Türkiye'de e-ticaret ve dijital pazarlama hızla büyüyor, ancak pek çok işletme hâlâ email kampanyaları gönderirken KVKK (Kişisel Verilerin Korunması Kanunu) №6698 ve İYS (İleti Yönetim Sistemi) gerekliliklerini göz ardı ediyor. Sonuç? Spama düşen mektuplar, ceza, hukuki sorumluluk ve müşteri güveninin kaybı.
Doğru yoldan gitmek sandığınızdan daha basit. Bu makalede, KVKK gereğince açık rızayı nasıl alacağınız, İYS'ye nasıl kaydedeceğiniz ve email pazarlamada hukuki açıdan temiz bir el tutacağınız adımları inceleyeceğiz.
KVKK Nedir? Açık Rıza Neden Zorunlu?
KVKK №6698, Türkiye'nin kişisel verileri koruma yasasıdır. Avrupa Birliği'nin GDPR'sine benzer şekilde, bu yasa kişisel verilerin (ad, email, telefon vb.) işlenmesini sıkı kurallarla denetler. Email pazarlaması bağlamında iki ana gereklilik öne çıkar:
- Açık Rıza (Açık Rıza): İşletme, alıcının verilerine erişmeden veya iletişim kurmadan evvel, alıcıdan yazılı ve net bir onay almalıdır. Sessiz kabuller, varsayılan işaretli kutular veya dolaylı rızalar hukuki geçerliliğe sahip değildir.
- Amaç Belirtme: Rıza formu, veriler neyle amaçla toplanacağını açık seçik söylemelidir — "aylık pazarlama e-postaları" veya "ürün güncellemeleri" gibi.
Türkiye'de ticari elektronik ileti (email, SMS) gönderimi bu yasaya tabi olup, ihlali ağır idari para cezalarıyla sonuçlanabilir. Ayrıca, alıcıların mailbox sağlayıcıları (Gmail, Outlook vb.) de açık rızayı olmayan mektuplara karşı daha katı davranır ve bunları spam filtresine yönlendirir.
Açık Rıza Nasıl Alınır? Adım Adım Metodoloji
Yasal açıdan geçerli bir açık rıza almak için şu temel ilkelere uymalısınız:
- Açık ve Net Bir Formda İstem: Rıza formu, mürekkepli imza benzeri açık olmalıdır. Örneğin: "Pazarlama e-postalarını almak için kabulü onaylıyorum" cümlesiyle beraber bir checkbox veya onay düğmesi. Pre-checked kutular hukuki bir değer taşımaz — kullanıcı aktif olarak onaylamalıdır.
- Amaçların Listesi: Hangi türde mektuplar göndereceğinizi belirtin. "Haftalık newsletter, ürün indirim duyuruları, yeni koleksiyon haberleri" vb. Belirsiz tanımlamalar KVKK'ya uymaz.
- Kişisel Verilerin Veri Sorumlusu Bilgisi: Formda şirketinizin adı, irtibat adresi ve verileri kimin işleyeceği belirtilmelidir.
- Rıza Iptali Hakkının Açıklanması: Alıcıya "istediğiniz zaman rızanızı iptal edebilirsiniz" bilgisini vermek zorunludur. Hukuki bir yükümlülüktür — tamamen isteğe bağlı değildir.
- Kanıt Tutma: Rıza aldığınızda, tarih, saati ve rıza metnini saklamalısınız. Denetim durumunda bu kanıtı ibraz etmeniz gerekebilir.
İYS Sistemi ve Açık Rızanın İlişkisi
KVKK'nın yanında, Türkiye'nin özgü bir zorunluluğu daha vardır: İYS (İleti Yönetim Sistemi). Bu, Bileşik Devlet Telekomünikasyon Kurumu (BTK) tarafından yönetilen merkezi bir sistem olup, tüm ticari elektronik iletiler ve SMS'ler buraya kayıtlı olmalıdır.
İYS'nin işleyişi şöyledir:
- Rıza Kaydı: Alıcıdan açık rızasını aldığınızda, bunu İYS'ye kaydetmeniz gerekir. BTK'nın api.iys.org.tr veya ETKİ sistemi (Elektronik Teslimat Kontrol İstasyonu) üzerinden kayıt yapılır.
- Sırada Kontrol: Email gönderirken, İYS'de alıcının aktif rızası olup olmadığını kontrol etmelisiniz. Rıza iptal edilmiş bir adrese gönderilen mektup yasaya karşı gelmektir.
- Rıza İptali: Alıcı, İYS uygulaması veya web portalı aracılığıyla dilediğinde rızasını iptal edebilir. Sistem, işletmeyi güncelleyerek, o adrese artık mektup gönderilmemesini sağlar.
Kısacası: KVKK açık rızayı tanımlar, İYS onu yönetir ve denetler. İkisini birlikte uygulamak zorunludur.
Açık Rıza Alımında Yaygın Hatalar
İşletmelerin sıkça yaptığı hataları tanıyarak, onlardan kaçınabilirsiniz:
- Pre-checked Checkbox: Rıza formu açıldığında, kutunun önceden işaretli gelmesi geçersizdir. Kullanıcı her seferinde aktif olarak onaylamalıdır.
- Gizli Rıza: Ödeme veya kayıt sırasında, kullanıcının dikkat etmeyeceği ufak yazılar veya alanlara rıza gizlemek hukuki geçerliliğe sahip değildir.
- Genel İfade Kullanma: "Bize iletişim kurmaya izin veriyorum" yerine "aylık pazarlama e-postaları" gibi spesifik amaç belirtmemek KVKK'ya uymaz.
- İYS'ye Kaydetmeme: Rızayı aldı, fakat İYS'ye kaydetmediyseniz, yasal anlamda eksik kalmıştır.
- İptal Hakkını Gizleme: Unsubscribe bağlantısını mektuptan gizlemek, cezaya neden olur. Her mektubun sonunda "rızanızı iptal etmek için buraya tıklayın" linki zorunludur.
Pratik İpuçları: Email Pazarlamacılar İçin
KVKK ve İYS'ye uyum sağlamak, işinize zarar vermez — aksine fayda sağlar:
- Temiz Liste = Daha İyi Sonuçlar: Sadece açık rızası olanlar alıcı listenizde kalır. Bu listedeki mektupların spam filtresine düşme oranı çok daha düşüktür, açılım oranı daha yüksektir.
- Double Opt-in Kullanın: Alıcıya "Lütfen email'ınızı onaylamak için linke tıklayın" şeklinde bir doğrulama e-postası gönderin. Böylece rıza ve gerçek email adresi bir anda doğrulanır.
- Rıza Takvimi Tutun: Rıza aldığınız tarih, IP adresi, kullanılan form ve metni saklamalısınız. Kamu denetiminde ihtiyaç duyulabilir.
- Email Yapısında Unsubscribe Linki: Mektubun üst veya altında "rızanızı iptal edin" veya "işlem dışı bırakılmak için buraya tıklayın" cümlesiyle işlevsel bir link bulundurmalısınız.
- Segmentasyon Yapın: Farklı rıza türlerine göre alıcıları ayırın. Pazarlama e-postaları isteyen ve sadece transaksiyonel mektup isteyen kişiler farklı listede olmalıdır.
Ayrıca, kampanyalarınızın inbox'a ulaşıp ulaşmadığını test etmek için ücretsiz inbox placement testini kullanabilirsiniz. Test sırasında, SPF, DKIM ve DMARC kayıtlarınızın doğru ayarlanmış olduğunu kontrol edin — bu kayıtlar email kimliğinizi doğrular ve spam filtresine karşı koyar.
SPF, DKIM ve DMARC: Açık Rızanın Teknik Ayağı
Açık rıza almak hukuki temeli oluştururken, SPF (Sender Policy Framework) ve DKIM (DomainKeys Identified Mail) gibi teknik protokoller email'inizin gerçekliğini kütüphanelere kanıtlar. DMARC (Domain-based Message Authentication, Reporting and Conformance) ise, bu protokolleri koordine eder.
Gmail, Outlook, Yandex Mail ve Türkiye'deki diğer büyük mailbox sağlayıcıları, yıllık 5.000'den fazla mektup gönderenlerden SPF+DKIM zorunlu olarak istiyorlar. DMARC'ı en azından p=none (izleme modu) olarak ayarlamanız önerilir.
Kısacası: Açık rıza alan, İYS'ye kayıt eden, ama SPF/DKIM'siz gönderen bir mektup, spam filtresinin ağından kaçmayabilir. Teknik ayağı da tamamlaymalısınız.