Ödeme yapma, kayıt açma, teklif oluşturma gibi ürün ve hizmet sunumlarına ilişkin süreçlerde, veri sorumlusu tarafından ilgili kişilerin iletişim bilgilerinin talep edildiği ve akabinde ilgili kişilere SMS ile doğrulama kodu gönderildiği ve hizmetin alınması, fatura oluşturulması, ya da bilgilerin güncellenmesi için gerekli olduğu gerekçesi ile ilgili kodun görevliye bildirilmesi istenildiği ancak söz konusu işlem sonrasında ilgili kişilere söz konusu veri sorumlusunun faaliyetleri ile ilgili ticari elektronik ileti gönderildiği iddialarını içeren muhtelif sayıda şikayet ve başvurunun Kişisel Verileri Koruma Kurumu’na (“Kurum”) yönlendirilmesi sebebiyle Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından söz konusu şikayet ve ihbarlar kapsamında inceleme ve değerlendirmeler yapılmıştır.

Sonuç olarak, Kurulca çeşitli zorunluluklar ve sebepler ileri sürülerek ilgili kişilerin açık rızasının alınması suretiyle yanıltıldığı tespit edilmiş ve bu konudaki İlke Kararı yayınlanmıştır.

Söz konusu İlke Kararı uyarınca ;

• “Gönderilen SMS kodunun amacının ne olduğu, kodun verilmesi halinde kişisel veriler açısından ne gibi sonuçlar doğuracağı hususunda ilgili kişilere aydınlatma yapılması gerektiği,
• İlgili kişilere SMS ile doğrulama kodu gönderilerek üyelik sözleşmesinin onaylanması, kişisel verileri işleme izni alınması, ticari elektronik ileti onayı alınması vb. birbirinden farklı işleme faaliyetlerinin tek bir eylemle gerçekleştirilmesine yönelik uygulamalara son verilmesi gerektiği, açık rıza ile gerçekleştirilmesi gereken işleme faaliyetlerine yönelik seçenek sunulmak suretiyle ilgili kişilerden ayrı ayrı açık rıza alınması gerektiği,
• Açık rıza alınması ve aydınlatma yükümlülüğünün yerine getirilmesi işlemlerinin ayrı ayrı yerine getirilmesi gerektiği,
• Ticari elektronik ileti gönderimi için açık rıza alınmasını teminen SMS doğrulama kodu gönderilmesine yönelik bir uygulamaya gidilmesi halinde ise söz konusu işlemde alınacak açık rızanın Kanun’da belirtilen tüm unsurları kapsaması gerektiği,
• Ticari elektronik ileti gönderilmesi amacıyla kişisel verilerin işlenmesine açık rıza verilmesinin ürün ve hizmet sunumunun tamamlanabilmesi için zorunlu bir unsur şeklinde ilgili kişilere sunulmaması gerektiği, kodun verilmemesi halinde de her zaman ürün ve hizmet sunulabileceği, kod ile verilen izinlerin ve tercihlerin istendiği zaman değiştirilebileceği bilgisine net bir şekilde yer verilmesi ve bunu sağlamak adına veri sorumluları tarafından gerekli teknik ve idari tedbirlerin alınması gerektiği”

belirtmiş ve bu yükümlülüklere uygun hareket edilmediğinin tespiti halinde ilgili veri sorumluları hakkında Kişisel Verilerin Korunması Kanunu’nun 18’inci maddesi hükümleri çerçevesinde işlem tesis edileceği ifade edilmiştir.