WhatsApp'tan Toplu Mesaj Göndermek Yasal mı?

Kısa cevap: evet, izinliyse yasaldır. Alıcının açık rızasını almışsanız ve her mesajda kolay bir çıkış (iptal) yolu sunuyorsanız WhatsApp'tan toplu bildirim göndermek Türkiye'de meşrudur. Sorun, "toplu mesaj" değil izinsiz toplu mesajdır. Bu yazıda KVKK, 6563 sayılı kanun ve İYS çerçevesinde çizgiyi nereye çekmeniz gerektiğini, hizmet ile pazarlama farkını ve sorumluluğun neden tamamen sizde olduğunu anlatıyoruz. Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.

1. Kısa cevap: izin + iptal = yasal

Bir mesajın "yasal" olup olmadığını belirleyen şey kaç kişiye gittiği değil, o kişilerin sizden mesaj almayı kabul edip etmediğidir. İki şart bir araya geldiğinde izinli toplu mesaj güvenli tarafta durur:

• Açık rıza: Alıcı, kendisine bu kanaldan bildirim/pazarlama mesajı gönderilmesini önceden ve özgür iradesiyle kabul etmiş olmalı.
• Kolay iptal (opt-out): Her mesajda "İPTAL yazın" gibi ücretsiz ve zahmetsiz bir çıkış yolu bulunmalı; talep gelince gönderim derhal durmalı.

2. Türkiye'deki yasal çerçeve: KVKK, 6563 ve İYS

WhatsApp toplu mesaj üç ayrı düzenlemeyle kesişir. Hepsi aynı çekirdeğe, yani "önce izin al" ilkesine dayanır.

2.1 KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu)

Bir telefon numarası kişisel veridir. Numarayı bir listede tutmak, işlemek ve mesaj göndermek bir "veri işleme" faaliyetidir ve kural olarak açık rıza ya da başka bir hukuki sebep gerektirir. Rızayı nasıl toplayacağınız ve saklamanız gerektiği konusunda pratik adımlar için KVKK'ya uygun toplu mesaj rehberine bakın.

2.2 6563 sayılı Kanun (Ticari Elektronik İleti)

Reklam, kampanya, tanıtım içeren mesajlar ticari elektronik ileti sayılır. Bu tür iletiler için alıcıdan önceden onay alınması ve iletide gönderici kimliğinin ile iptal hakkının açıkça belirtilmesi zorunludur.

2.3 İYS (İleti Yönetim Sistemi)

6563 kapsamındaki ticari iletilerde, ticari işletmelerin aldığı onayları İYS'ye kaydetmesi ve gönderim öncesi alıcının hâlâ onaylı olup olmadığını buradan kontrol etmesi beklenir. İYS'de "ret" işaretlemiş bir numaraya ticari mesaj göndermek ihlaldir.

3. Kritik ayrım: hizmet bildirimi mi, pazarlama mı?

Her WhatsApp mesajı ticari elektronik ileti değildir. Yasal risk büyük ölçüde mesajın amacına göre değişir:

Örneğin bir müşterinin verdiği siparişin kargo takip numarasını göndermek, o kişinin kendisiyle başlattığı işlemin parçasıdır ve tipik olarak ticari ileti istisnasına girer. Ama aynı listeye "bu hafta %20 indirim" yazarsanız, artık pazarlama yapıyorsunuz ve onay şartı devreye girer. Bu ayrımın senaryolara dökülmüş hali için e-ticaret sipariş ve kargo bildirimleri ile randevu hatırlatma yazılarına bakabilirsiniz.

4. İptal hakkı (opt-out) neden pazarlık konusu değildir

İzin almış olmanız yetmez; alıcının fikrini değiştirdiğinde kolayca çıkabilmesi gerekir. Her pazarlama mesajının sonuna basit bir satır ekleyin: "Bu mesajları almak istemiyorsanız İPTAL yazın." İptal talebi geldiğinde ilgili numarayı listeden çıkarın ve bir daha ticari mesaj göndermeyin. Bu yalnızca yasal bir zorunluluk değil, aynı zamanda şikâyet sayısını düşürerek numaranızın sağlığını da korur.

5. WhatsApp banı ≠ yasa (ama ikisi de risk)

İki farklı riski karıştırmayın:

• WhatsApp banı: Meta'nın kendi kullanım şartlarını uygulamasıdır. Spam sinyali (çok hızlı, tekrarlı gönderim, yüksek engellenme/şikâyet) alırsa numaranızı kısıtlar veya kapatır. Bu bir mahkeme kararı değil, platform yaptırımıdır.
• Yasal risk: KVKK idari para cezaları ve 6563 yaptırımları devlet kaynaklıdır. İzinsiz pazarlama mesajı burada sorun yaratır.

İki risk teknik olarak ayrıdır ama aynı kök nedenden beslenir: izinsiz ve disiplinsiz gönderim. İzinli bir listeye insan hızında mesaj gönderdiğinizde her iki risk de birlikte düşer. Bu yüzden anlattığımız QR tabanlı sistem, mesajlar arası 45–90 saniye rastgele bekleme, her 15 mesajda mola ve 05:00–23:00 penceresi gibi kuralları koda sabitler. Bu tempo ban riskini azaltmanın yanı sıra, listenizi bilinçli tutmaya da zorlar. Ban sinyalleri ve korunma yolları için ban yememek için kurallar yazısını okuyun.

6. AB'deki alıcılar: GDPR

Alıcılarınız arasında Avrupa Birliği'nde bulunanlar varsa GDPR devreye girer. Mantık KVKK'ya çok benzer: pazarlama iletisi için açık, özgür ve belgelenebilir bir rıza; kolay geri çekme hakkı; ve veriyi yalnızca topladığınız amaçla kullanmak. Verinin sizin sunucunuzda kalması bu noktada avantajdır: self-hosted bir sistemde rehberiniz üçüncü bir SaaS sağlayıcının bulutuna kopyalanmaz, veri işleyen zinciri kısalır ve kontrol sizde kalır.

7. Yasal kalmak için 5 pratik kural

1. Önce izin al: Rıza olmayan numaraya pazarlama mesajı gönderme.
2. Amacı ayır: Hizmet bildirimi ile pazarlamayı karıştırma; pazarlama için onay + İYS kontrolü yap.
3. Her mesaja iptal koy: "İPTAL yazın" satırını ekle ve talebe anında uy.
4. Kaydı tut: Rızayı ne zaman, nasıl aldığını belgele; İYS'ye işle.
5. İnsan hızında gönder: Disiplinli tempo hem yasal hem platform riskini düşürür.

Dernek ve vakıflara özel bir uygulama için dernek/vakıf bildirimleri yazısı, sürecin bütününü görmek için de Ana Rehber iyi bir başlangıçtır.

Sık sorulan sorular