"WhatsApp'tan toplu mesaj atmak yasal mı?" sorusunun kısa cevabı şu: toplu mesaj göndermek yasak değil, izinsiz göndermek yasal değil. Türkiye'de bu işin iki ayrı ayağı var — kişisel veri tarafı (6698 sayılı KVKK) ve ticari ileti tarafı (6563 sayılı E-Ticaret Kanunu + İYS). Çoğu işletme birinden onay aldığını sanıp diğerini tamamen atlıyor ve şikâyet geldiğinde elinde ispat edecek hiçbir kayıt bulamıyor. Bu yazıda mevzuatın senden tam olarak ne istediğini, hangi mesajın "ticari ileti" sayıldığını, İYS'ye neyi kaydetmen gerektiğini ve rehber toplarken nerede duracağını sırayla anlatıyorum.
Kısa cevap: Yasak olan gönderim değil, izinsiz gönderim
Türkiye'de hiçbir kanun "WhatsApp'tan aynı anda 200 kişiye mesaj atamazsın" demiyor. Kanunların ilgilendiği şey başka: o 200 numarayı nereden aldın, o kişiler sana ne için izin verdi, gönderdiğin mesaj ticari bir mesaj mı, ve kişi "beni listenden çıkar" dediğinde ne kadar sürede çıkarıyorsun?
Bu dört sorunun cevabı temizse toplu gönderim tamamen meşrudur. Cevaplardan biri bile bulanıksa — mesela numaraları bir WhatsApp grubundan topladıysan, ya da "müşterim zaten, tanıyor beni" diye rıza almadıysan — teknik olarak mesaj gidiyor ama hukuki olarak açıkta kalıyorsun.
Türkiye'de konuyu düzenleyen iki kanun
Yurt dışı kaynaklı yazıların çoğu WhatsApp'ın kendi kullanım şartlarını anlatır ve orada biter. Türkiye'de asıl risk WhatsApp'ın hesabını kapatması değil — o zaten olur, telafisi de vardır. Asıl risk idari yaptırım tarafında ve orada iki ayrı mevzuat aynı anda çalışıyor.
6698 sayılı KVKK: Numara zaten kişisel veridir
Bir cep telefonu numarası, belirli veya belirlenebilir bir gerçek kişiye ait olduğu için kişisel veridir. Yani sen o numarayı bir Excel'e yazdığın, CRM'e attığın, tarayıcı aracına yüklediğin anda "veri işleme" faaliyeti yapmış oluyorsun. KVKK'nın ilgilendiği kısım burası — mesajı göndermeden önceki kısım.
Kanun, kişisel verinin işlenmesi için ya açık rıza ya da kanunda sayılan işleme şartlarından birinin bulunmasını arar (KVKK md. 5). Pazarlama amaçlı gönderimlerde Kurul'un yaklaşımı genel olarak açık rıza yönünde; "meşru menfaatim var" savunması doğrudan pazarlamada rahat kabul görmüyor. Buna ek olarak veri sorumlusunun aydınlatma yükümlülüğü var (md. 10): kişiye kim olduğunu, verisini hangi amaçla işlediğini, kime aktarabileceğini ve haklarını önceden anlatman gerekir. Aydınlatma ile rıza ayrı şeylerdir; biri diğerinin yerine geçmez.
Bir de veri güvenliği yükümlülüğü var (md. 12). Binlerce numaralık müşteri listesini masaüstünde korumasız bir Excel'de tutmak, WhatsApp'a bağlanan rastgele bir eklentiye tüm rehberini okutmak veya listeyi WhatsApp grubunda paylaşmak bu maddeyi doğrudan ilgilendirir. Kullandığın WhatsApp toplu mesaj gönderme aracının listeyi nerede sakladığı da aynı yükümlülüğün kapsamına giriyor.
6563 sayılı Kanun ve Ticari İletişim Yönetmeliği: Mesajın kendisi
Elektronik Ticaretin Düzenlenmesi Hakkında Kanun (6563) ve ona bağlı Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik ise gönderimin kendisini düzenler. Buradaki temel kural net: ticari elektronik ileti, alıcıdan önceden onay alınmadan gönderilemez.
Yönetmelik, ticari elektronik iletiyi telefon, çağrı merkezi, faks, otomatik arama makinesi, e-posta, kısa mesaj gibi araçlarla yapılan gönderimler olarak tanımlar. "Gibi" kelimesi burada önemli — liste kapalı değil. WhatsApp adı geçmese de, pazarlama amaçlı bir WhatsApp mesajının bu kapsam dışında kaldığını varsaymak iyimser bir yorum olur. Uygulamada güvenli yaklaşım, WhatsApp üzerinden gönderdiğin pazarlama mesajını da ticari elektronik ileti gibi ele almaktır.
Kanunun bir de esnaf ve tacir istisnası var: alıcının tacir veya esnaf olması halinde önceden onay alınmaksızın ticari elektronik ileti gönderilebilmesine imkân tanınıyor. B2B çalışan işletmeler için bu ciddi bir kolaylık — ama iki tuzağı var. Birincisi, karşı tarafın gerçekten tacir/esnaf olduğunu ispatlaman gerekir; "muhtemelen işletmedir" yetmez. İkincisi, bu istisna 6563 tarafını rahatlatır, KVKK tarafını ortadan kaldırmaz — numarayı hukuka uygun bir kaynaktan elde etmiş olman ve aydınlatma yapman yine beklenir.
"Müşterim bana numarasını verdi, demek ki izin var" cümlesi en sık yapılan hata. Numarayı sipariş için vermek, kampanya mesajı almaya rıza göstermek değildir. Rıza belirli bir amaca ilişkin olmak zorunda.
Açık rıza tam olarak neye benziyor?
KVKK açık rızayı üç şarta bağlar: belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalı. Bu üç şart pratikte şu anlama geliyor:
- Belirli olacak: "Kişisel verilerimin işlenmesini kabul ediyorum" gibi battaniye bir cümle yeterli değil. "Cep telefonu numaramın kampanya ve tanıtım mesajı gönderilmesi amacıyla işlenmesine izin veriyorum" gibi amacı adıyla söyleyen bir metin gerekir.
- Bilgilendirmeye dayanacak: Rıza kutusunun yanında ya da öncesinde aydınlatma metnine erişim olmalı. Kişi neye izin verdiğini okumadan tıklamışsa rıza tartışmalı hale gelir.
- Özgür iradeyle verilecek: Rızayı hizmet şartına bağlayamazsın. "Kampanya mesajlarını kabul etmezsen üye olamazsın" kurgusu rızayı sakatlar. Ticari ileti onayı, hizmetin kendisinden ayrı ve işaretlenmemiş bir kutu olmalı; önceden işaretli gelen kutular geçerli onay üretmez.
- Geri alınabilir olacak: Kişi istediği an rızasını geri çekebilir. Sistemin bunu kaydedip gönderimi durdurabilecek şekilde kurulmuş olması gerekir.
- Kayıt altında olacak: Onayın tarihi, kaynağı (web formu, mağazada imzalı form, çağrı merkezi kaydı), hangi metne verildiği saklanmalı. Uyuşmazlıkta ispat yükü hizmet sağlayıcıdadır.
Fiziksel mağazada toplanan onaylar için ıslak imzalı form, web formu için IP ve zaman damgası, telefonda alınan onay için ses kaydı en yaygın ispat yöntemleri. Onay ve gönderim kayıtlarının mevzuatta belirlenen süre boyunca saklanması zorunlu; bu süreyi yürürlükteki yönetmelik metninden veya danışmanından teyit et — süreler zaman içinde değişebiliyor.
İYS (İleti Yönetim Sistemi): Türkiye'ye özgü asıl aşama
Türkiye'yi diğer ülkelerden ayıran kısım burası. Ticari elektronik ileti onaylarının merkezî bir sistemde tutulması için İleti Yönetim Sistemi (İYS) kuruldu. Mantığı şu: onayı sen alıyorsun, ama onayın kaydı senin veritabanında değil, ortak bir sistemde duruyor. Böylece vatandaş tek bir yerden hangi markaya izin verdiğini görebiliyor ve tek tıkla hepsinden çıkabiliyor.
İYS pratikte nasıl işliyor?
Ticari elektronik ileti gönderen hizmet sağlayıcının yapması gereken üç şey var:
- Kayıt olmak: İYS'ye hizmet sağlayıcı olarak kaydolup marka tanımlarını yapmak.
- Onayları yüklemek: Elindeki mevcut ve yeni aldığın onayları İYS'ye işlemek. Sisteme kaydedilmeyen onaylar, ileride "onay yoktu" iddiası karşısında seni koruyamaz.
- Gönderim öncesi kontrol etmek: Her kampanya öncesi İYS üzerinden ret durumunu sorgulamak. Kişi İYS'den çıkmışsa, senin listende hâlâ görünüyor olması onu gönderilebilir yapmaz.
Alıcı tarafında ise vatandaş İYS'ye e-Devlet veya İYS'nin kendi kanallarıyla girip hangi markadan hangi kanalda (arama / mesaj / e-posta) ileti aldığını görebiliyor ve toplu ret verebiliyor. Bu, geleneksel "listeden çıkar" e-postasından çok daha görünür bir mekanizma — ve çıkışlar merkezî olduğu için markanın haberi olmadan gerçekleşebiliyor. Gönderim öncesi sorgulamayı atlarsan ret vermiş kişilere mesaj atmış olursun.
WhatsApp İYS'de hangi kanala giriyor?
Dürüst cevap: bu net değil ve konunun en tartışmalı yeri burası. İYS'nin tanımlı kanalları arama, mesaj ve e-posta üzerine kurulu; WhatsApp ayrı bir kanal başlığı olarak konumlanmış değil. Bazı yorumlar WhatsApp'ı "mesaj" kanalı kapsamında değerlendiriyor, bazıları uygulama içi mesajlaşmanın ayrı bir rejime tabi olduğunu savunuyor.
Pratik sonuç şu: belirsizlik senin lehine çalışmıyor. Kurumsal bir gönderim yapıyorsan, WhatsApp mesajlarını da onay ve ret yönetimi açısından ticari elektronik ileti gibi ele almak; onayı İYS'ye işlemek ve İYS'de ret veren kişiyi WhatsApp listenden de çıkarmak en savunulabilir yaklaşım. Bu konuda kesin bir tavır belirlemeden önce mutlaka uyum danışmanına sor — düzenleme ve içtihat tarafı hareketli.
Ticari ileti mi, işlemsel mesaj mı? Ayrımı doğru yap
Herkesin kaçırdığı nokta: her toplu mesaj ticari ileti değildir. Yönetmelik, devam eden bir ilişkiye dayanan bilgilendirme mesajlarını onay şartından ayrı tutar. Sipariş durumu, teslimat bilgisi, tahsilat ve borç hatırlatması, üyelik/abonelik durumuna ilişkin bildirimler, bilgi güncelleme talepleri ve mevzuat gereği yapılması zorunlu bildirimler bu gruba girer.
Yani müşteriye "kargon yola çıktı, takip no: XXX" yazman için ayrı bir pazarlama onayı gerekmez. Randevu hatırlatması, servis teslim bilgisi, fatura kesildi bildirimi de aynı mantıkta.
Ama şu an ticari iletiye dönüşür
İşlemsel mesajın içine tanıtım sıkıştırdığın anda mesaj karakter değiştirir. Örnek:
- İşlemsel: "Siparişiniz kargoya verildi. Takip: 1234567890"
- Ticari ileti: "Siparişiniz kargoya verildi. Takip: 1234567890 — Bu hafta tüm ürünlerde %30 indirim, kaçırma!"
İkincisi artık pazarlama içeriyor ve onay gerektirir. Aynı şekilde "randevunuz yarın saat 14:00" masum bir hatırlatmadır; "randevunuz yarın 14:00, yanınızda gelen arkadaşınıza da %20 indirim" ise değildir. Bayram ve özel gün mesajları da sık tartışılan bir alan: sadece kutlama içeren bir mesajla, kutlama kılıfına sarılmış kampanya duyurusu farklı değerlendirilir. Ramazan, yılbaşı ve okula dönüş dönemlerinde gönderim hacmi arttığı için şikâyet oranı da o dönemlerde yükseliyor.
Şablonlarını ikiye ayır: "işlemsel" ve "pazarlama". Aynı şablonda ikisini karıştırma. Bu tek düzenleme hem uyum riskini hem de şikâyet oranını gözle görülür biçimde düşürür.
Ret hakkı (opt-out) nasıl doğru kurulur?
Mevzuat, ticari elektronik iletide alıcının reddetme imkânını her iletide ve ücretsiz olarak sunmanı ister. Kişi ret bildiriminde bulunduktan sonra gönderimin kısa bir süre içinde — yönetmelikte üç iş günü olarak bilinen süre içinde — durdurulması gerekir. Süreyi yürürlükteki metinden doğrula, ama pratikte hedefin "anında" olmalı; üç gün üst sınırdır, hedef değil.
SMS'te bu iş kolaydır: "Çıkmak için B'yi 1234'e gönderin" satırı eklersin. WhatsApp'ta böyle standart bir altyapı yok, dolayısıyla mekanizmayı kendin kurmak zorundasın:
- Mesaja net bir çıkış cümlesi koy: "Bu mesajları almak istemiyorsanız ÇIKIŞ yazmanız yeterli." Kısa, tek kelimelik ve anlaşılır olsun.
- Gelen kutusunu gerçekten oku: Toplu gönderimin en büyük ihmali burada. Cevapları okumuyorsan ret talebini de görmüyorsun demektir.
- Ret listesini merkezî tut: Çıkan kişiyi sadece o kampanyadan değil tüm listelerden çıkar. Farklı Excel'lerde aynı numaranın kalması en sık şikâyet sebebi.
- İYS ile senkron çalış: İYS'de ret vermiş kişiyi kendi listenden de düş; kendi kanalından çıkan kişiyi İYS'ye işle.
- Ret kaydını sakla: Talebin geldiği tarih ve gönderimin durdurulduğu tarih kayıt altında olsun. Şikâyet halinde bu kayıt seni korur.
WhatsApp'ta ret yönetiminin sessiz bir avantajı da var: kişi seni engellemek yerine "çıkış" yazabiliyorsa, hesabının şikâyet skoru korunur. Yani opt-out mekanizması sadece hukuki bir zorunluluk değil, numaranın ömrünü uzatan teknik bir önlem.
Rehber toplama ve veri saklama sınırları
Uyum tartışmalarının en can alıcı kısmı gönderimden önce başlıyor: liste nereden geldi?
Yapılmaması gereken üç şey
1. WhatsApp gruplarından numara toplamak. Türkiye'de çok yaygın bir alışkanlık: mahalle grubu, sektör grubu, site sakinleri grubu... İnsanlar oraya numarasını pazarlama için bırakmadı. Grup üyeliği rıza değildir; grup üyelerinin numaralarını toplayıp pazarlama listesine eklemek KVKK açısından savunması zor bir işlemdir.
2. "Alenileştirme" istisnasını yanlış anlamak. KVKK'da, kişinin kendisi tarafından alenileştirilmiş verilerin işlenebileceğine dair bir şart var (md. 5/2). Ancak bu, "internette bulunan her numara serbesttir" anlamına gelmiyor. Kurul yaklaşımı, verinin alenileştirme amacına uygun kullanılmasını arıyor. Bir esnaf, müşterisi kendisine ulaşsın diye numarasını sitesine koymuştur — bu, üçüncü bir firmanın onu pazarlama listesine eklemesine izin veren bir alenileştirme değildir.
3. Hazır liste satın almak. Bu, hem KVKK hem 6563 açısından en riskli senaryo. Satıcı sana "onaylı liste" dese bile, o onayın hangi metne, hangi marka için verildiğini ispat edemezsin. Onay devredilebilir bir şey değildir; A firmasına verilen rıza B firmasını kapsamaz. Ayrıca listeyi aldığın anda hem sen hem satıcı hukuka aykırı bir aktarımın tarafı olursunuz.
Sağlıklı liste nasıl kurulur?
Meşru liste kaynakları sıkıcı ama korunaklıdır: satış sırasında imzalı/onaylı form, web sitesinde ayrı ve işaretlenmemiş onay kutusu, QR ile açılan kayıt formu, mağaza içi tablet kaydı, WhatsApp'ta müşterinin kendisinin başlattığı görüşmede alınan açık onay. Hepsinde ortak nokta: kaydın kaynağı belli ve tarihli.
Listeyi temiz tutmanın operasyonel tarafı da uyumun parçası. KVKK'nın "işlendikleri amaç için gerekli olan süre kadar muhafaza" ilkesi gereği, yıllardır tek mesajına dönmemiş, sipariş vermemiş kayıtları süresiz saklamak savunulabilir değil. Periyodik imha politikası kur, saklama sürelerini yazılı hale getir. Listeyi gönderim öncesi elemek istiyorsan WhatsApp'ta kayıtlı olmayan numaraları ayıklayan bir doğrulama aracı hem gönderim kalitesini yükseltir hem de gereksiz veriyi listeden düşürmeni kolaylaştırır. Aynı şekilde mevcut kayıtlarını dışa aktarıp gözden geçirmek, hangi kaydın nereden geldiğini denetlemenin en hızlı yolu.
Araç seçimi de bir veri güvenliği kararıdır
Toplu gönderim için kullandığın yazılım, müşteri listenin tamamına eriştiği için KVKK md. 12 kapsamında doğrudan senin sorumluluk alanına giriyor. Verinin nerede işlendiği (tarayıcında mı, uzak sunucuda mı), kimin eriştiği ve aracın hangi izinleri istediği, uyum dosyanın bir parçası. Tarayıcı içinde çalışan ve listeyi dışarı taşımayan çözümler bu açıdan yönetimi daha kolay bir yapı sunuyor; WhatsApp Web üzerinden toplu mesaj göndermeye yarayan bir Chrome eklentisi kullanacaksan, gönderim hızını ayarlayabilmesi kadar veriyi nerede tuttuğuna da bak. Aracın ne yaptığını bilmiyorsan, bir ihlal durumunda "eklenti yaptı" savunması işine yaramaz — veri sorumlusu sensin.
⚡ Uzman İpuçları
- Onay metnini gönderim listesiyle aynı yerde sakla; denetimde "hangi metne onay verildi" sorusuna 30 saniyede cevap verebilmelisin.
- Her kaydın yanına kaynak ve tarih sütunu ekle. Kaynağı boş olan satır, gönderim listesine girmesin.
- Pazarlama ve işlemsel mesaj şablonlarını ayrı klasörde tut; ekip yanlış şablonu kullanmasın.
- VERBİS kayıt yükümlülüğün olup olmadığını kontrol et — kriterler çalışan sayısı ve mali bilanço gibi eşiklere bağlı, danışmanına sor.
- Hizmet aldığın ajans veya yazılım sağlayıcıyla veri işleyen sözleşmesi yap; sorumluluk paylaşımı yazılı olmadan devredilmez.
- Yurt dışı sunucu kullanan bir hizmet alıyorsan yurt dışına aktarım rejimini ayrıca değerlendir; bu konudaki kurallar 2024'te değişti.
- Şikâyet geldiğinde savunmanı hazırlayacak dosyayı önceden kur: onay kaydı, aydınlatma metni, gönderim logu, ret kayıtları.
Uymazsan ne olur?
Yaptırım tarafında da iki ayrı kapı var. KVKK'ya aykırılıklar için Kişisel Verileri Koruma Kurulu idari para cezası uygulayabiliyor; aydınlatma yükümlülüğünün yerine getirilmemesi, veri güvenliğine ilişkin yükümlülüklerin ihlali ve Kurul kararlarının uygulanmaması ayrı ayrı yaptırıma bağlanmış durumda (6698 md. 18). 6563 tarafında ise onaysız ticari elektronik ileti gönderimi için Ticaret Bakanlığı yaptırım uygulayabiliyor.
Tutar vermiyorum, çünkü tutarlar sabit değil: idari para cezaları her yıl yeniden değerleme oranıyla güncelleniyor. Güncel rakamı kvkk.gov.tr ve ilgili resmî kaynaktan doğrula; internette dolaşan eski tabloları esas alma.
Parasal yaptırımın yanında iki pratik sonuç daha var. Birincisi, e-ticaret yapıyorsan tekrarlayan şikâyetler ödeme sağlayıcıları ve pazaryeri hesapların açısından da problem yaratabiliyor. İkincisi ve daha hızlı olanı: WhatsApp'ın kendi yaptırımı. Şikâyet oranı yükselen numara önce yavaşlatılır, sonra kapatılır — ve bu, mevzuattan tamamen bağımsız, çok daha kısa sürede gerçekleşir. Yani hukuki uyum aynı zamanda numaranı koruyan pratik bir tedbir.
Gönderim öncesi uyum kontrol listesi
Kampanyayı başlatmadan önce bu listeyi tek tek geç. Hepsine "evet" diyemiyorsan gönderimi ertele.
- Kaynak temiz mi: Listedeki her numaranın nereden geldiğini gösterebiliyor musun?
- Onay var mı: Pazarlama amaçlı, ayrı ve işaretlenmemiş bir onaya dayanıyor mu?
- Aydınlatma yapıldı mı: Kişi verisinin nasıl işlendiğini önceden öğrenebildi mi?
- İYS durumu: Onaylar sisteme işlendi mi, ret listesi gönderim öncesi sorgulandı mı?
- Mesaj tipi doğru mu: İşlemsel mesajın içine kampanya karışmış mı?
- Kimlik bilgisi var mı: Alıcı mesajın hangi işletmeden geldiğini anlayabiliyor mu?
- Çıkış yolu açık mı: Ret talimatı mesajda yazıyor ve gerçekten işliyor mu?
- Kayıt tutuluyor mu: Onay, gönderim ve ret kayıtları saklanıyor mu?
- Araç güvenli mi: Kullandığın yazılım listeyi nereye taşıyor, kim erişiyor?
- Danışman onayı: Süreci bir hukukçu veya uyum danışmanı gözden geçirdi mi?
Sıkça Sorulan Sorular
WhatsApp'tan toplu mesaj atmak Türkiye'de yasak mı?
Toplu mesaj göndermenin kendisi yasak değil. Yasal sorun, izinsiz gönderimde ve kişisel verinin hukuka aykırı elde edilmesinde ortaya çıkıyor. Açık rızaya dayanan, aydınlatması yapılmış, ret hakkı işleyen ve kayıtları tutulan bir gönderim meşrudur. Rızası olmayan numaralara pazarlama mesajı göndermek ise hem KVKK hem 6563 sayılı Kanun açısından risklidir. Kendi senaryonu bir hukukçuya değerlendirtmeden kesin sonuç çıkarma.
Müşterim numarasını bana kendi verdiyse mesaj atabilir miyim?
Numaranın sana verilmiş olması, her tür mesajı gönderebileceğin anlamına gelmez. Sipariş, teslimat, randevu, tahsilat gibi o ilişkinin doğal parçası olan bilgilendirme mesajları için ayrı bir pazarlama onayı aranmaz. Ancak kampanya, indirim, yeni ürün duyurusu gibi tanıtım içerikleri ticari elektronik iletidir ve ayrıca onay gerektirir. Rıza belirli bir amaca ilişkindir; "iletişim için verilen numara" pazarlama rızası üretmez.
İYS kaydı yaptırmadan toplu mesaj gönderirsem ne olur?
İYS, ticari elektronik ileti onaylarının tutulduğu ve alıcıların ret haklarını kullandığı merkezî yapı. Onaylarını sisteme işlemediysen, bir şikâyet halinde geçerli sayılabilecek onay kaydı sunmakta zorlanırsın. Ayrıca gönderim öncesi ret sorgusu yapmadığın için, sistemden çıkmış kişilere mesaj atmış olursun — bu da başlı başına ayrı bir aykırılık oluşturur. İYS yükümlülüğünün senin faaliyetini nasıl kapsadığını danışmanınla netleştir.
WhatsApp mesajı da "ticari elektronik ileti" sayılıyor mu?
Bu konu net biçimde çözülmüş değil. Yönetmelik ticari elektronik iletiyi telefon, faks, e-posta, kısa mesaj "gibi" araçlarla yapılan gönderimler olarak tanımlıyor ve liste kapalı değil. Bu nedenle pazarlama amaçlı WhatsApp mesajlarının kapsam dışında kaldığını varsaymak iyimser bir yorum olur. Savunulabilir yaklaşım, WhatsApp gönderimlerini de onay, kimlik bilgisi ve ret hakkı açısından ticari elektronik ileti standardında yönetmek.
WhatsApp grubundan aldığım numaralara mesaj atabilir miyim?
Grup üyeliği pazarlama rızası değildir. İnsanlar o gruba iletişim veya bilgi amacıyla katıldı; numaralarını bir işletmenin kampanya listesine girmek için paylaşmadılar. Grup üyelerinin numaralarını toplayıp ticari mesaj göndermek KVKK açısından savunması zor bir işleme faaliyetidir ve şikâyet oranı da çok yüksektir. Aynı mantık site sakinleri, okul velileri ve sektör grupları için de geçerli.
Satın aldığım "onaylı" numara listesi beni korur mu?
Hayır. Onay, marka bazlı ve amaca bağlıdır; devredilebilir bir varlık değildir. Başka bir firmaya verilmiş rıza sana geçmez. Satıcının "onaylı" ifadesi, denetimde senden istenecek olan "hangi metne, ne zaman, hangi marka için onay verildi" sorusunu karşılamaz. Bu tür listeler hem hukuki risk hem de yüksek şikâyet oranı üretir; numaranın kapanma ihtimalini de ciddi biçimde artırır.
B2B çalışıyorum, esnaf ve tacirlere onaysız mesaj atabilir miyim?
Kanun, alıcının tacir veya esnaf olması halinde önceden onay alınmaksızın ticari elektronik ileti gönderilebilmesine imkân tanıyor. Ancak bu istisna iki şeyi ortadan kaldırmıyor: karşı tarafın gerçekten tacir/esnaf olduğunu ispatlama gereğini ve KVKK kaynaklı yükümlülüklerini. Ayrıca ret hakkı burada da işlemeli — istisna, "çıkmak istiyorum" diyen kişiye göndermeye devam etme hakkı vermez. İstisnanın senin müşteri profiline uygulanıp uygulanmadığını mutlaka hukukçuna sor.
Özet
"WhatsApp toplu mesaj yasal mı?" sorusunun cevabı aracın kendisinde değil, sürecinde saklı. Numarayı hukuka uygun bir kaynaktan aldıysan, pazarlama için ayrı ve belgelenebilir bir açık rızan varsa, aydınlatmanı yaptıysan, onaylarını İYS tarafında yönetiyorsan, ret talebini hızla işliyorsan ve tüm bunların kaydını tutuyorsan — yaptığın iş meşru bir pazarlama faaliyetidir.
Bu zincirin bir halkası eksikse, gönderim teknik olarak çalışsa bile hukuki olarak açıktasın. En kırılgan halka genellikle iki yerde: listenin kaynağı ve ret yönetimi. Bu ikisini düzelten işletmeler hem uyum riskini hem de WhatsApp'ın kendi yaptırımlarını aynı anda düşürüyor.
