoları ise dernek/vakıf bildirimleri yazısında ele aldık.

8. Pratik özet: KVKK uyumu için 4 kural

Doğru şablon dili bu kuralları uygulamayı kolaylaştırır. Kişiselleştirilmiş, tek amaçlı ve opt-out içeren örnekler için hazır mesaj şablonları yazısına ve tüm başlıkları toplayan ana rehbere göz atın.

Sık sorulan sorular