Tacir ve Esnafa Onaysız İleti Göndermek Gerçekten Serbest mi? B2B Soğuk Mesajlaşmanın Sınırları

Bir pazarlama şirketi, avukatlara yönelik bir yazılımı tanıtmak için kampanya kurdu. E-posta adreslerini arama motorlarından topladı, tanıtım metnini gönderdi. Şikâyet gelince savunması hazırdı: alıcılar tacir veya esnaf sayılır, bu gruba onay almadan ticari elektronik ileti gönderilebilir. Kişisel Verileri Koruma Kurulu bu savunmayı kabul etmedi. 1136 sayılı Avukatlık Kanunu'nun 11. maddesi avukatın tacir veya esnaf sıfatıyla hareket etmesini yasaklıyordu, dolayısıyla istisna hiç devreye girmiyordu. Kurul, e-posta adresinin mesleki iletişim için aleni hâle getirilmesinin pazarlama amaçlı kullanıma izin anlamına gelmediğini de ekledi ve 150.000 TL idari para cezası verdi.

Bu karar (01/09/2022 tarihli ve 2022/861 sayılı) Türkiye'de B2B soğuk erişimin en yaygın yanılgısını tek dosyada topluyor. Yanılgı şu: "Tacire ve esnafa izinsiz ileti gönderilebilir." Cümle doğru. Ama cümlenin taşıdığı sanılan sonuç, yani "iş e-postalarına istediğimizi gönderebiliriz", yanlış.

Türkçe içerikte bu konu neredeyse hiç doğru kurulmuyor. Hukuk büroları yönetmeliğin madde numarasını yazıyor, orada bırakıyor. Pazarlama blogları "B2B'de izin gerekmez" deyip satışa geçiyor. Aradaki mesafe hiç kapanmıyor: istisnanın kimi kapsadığı, kimi kapsamadığı, ret hakkının nasıl işlediği, İleti Yönetim Sistemi'nde tacir kaydının neden gerektiği ve Kişisel Verilerin Korunması Kanunu'nun bunun neresinde durduğu tek bir kaynakta anlatılmıyor.

Bu yazı o boşluğu doldurmak için yazıldı. Mevzuat metnini, Ticaret Bakanlığı'nın kendi açıklamalarını ve Kurul kararlarını temel alıyor. Sonunda kullanabileceğiniz ilk temas metinleri, bir risk matrisi ve gönderim öncesi kontrol listesi var. Bir uyarı da baştan: bu yazı hukuki danışmanlık değildir, somut olayınız için avukatınıza danışın.

İstisnanın tam metni: ne diyor, ne demiyor

Kaynak metin, 15 Temmuz 2015 tarihli ve 29417 sayılı Resmî Gazete'de yayımlanan Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik. Dayanağı 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun.

Yönetmeliğin 5. maddesi ana kuralı koyuyor: ticari elektronik ileti, alıcıya ancak önceden onayı alınmak kaydıyla gönderilebilir. 6. madde ise onay aranmayan halleri sayıyor. Üçüncü fıkra bizim konumuz:

Tacir veya esnaf olan alıcıların elektronik iletişim adreslerine gönderilen ticari elektronik iletiler için önceden onay alınması zorunlu değildir. Ancak tacir ve esnafların 9 uncu maddede yer alan reddetme hakkını kullanması halinde onayları alınmadan ticari elektronik ileti gönderilemez.

İstisna yalnızca yönetmelik düzeyinde değil. 6563 sayılı Kanun'un 6. maddesinin ikinci fıkrası da tek cümlelik bir hüküm taşıyor: "Esnaf ve tacirlere önceden onay alınmaksızın ticari elektronik iletiler gönderilebilir." Kanun metninde ret kaydı yok, o sınırı Yönetmelik ekliyor. Yani istisnanın kendisi kanundan, sınırları yönetmelikten geliyor.

Cümlenin ikinci yarısı birincisi kadar bağlayıcı

İstisnayı aktaran içeriklerin çoğu ilk cümlede duruyor. Oysa aynı fıkranın ikinci cümlesi istisnanın sınırını çiziyor. Onay almama serbestisi, ret gelene kadar geçerli bir serbesti. Ret geldiği anda tacir de esnaf da herkes gibi "onay olmadan gönderilemez" grubuna geçiyor.

Pratikte bunun anlamı şu: istisna size bir ilk temas hakkı veriyor, sürekli bir gönderim hakkı değil. Muhatabınız "bir daha göndermeyin" dediği anda o adres sizin için kapanıyor ve bir daha açılmasının tek yolu, usulüne uygun bir onay almanız.

İstisna neden var ve nereye kadar uzanıyor

İstisnanın nedeni olarak genellikle şu gösteriliyor: esnaf ve tacirlerin kendilerine gelen reklam amaçlı iletilerden haberdar olması ticari hayatın bir gereğidir. Yani mantık şu: bir kırtasiyeci toptancıların kampanyasından haberdar olmak ister, bir lokanta işletmecisi yeni bir gıda tedarikçisinin fiyat listesini görmek ister.

Bu okuma, istisnanın kapsamı için bir sınır da öneriyor. Hukuk yazınında, istisnanın yalnızca tacirin veya esnafın kendi iş alanına ilişkin bilgilendirme için kabul edildiği yorumu dile getiriliyor. Bir muhasebe bürosuna muhasebe yazılımı tanıtmak bu çerçeveye oturuyor. Aynı büroya tatil paketi, kişisel bakım ürünü veya kripto yatırım fırsatı göndermek oturmuyor. Burada dürüst olmak gerekiyor: bu sınır mevzuat metninde yazmıyor. Yönetmeliğin 6. maddesinin üçüncü fıkrası iletinin konusuna ilişkin hiçbir kayıt içermiyor ve yerleşik bir Kurul içtihadı da yok. Yorum niteliğinde bir görüş, kesin bir kural değil. Yine de savunma hazırlarken hangi tarafta durmak istediğiniz açık olmalı.

Ayrıca kapsanan haller

Aynı maddenin diğer fıkraları da onay aranmayan durumları sayıyor ve bunlar B2B'de sık karışıyor. Alıcı iletişim bilgisini kendisi vermişse, temin ettiği mal veya hizmete ilişkin değişiklik, kullanım ve bakım iletileri için ayrıca onay gerekmiyor. Devam eden abonelik, üyelik veya ortaklık durumu ile tahsilat, borç hatırlatma, bilgi güncelleme, satın alma ve teslimat bildirimleri de kapsamda. Fakat bu bildirimlerde herhangi bir mal veya hizmet özendirilemiyor, tanıtımı yapılamıyor. Yani "Faturanız hazır" mesajının altına "Bu arada yeni paketimize göz atın" eklediğiniz anda ileti bilgilendirme olmaktan çıkıp reklam oluyor ve onay rejimine giriyor.

Kim tacir? Türk Ticaret Kanunu'nun tanımı

İstisnadan yararlanmak istiyorsanız alıcınızın gerçekten tacir veya esnaf olduğunu bilmeniz gerekiyor. Bu bilgi tahminle olmuyor, çünkü ispat yükü tamamen sizde. Tanımlar 6102 sayılı Türk Ticaret Kanunu'nda.

Gerçek kişi tacir

TTK'nın 12. maddesine göre bir ticari işletmeyi, kısmen de olsa, kendi adına işleten kişi tacirdir. Üç unsur var: ortada bir ticari işletme olacak, işletme kendi adına işletilecek, faaliyet süreklilik taşıyacak.

Aynı madde iki grubu daha kapsıyor. Bir ticari işletmeyi kurup açtığını sirküler, gazete, radyo, televizyon ve diğer ilan araçlarıyla halka bildiren veya işletmesini ticaret siciline tescil ettirip ilan eden kişi, fiilen işe başlamamış olsa bile tacir sayılıyor. Ayrıca bir ticari işletme açmış gibi işlemlerde bulunan kişi, iyiniyetli üçüncü kişilere karşı tacir gibi sorumlu oluyor.

Tüzel kişi tacirler

TTK'nın 16. maddesi tüzel kişileri düzenliyor. Ticaret şirketleri, yani kollektif, komandit, anonim, limited ve kooperatif, doğrudan tacir sayılıyor. Bir limited şirketin tacir olması için ayrıca ticari işletme işletip işletmediğine bakılmıyor, tescille birlikte tacir oluyor.

Vakıflar ve dernekler ise amacına varmak için ticari bir işletme işletiyorlarsa tacir sayılıyor. Ama burada önemli bir istisna var: kamu yararına çalışan dernekler ve gelirinin yarısından fazlasını kamu görevi niteliğindeki işlere harcayan vakıflar, ticari işletme işletseler bile tacir sayılmıyor. Devlet, il özel idaresi, belediye, köy ve diğer kamu tüzel kişileri de aynı şekilde tacir sayılmıyor.

Bir ayrıntı gözden kaçıyor: aynı maddenin birinci fıkrası, kendi kuruluş kanunları gereğince özel hukuk hükümlerine göre yönetilmek veya ticari şekilde işletilmek üzere Devlet, il özel idaresi, belediye, köy ve diğer kamu tüzel kişileri tarafından kurulan kurum ve kuruluşları tacir sayıyor. Yani belediyenin kendisi tacir değil, belediyenin ticari şekilde işletilmek üzere kurduğu kuruluş tacir. Kurumsal listelerde bu iki kategori sürekli birbirine karışıyor.

Tabloya dökülmüş hâli

Kim esnaf? Sınır nerede ve neden dışarıdan göremezsiniz

Esnaf tanımı TTK'nın 15. maddesinde. İster gezici olsun ister bir dükkânda veya sokağın belirli bir yerinde sabit bulunsun, ekonomik faaliyeti sermayesinden fazla bedenî çalışmasına dayanan ve geliri kararnamede gösterilen sınırı aşmayan, sanat veya ticaretle uğraşan kişi esnaftır.

5362 sayılı Esnaf ve Sanatkârlar Meslek Kuruluşları Kanunu'nun 3. maddesi de benzer bir tanım veriyor ve iki ek ölçüt koyuyor: kişinin, Esnaf ve Sanatkâr ile Tacir ve Sanayiciyi Belirleme Koordinasyon Kurulunca belirlenen meslek kollarından birinde olması ve basit usulde vergilendirilmesi ya da işletme hesabı esasına göre defter tutması.

Rakamsal sınır

Sınırın kendisi 21 Temmuz 2007 tarihli ve 26589 sayılı Resmî Gazete'de yayımlanan 2007/12362 sayılı Bakanlar Kurulu Kararı'na dayanıyor. Karar, 213 sayılı Vergi Usul Kanunu'nun 177. maddesindeki hadlerin bir kısmına atıf yapıyor: birinci fıkranın 1 ve 3 numaralı bentlerindeki tutarların yarısını, 2 numaralı bentteki tutarın tamamını aşmayanlar esnaf sayılıyor. Hadler her yıl yeniden değerleniyor. Küçük bir mevzuat notu: TTK'nın 11. maddesi bu sınırı belirleme yetkisini 2018'den beri Cumhurbaşkanı kararına bağlıyor, yani bundan sonraki değişiklikleri Bakanlar Kurulu kararı olarak aramayın.

Ticaret Bakanlığı'nın il müdürlükleri bu hadleri her yıl duyuruyor. 2025 yılı için açıklanan tutarlar şöyleydi: yıllık mal alım tutarı 1.000.000 TL, yıllık mal satış tutarı 1.400.000 TL, alım satım dışındaki işlerde gayrisafi iş hasılatı 990.000 TL. Bu tutarların üzerine çıkan kişi esnaf olmaktan çıkıp tacir oluyor. Sayılar her yıl değiştiği için gönderim yaptığınız yılın güncel duyurusuna bakın.

Uyuşmazlık çıkarsa

Bir kişinin esnaf mı tacir mi olduğu tartışmalıysa, Ticaret Bakanlığı bünyesinde çalışan Esnaf ve Sanatkâr ile Tacir ve Sanayiciyi Belirleme Koordinasyon Kurulu ve il düzeyindeki Esnaf-Tacir Ayrımı Mutabakat Komiteleri devreye giriyor. Bu mekanizmanın varlığı bile ayrımın ne kadar bulanık olduğunu gösteriyor: devlet, kişinin hangi tarafta olduğunu belirlemek için ayrı bir komite kurmuş.

Ama iyi haber: ikisi de istisnanın içinde

Uygulamada bu ayrım ticari elektronik ileti açısından ilk bakışta önemli değil, çünkü istisna hem taciri hem esnafı kapsıyor. Bir mahalle bakkalının esnaf mı yoksa cirosu yüksek olduğu için tacir mi olduğunu bilmeseniz de, her iki hâlde de önceden onay aranmıyor.

Ayrım iki yerde önem kazanıyor. Birincisi, iletinin içeriğinde. Yönetmeliğin 8. maddesine göre ticari elektronik iletinin başlığında veya içeriğinde tacirler için MERSİS numarası ve ticaret unvanı, esnaflar için ad soyad ile T.C. kimlik numarası veya vergi kimlik numarası yer almak zorunda. Yani kendinizi tanıtırken kendi sıfatınız belirleyici. İkincisi, karşı taraf ne tacir ne esnafsa istisna hiç işlemiyor ve bir sonraki bölüm tam olarak bu grupla ilgili.

İkisi de olmayanlar: listenizin sessiz sorunu

İstisnanın en tehlikeli tarafı, insanların "işletme" dediği her şeyi tacir veya esnaf sanması. Türkiye'de iş yapan büyük gruplar bu iki tanımın dışında kalıyor ve bir soğuk erişim listesinde bunlar genellikle en cazip isimler oluyor.

Serbest meslek erbabı

Avukat, hekim, diş hekimi, veteriner, mimar, mühendis, mali müşavir, noter, sanatçı. Bu kişiler ticari işletme işletmedikleri için tacir değil. Esnaf da sayılmıyorlar, çünkü 5362 sayılı Kanun esnaflığı Koordinasyon Kurulunca belirlenen esnaf ve sanatkâr meslek kollarına bağlıyor ve serbest meslek faaliyeti bu kolların içinde yer almıyor. Şirket kurmadıkları sürece ikisinin de dışındalar.

Avukatlarda durum daha da net, çünkü Avukatlık Kanunu'nun 11. maddesi tacir veya esnaf sıfatını avukatlıkla birleşemeyen işler arasında sayıyor. Kurulun yukarıda anlattığımız 2022/861 sayılı kararı tam olarak buraya dayandı ve istisnayı gerekçe gösteren pazarlama şirketi 150.000 TL ceza aldı.

Bu grup Türkiye'de yazılım, sigorta, eğitim ve danışmanlık satan ekiplerin favori hedef kitlesi. Avukata hukuk yazılımı, hekime randevu sistemi, mimara çizim aracı satmak isteyen herkesin bu istisnanın dışında olduğunu bilmesi gerekiyor.

Dernekler, vakıflar, kamu kurumları, üniversiteler

Bir dernek ticari işletme işletmiyorsa zaten tacir değil. İşletiyor olsa bile kamuya yararlı dernek statüsündeyse yine tacir sayılmıyor. Vakıflarda benzer bir muafiyet var. Belediyeler, bakanlıklar, üniversiteler ve diğer kamu tüzel kişileri de listenin dışında.

Kurumsal satış yapan ekiplerin listelerinde bu isimler bolca bulunuyor. "Kamu kurumu zaten tüzel kişi, kişisel veri sorunu yok" diye düşünülüyor. Doğru olan tespit şu: alıcının tüzel kişi olması ticari elektronik ileti rejiminden muaf olduğu anlamına gelmiyor, yalnızca istisnanın uygulanıp uygulanmadığı sorusunu değiştiriyor.

Çalışanlar: şirket tacirdir, çalışan değildir

Burası en çok atlanan yer. ABC Lojistik Limited Şirketi tacirdir. Ama o şirkette çalışan satın alma müdürü Ayşe Yılmaz tacir değildir. Ticari işletmeyi kendi adına işletmiyor, maaşlı çalışıyor.

Peki [email protected] adresi kime ait? Teknik olarak şirkete tahsis edilmiş bir adres, ama belirli bir gerçek kişiyi işaret ediyor. Kişisel Verilerin Korunması Kanunu açısından bu, kimliği belirli bir gerçek kişiye ilişkin bilgi, yani kişisel veri. [email protected] ise kimseyi işaret etmiyor, tüzel kişiye ait ve KVKK kapsamı dışında kalıyor.

Bu ayrım pratikte listenizi ikiye bölüyor. Kurumsal genel adresler daha düşük riskli. Ad soyad taşıyan adresler ise hem 6563 sayılı Kanun hem de 6698 sayılı Kanun kapsamında, iki ayrı denetim ekseninde değerlendiriliyor.

Şahıs şirketi mi, limited mi

Bu ayrım Türkiye'de sanıldığından çok daha belirleyici, çünkü küçük işletme dünyasının çoğunluğu şahıs işletmesi. Ticaret Bakanlığı'nın 2025 yılı e-ticaret verilerine göre e-ticaret yapan işletmelerin yüzde 75'i şahıs işletmesi, yüzde 21'i limited şirket, yüzde 4'ü anonim şirket. ETBİS'e kayıtlı işletme sayısı 634 bin.

Şahıs işletmesi demek, arkasında bir gerçek kişi var demek. O kişi ya gerçek kişi tacir ya da esnaf. Her iki hâlde de istisna işliyor, ama ilettiğiniz veri aynı zamanda bir gerçek kişinin kişisel verisi. Yani e-ticaret pazarının dörtte üçünde, ticari elektronik ileti rejimi ile kişisel veri rejimi iç içe geçiyor. Türkiye'nin işletme yapısı ve dijitalleşme tablosu hakkında daha geniş bir resim için TÜİK verileriyle hazırladığımız derlemeye bakabilirsiniz.

Ret hakkı: istisnanın gerçek sınırı

Yönetmeliğin 9. maddesi ret hakkını düzenliyor ve bu hak tacir için de esnaf için de aynen geçerli. Alıcı, istediği zaman ve hiçbir gerekçe göstermeksizin ticari elektronik ileti almayı reddedebiliyor.

Aynı fıkranın ikinci cümlesi çoğu zaman atlanıyor: ret bildirimi, yalnızca bildirimin yapıldığı iletişim kanalına ilişkin onayı geçersiz kılıyor. Yani e-postayla gelen bir ret, kural olarak SMS onayını kendiliğinden kapatmıyor. Pratikte bunu bir gevşeklik olarak okumayın; aynı kişiye başka kanaldan gönderime devam etmek şikâyet üretir. Ama kayıt tutarken hangi kanalın kapandığını doğru işaretlemek gerekiyor.

Her iletide ret imkânı bulunmak zorunda

Bu bir tercih değil, yükümlülük. Gönderdiğiniz her ticari elektronik iletide alıcıya ret imkânı sunulmak zorunda. Ret bildirimi için müşteri hizmetleri numarası, kısa mesaj numarası veya yalnızca ret bildirimine özgülenmiş bir internet adresi gibi erişilebilir bir yol verilmesi gerekiyor. Ret, iletinin geldiği kanaldan yapılabilmeli ve ücretsiz olmalı.

Uygulamada en sık görülen hata, soğuk e-postaya abonelikten çıkma bağlantısı koymamak. "Bu bir bülten değil, kişisel bir e-posta" mantığı hukuken çalışmıyor. Ticari amaç taşıyorsa ticari elektronik iletidir ve ret imkânı içermek zorundadır.

Üç iş günü kuralı

Yönetmeliğin 10. maddesi net: ret talebini alan hizmet sağlayıcı, bildirimin ulaşmasını takip eden üç iş günü içinde o alıcıya ticari elektronik ileti göndermeyi durdurmak zorunda. Bu üç gün bir hoşgörü penceresi değil, azami süre. Manuel bir listede üç iş günü çok kısa bir süredir, o yüzden ret kaydının otomatik işlemesi gerekir.

Bayilik ve acentelik zinciri

Az bilinen bir ayrıntı: Yönetmeliğin 7. maddesinin altıncı fıkrasına göre acentelik, özel yetkili işletme ya da bayilik sözleşmesindeki taraflardan birine verilen onay, sözleşmeye konu mal, hizmet veya marka ile sınırlı olarak diğer taraf için de verilmiş sayılıyor. 9. maddenin ikinci fıkrası ise bunun aynasını kuruyor: bu kapsamdaki bir onay için taraflardan birine yapılan ret bildirimi tarafların tümüne yapılmış sayılıyor ve bildirimi alan taraf durumu diğerine haber vermekle yükümlü. Bayi ağıyla çalışıyorsanız ret kaydının merkezî tutulması gerekiyor, aksi hâlde bir bayiye ret veren müşteri diğerinden ileti almaya devam eder ve şikâyet doğar.

Ret, diğer yükümlülükleri ortadan kaldırmıyor

Ticari elektronik iletiyi reddeden bir alıcıya, mevzuattan doğan bilgilendirme yükümlülükleriniz varsa onları göndermeye devam edersiniz. Sipariş teyidi, teslimat bildirimi, tahsilat hatırlatması reklam değildir. Yeter ki içine ürün tanıtımı sızmasın.

İYS: onay gerekmiyor ama kayıt gerekiyor

Burası Türkçe içerikte en çok yanlış aktarılan kısım. "Tacire onay gerekmiyor, o zaman İleti Yönetim Sistemi'ni hiç ilgilendirmez" cümlesi yaygın ve yanlış.

Yönetmeliğin 6. maddesinin son fıkrası şunu söylüyor: tacir veya esnaf olan alıcılara ileti gönderilmeden önce, bu alıcıların elektronik iletişim adresleri hizmet sağlayıcı tarafından İYS'ye kaydedilir ve İYS üzerinden alıcıların ret hakkını kullanıp kullanmadığı kontrol edilir. Yani onay yükümlülüğü kalkıyor, kayıt ve kontrol yükümlülüğü kalkmıyor.

Alıcı tipi TACIR nasıl çalışıyor

İleti Yönetim Sistemi, Ticaret Bakanlığı denetiminde çalışan merkezî izin kayıt platformu. Sisteme yüklenen her kayıt bir alıcı tipi taşıyor: BIREYSEL veya TACIR. Aynı telefon numarası veya e-posta adresi hem bireysel hem tacir sıfatıyla ayrı ayrı kaydedilebiliyor ve iki kayıt birbirinden bağımsız izleniyor.

Sorgu yaptığınızda dönen durum ONAY veya RET oluyor. Aynı alıcı, alıcı tipi ve kanal birleşimi için her zaman en güncel kayıt geçerli. Bir kişi önce onay verip sonra reddettiyse dönen değer RET olur ve bu bağlayıcıdır.

Kayıtlar tek tek panelden girilebildiği gibi toplu dosyayla veya API ile de yüklenebiliyor. Sistemin nasıl kurulacağı, izin yüklemenin ve ret yönetiminin ayrıntıları başlı başına bir konu, İYS rehberimizde adım adım anlatılıyor.

Üç iş günü, bir kez daha

İYS dışında alınan onaylar üç iş günü içinde sisteme işlenmek zorunda. Bu sürede yüklenmeyen onay geçersiz sayılıyor. Ret kayıtları için de aynı süre geçerli. Tacir kayıtlarında da mantık aynı: adresi topladığınız anda değil, gönderim yapmadan önce sistemde olması gerekiyor.

İYS yalnızca üç kanalı tanıyor

Bu, konunun en kritik teknik gerçeği. İYS'de yalnızca üç iletişim kanalı var: arama, kısa mesaj ve e-posta. WhatsApp, Instagram DM, LinkedIn mesajı, Telegram gibi anlık mesajlaşma kanalları İYS'de bir izin tipi olarak yer almıyor.

Bundan iki sonuç çıkıyor ve ikisi de rahatsız edici. Birincisi, bu kanallarda gönderim yapıyorsanız izninizi veya ret kaydınızı İYS'de gösteremiyorsunuz, yani merkezî bir kanıtınız olmuyor. İkincisi, Yönetmeliğin 4. maddesindeki ticari elektronik ileti tanımı "telefon, çağrı merkezleri, faks, otomatik arama makineleri, akıllı ses kaydedici sistemler, elektronik posta, kısa mesaj hizmeti gibi vasıtalar" diyor. "Gibi vasıtalar" ifadesi sayımı kapatmıyor. Hukuki değerlendirmelerde anlık mesajlaşma uygulamalarının, açılır pencerelerin ve anlık bildirimlerin de kapsamda değerlendirilebileceği belirtiliyor. Yani kanal İYS'de yok, ama kapsamın dışında olduğu da kesin değil. Bu ikilemin ayrıntısı WhatsApp toplu mesaj yazımızda ele alınıyor.

İletinin içeriği: kim olduğunuzu söylemek zorundasınız

Yönetmeliğin 8. maddesi iletinin içeriğini düzenliyor ve soğuk erişimde en sık ihlal edilen madde bu olabilir.

İletinin başlığında veya içeriğinde tacirler için MERSİS numarası ve ticaret unvanı, esnaflar için ad soyad ile T.C. kimlik numarası veya vergi kimlik numarası yer almak zorunda. Marka veya işletme adı gibi tanıtıcı bilgiler bunlara ek olarak konabiliyor, yerine değil. Kısa mesaj gibi sınırlı alan kullanılan kanallarda tacirler için MERSİS numarası, esnaflar için ad soyad ile kimlik veya vergi numarası yeterli.

İçeriğin alınan onaya uygun olması da şart. Yani "bültenimize kaydolun" diye onay alıp sonra bambaşka bir markanın kampanyasını göndermek onaya aykırılık oluyor.

Bu maddeyi göz ardı etmek pahalı. 2026 yılı için güncellenen idari para cezası bandında, onay almadan veya onaya aykırı ticari elektronik ileti göndermek 2.859 TL ile 14.309 TL, gönderici veya içerik bilgisi belirtmemek 2.859 TL ile 28.620 TL, ret yükümlülüğüne aykırılık ise 5.723 TL ile 42.930 TL arasında cezalandırılıyor. Tutarlar 25 Aralık 2025 tarihli ve 33118 sayılı Resmî Gazete'de yayımlanan yeniden değerleme oranına göre güncellendi (derleme).

Bir çarpan daha var. 6563 sayılı Kanun'un 12. maddesinin ikinci fıkrası, onay şartına aykırı iletinin bir defada birden fazla kişiye gönderilmesi hâlinde cezanın on katına kadar artırılarak uygulanacağını söylüyor. Toplu gönderim yapıyorsanız üst bandı 14.309 TL değil, onun on katı olarak düşünün.

KVKK ayrı bir katman: ticari ileti istisnası sizi burada korumaz

Türkçe içeriğin ikinci büyük hatası, 6563 sayılı Kanun ile 6698 sayılı Kişisel Verilerin Korunması Kanunu'nu aynı şey sanmak. İki farklı kanun, iki farklı denetim mercii, iki farklı soru.

KVKK ceza bandı, 27 Kasım 2025 tarihli ve 33090 sayılı Resmî Gazete'de yayımlanan 585 sıra numaralı Vergi Usul Kanunu Genel Tebliği'ndeki yeniden değerleme oranıyla güncellendi (derleme). Aradaki büyüklük farkı dikkat çekici: aynı gönderim, Ticaret Bakanlığı tarafında on binlerce liralık (toplu gönderimde on kat çarpanıyla daha yükseği mümkün), Kurul tarafında yüz binlerce liralık sonuç doğurabiliyor.

Hangi veri KVKK kapsamında

KVKK yalnızca gerçek kişileri koruyor. Tüzel kişiye ait bilgiler kanunun kapsamı dışında. Bu yüzden listenizi şu şekilde ayırmanız işinize yarar:

• [email protected], [email protected], şirket santral numarası: kimliği belirli bir gerçek kişiye işaret etmediği sürece tüzel kişi verisi.
• [email protected], çalışanın kurumsal cep telefonu, LinkedIn profil bilgisi: kişisel veri.
• Şahıs işletmesinin işletme e-postası: arkasında bir gerçek kişi olduğu için genellikle kişisel veri.

Bu ayrım tek başına aklamıyor ama risk seviyesini gerçekten değiştiriyor. Genel kurumsal adreslere gönderilen bir tanıtım e-postası, KVKK şikâyetine konu edilebilir bir kişisel veri işleme faaliyeti barındırmayabilir. Ad soyad taşıyan adreslere gönderilen aynı e-posta barındırır.

Hukuki sebep sorusu

Kişisel veri işliyorsanız KVKK'nın 5. maddesindeki işleme şartlarından birine dayanmanız gerekiyor. Soğuk erişimde pratikte üç aday var ve üçünün de kendi tuzağı var.

Açık rıza. En sağlam yol ama soğuk erişimin tanımıyla çelişiyor: rızayı alabiliyorsanız zaten soğuk değilsiniz.

Alenileştirme (m.5/2-d). "İlgili kişinin kendisi tarafından alenileştirilmiş olması" en çok başvurulan ve en çok reddedilen gerekçe. Kurul, alenileştirmenin bir amaç taşıdığını, o amacın dışına çıkılamayacağını söylüyor. 2022/861 sayılı kararda avukatın e-posta adresinin mesleki iletişim için aleni hâle getirildiği, ancak bunun pazarlama amaçlı işlemeye izin anlamına gelmediği tespit edildi. 09/12/2021 tarihli ve 2021/1243 sayılı kararda bir insan kaynakları firması aynı gerekçeye dayandı. Kurul burada farklı bir noktadan ilerledi: firma, adresin hangi yöntemle ve hangi platformda alenileştirildiğine dair hiçbir açıklama ve belge sunamadı, dolayısıyla işleme şartlarından hiçbirinin bulunmadığı sonucuna varıldı ve 50.000 TL ceza verildi. İki karar birlikte okunduğunda çıkan sonuç şu: alenileştirme savunmasının hem bir amaç sınırı var hem de ispat yükü var, ikisinden biri eksikse savunma ayakta durmuyor.

Meşru menfaat (m.5/2-f). İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması. Bu şart soğuk B2B erişim için savunulabilir bir zemin sunuyor, ama otomatik değil. Yazılı bir denge testi yapmanız ve bunu belgelemeniz gerekiyor: menfaatiniz nedir, veri işleme bu menfaat için gerçekten zorunlu mu, daha az müdahaleci bir yol var mı, ilgili kişinin makul beklentisi ne, işlemenin ona etkisi ne. Testi yapmadıysanız denetimde meşru menfaate dayanamazsınız, çünkü dayanağı gösterecek belgeniz yok.

Aydınlatma yükümlülüğü açık rıza gerekmese de var

Bu, en sık atlanan yükümlülük. KVKK'nın 10. maddesindeki aydınlatma yükümlülüğü, işlemenin hukuki sebebi ne olursa olsun yerine getirilmek zorunda. Meşru menfaate dayanıyor olmanız aydınlatma yapmama hakkı vermiyor.

Pratikte bu, soğuk e-postanızın altında verinin nereden geldiğini, hangi amaçla işlendiğini, kimlerle paylaşıldığını ve ilgili kişinin haklarını açıklayan bir metne ya da böyle bir metne giden bağlantıya ihtiyacınız olduğu anlamına geliyor. 2026 yılı için aydınlatma yükümlülüğünü yerine getirmemenin cezası 85.437 TL ile 1.709.200 TL arasında.

Kurulun 10 Haziran 2025 tarihli ve 2025/1072 sayılı ilke kararı bu çizgiyi daha da netleştirdi: tek bir işlemle birden fazla veri işleme faaliyeti yürütülmesine son verilmeli, açık rıza ve aydınlatma ayrı ayrı gerçekleştirilmeli, ticari ileti onayı ürün veya hizmet sunumunun zorunlu koşulu gibi sunulmamalı. Karar doğrudan SMS doğrulama kodu üzerinden izin toplama uygulamasını hedefliyordu ama mantığı geneldir: izin ayrı alınır, aydınlatma ayrı yapılır.

ETK onayı KVKK açık rızası yerine geçer mi

Kurul bu soruyu kesin biçimde çözmedi. Kurul kararlarını derleyen hukuk yazınında, 6563 kapsamında usulüne uygun onay alındığında ayrıca açık rıza aranmayabileceği görüşü ağır basıyor. Bu bir görüş, bağlayıcı bir tespit değil. Ancak aydınlatma yükümlülüğünün açık rıza gerekmeyen hâllerde de yerine getirilmesi gerektiği konusunda tereddüt yok. Yani hangi görüşü benimserseniz benimseyin, aydınlatma metnini yazmaktan kurtulmuyorsunuz.

Veri kaynağı meşruiyeti: listeniz nereden geldi

Buraya kadar anlattığımız her şey, elinizdeki adreslerin nasıl toplandığı sorusuna dayanıyor. Denetimde ilk sorulan soru bu oluyor ve cevabı olmayan hiçbir savunma ayakta kalmıyor.

Satın alınmış liste

Açık olalım: satın alınmış liste kötü fikirdir. Sebebi ahlaki değil, ispatla ilgili.

Bir liste satın aldığınızda, o listedeki her bir kişi için veri sorumlusu siz oluyorsunuz. Denetim geldiğinde "biz satın aldık" demek yükümlülüğü satıcıya devretmiyor. Verinin hangi hukuki sebeple toplandığını, ilgili kişilerin aydınlatılıp aydınlatılmadığını, aktarımın hukuka uygun olup olmadığını sizin kanıtlamanız gerekiyor. Satıcının size verebileceği tek şey bir taahhütname, o da denetimde delil değil beyan.

Buna ek olarak: Türkiye'de satılan B2B listelerinin büyük kısmı web kazımayla veya sızmış veri tabanlarından derleniyor. Aldığınız dosyanın içinde ne olduğunu bilmiyorsunuz. Listede tek bir avukatın, tek bir hekimin, tek bir kamu görevlisinin adresi varsa tacir istisnası o kayıt için hiç işlemiyor ve şikâyet doğrudan size geliyor.

Web kazıma (scraping)

Şirketlerin kendi sitelerinde yayımladığı iletişim bilgilerini otomatik toplamak. Hukuki durumu ikiye ayrılıyor.

Genel kurumsal adresler (info@, iletisim@) tüzel kişi verisiyse KVKK sorunu doğurmuyor, alıcı tacir veya esnaf ise ticari ileti tarafında da istisna işliyor. Buraya kadar makul.

Ad soyad taşıyan adreslerde durum değişiyor. Kurulun 2022/861 sayılı kararı tam olarak bu senaryoydu: arama motorlarından toplanmış iş yeri e-postası, alenileştirme savunması, reddedildi. "Sitede yazıyordu" bir hukuki sebep değil.

Ayrıca sitenin kullanım şartlarını da hesaba katmak gerekiyor. Birçok site otomatik veri toplamayı sözleşmeyle yasaklıyor ve bu, kişisel veri boyutundan bağımsız ayrı bir hukuki risk.

Ticaret sicili, MERSİS ve oda rehberleri

Bu kaynaklar kamusal amaçla, ticari şeffaflık için yayımlanıyor. Bir şirketin unvanı, adresi ve MERSİS numarası kamuya açık. Ancak burada yine amaç bağı devreye giriyor: kaydın kamuya açık olması, o kaydı pazarlama listesine dönüştürmenizi meşrulaştırmıyor. Kurulun alenileştirme yorumu bu senaryoya da uyarlanabilir. Kurumsal adres ve unvan düzeyinde kalırsanız risk düşük, kayıtlardan kişi ismi ve doğrudan iletişim bilgisi çıkarıp hedeflemeye başlarsanız yükseliyor.

Fuar kartvizitleri ve etkinlik listeleri

Elinize kartvizit uzatan kişi sizinle iletişim kurulmasını istemiştir. Bu, Yönetmeliğin 6. maddesinin ilk fıkrasındaki "alıcının kendisiyle iletişime geçilmesi amacıyla iletişim bilgilerini vermesi" durumuna en yakın senaryo. Yine de sınırlı: kartvizit, o görüşmenin devamına ilişkin bir temas beklentisi yaratır, aylar sonra başlayan bir kampanyaya onay değildir. Kartvizit topladıysanız iki hafta içinde ve görüşmeye atıfla yazın. Fuar organizatöründen satın alınan katılımcı listesi ise satın alınmış listedir, yukarıdaki bölüm geçerlidir.

LinkedIn ve platform verisi

LinkedIn'in Kullanıcı Anlaşması, hizmete erişmek, kişi eklemek veya indirmek, mesaj göndermek ya da yönlendirmek için bot veya diğer otomatik yöntemlerin izinsiz kullanılmasını yasaklıyor. Yani LinkedIn'den profil bilgisi kazıyıp e-posta listesi üretmek, aynı anda hem sözleşmeye aykırılık hem de KVKK açısından hukuki sebebi tartışmalı bir veri işleme oluyor.

Kanal kanal: hangi kural nerede işliyor

Mevzuat kanal ayrımı yapmıyor, ama pratik yapıyor. Aynı mesaj, gönderdiğiniz kanala göre tamamen farklı bir kural setine giriyor. Üstelik bazı kanallarda mevzuata uygun olmak yetmiyor, platformun kendi sözleşmesi mevzuattan daha katı.

E-posta

Ticari elektronik ileti tanımının merkezinde. İYS'de kanal olarak var, tacir kaydı yapılabiliyor, ret kaydı sorgulanabiliyor. İstisna en net burada işliyor.

Buna karşılık teknik bir katman daha var: e-posta sağlayıcılarının spam filtreleri. Hukuken kusursuz bir gönderim, alıcının gelen kutusuna hiç düşmeyebilir. SPF, DKIM ve DMARC kayıtlarınız düzgün değilse veya alan adınız yeniyse, mevzuata uygunluk teslim edilebilirliği kurtarmıyor.

Telefon ve SMS

İYS'de arama ve mesaj olarak iki ayrı kanal. Tacir kaydı ve ret sorgusu burada da çalışıyor. SMS'te ek yük var: Yönetmeliğin 8. maddesi sınırlı alanlı iletilerde bile MERSİS numarasının veya kimlik bilgisinin geçmesini istiyor, bu da 160 karakterlik alanın önemli bir kısmını yiyor.

SMS maliyeti de hesaba katılmalı. Netgsm'in toplu SMS fiyat listesine göre 15 Ağustos 2026 itibarıyla 1.000 SMS'lik paketin birim maliyeti 0,370 TL, 100.000'lik pakette 0,148 TL'ye iniyor. Kanal başına maliyet karşılaştırmasını ayrı bir yazıda ayrıntılandırdık.

WhatsApp

Burada iki katman üst üste biniyor ve ikisi de bağlayıcı.

Mevzuat katmanı: WhatsApp İYS'de kanal olarak yok. Yani tacir kaydını sisteme işleyemiyorsunuz, ret kaydını merkezî olarak tutamıyorsunuz. Ticari elektronik ileti tanımındaki "gibi vasıtalar" ifadesi nedeniyle kapsam dışı olduğunuzu da varsayamıyorsunuz.

Platform katmanı: Meta, WhatsApp Business Platform üzerinden işletme kaynaklı mesaj gönderen herkesten önceden izin (opt-in) toplamasını istiyor. Bu izin genel bir pazarlama izni olabiliyor, WhatsApp'ı ismen içermek zorunda değil, ama izin olmadan işletme kaynaklı mesaj göndermek politika ihlali. Yaptırım idari para cezası değil, platformun kendi araçları: kalite puanı düşen hesaplara hız sınırı uygulanıyor, kullanıcı engelleme ve şikâyetleri doğrudan bu puana yansıyor, ihlalin sürmesi hâlinde hesap kısıtlamasına kadar gidebiliyor.

Sonuç: WhatsApp'ta tacir istisnası size mevzuat tarafında bir alan açsa bile, platform tarafında açmıyor. Numarayı nereden bulduğunuz Meta'yı ilgilendirmiyor, izniniz var mı diye soruyor. Hesap kapanma nedenlerinin teknik tarafı ayrı bir yazının konusu.

LinkedIn

Mesajlaşma platform içinde gerçekleşiyor ve platform, otomasyonu sözleşmeyle yasaklıyor. Elle yazılan, kişiye özel, bağlantı isteğine iliştirilmiş kısa bir not en düşük riskli yol. Aynı şablonu günde onlarca kişiye göndermek ise LinkedIn'in spam tespiti tarafından yakalanıyor ve hesap kısıtlaması getiriyor.

Türkiye'de LinkedIn'in reklam erişimi DataReportal'ın Digital 2026 Türkiye raporuna göre 21,0 milyon, yani nüfusun yüzde 23,9'u. B2B için anlamlı bir kitle, ama kanal doğası gereği ölçeklenmiyor.

Instagram ve Facebook

Bu iki platformda soğuk DM pratik olarak imkânsız. Platform, konuşmanın kullanıcı tarafından başlatılmasını istiyor. İşletmenin hiç tanımadığı bir hesaba doğrudan mesaj atarak satış başlatması, hem otomasyon araçlarıyla teknik olarak engelleniyor hem de spam bildirimlerine açık.

Uyumlu tek yol, kullanıcının bir eylemine yanıt vermek: gönderiye yorum yapan birine özelden dönmek, hikâye yanıtına cevap vermek, reklamdan gelen mesajı karşılamak. Bu, "soğuk erişim" değil "sıcak yakalama" demek ve tamamen farklı bir operasyon kurmayı gerektiriyor.

Telegram

Telegram, kullanıcı hesapları üzerinden çalışan MTProto arayüzü sayesinde teknik olarak en açık kanal. Ama teknik açıklık hukuki serbestlik değil. Ticari amaçlı mesaj yine ticari elektronik ileti sayılabilir, İYS'de kaydı tutulamaz ve platform kendi tarafında yoğun gönderim yapan hesaplara flood-wait uygular. Yani üç sınır aynı anda var: mevzuat, ispat ve platform.

Risk matrisi: hangi senaryo ne kadar riskli

Aşağıdaki tablo, sahada en sık karşılaşılan senaryoları risk seviyesine göre sıralıyor. Risk seviyeleri hukuki bir derecelendirme değil, ihlal olasılığı ile yaptırım ağırlığının birlikte değerlendirilmesi.

Bir not: şikâyet süresi kısa. Yönetmeliğin 14. maddesine göre şikâyet, iletinin gönderildiği tarihten itibaren üç ay içinde yapılıyor. Şikâyet e-Devlet üzerindeki Ticari Elektronik İleti Şikâyet Sistemi'nden, İYS'den, Bakanlığın internet sitesindeki şikâyet portalından veya yazılı olarak il ticaret müdürlüklerinden yapılabiliyor. Ticaret Bakanlığı'nın konuya ilişkin resmî sayfası süreci özetliyor.

Kullanılabilir ilk temas metinleri

Aşağıdaki metinler gerçekten gönderilebilir hâlde yazıldı. Hepsinde üç unsur var: kim olduğunuz, neden yazdığınız, nasıl durdurulacağı. Köşeli parantezli yerleri kendi bilginizle doldurun. MERSİS numarası ve ticaret unvanı örneklerde yer tutucu olarak duruyor, gerçek gönderimde kendi bilgileriniz olmalı.

1. Tedarikçiden perakendeciye, e-posta

Konu: [Şehir] bölgesinde [ürün kategorisi] tedariki hakkında

Merhaba,

[Şirketiniz] olarak [şehir] ve çevresinde [ürün kategorisi] toptan
tedariki yapıyoruz. [Alıcı işletme adı] bu kategoride satış yaptığı
için yazıyorum.

Şu an stokta olan üç kalemin fiyat listesini ekliyorum. İlgilenmiyorsanız
tek satırlık bir yanıt yeterli, listemizden çıkarırım.

[Ad Soyad]
[Ticaret unvanı] - MERSİS: [numara]
[Telefon] / [E-posta]

Bu iletiyi almak istemiyorsanız: [ret bağlantısı]
Kişisel verilerinizin işlenmesi hakkında: [aydınlatma metni bağlantısı]

2. Yazılım satıcısından işletmeye, e-posta

Konu: [Alıcı işletme adı] için sipariş takibi

Merhaba,

[Sektör] işletmelerinin sipariş takibini tek ekranda toplayan bir
yazılım geliştiriyoruz. Sizinle daha önce çalışmadık, iletişim
bilgilerinize [kaynak: ticaret sicili kaydı / web siteniz] üzerinden
ulaştım.

Kısa bir demo görmek isterseniz yanıtlayın, 15 dakikalık bir görüşme
ayarlayalım. İstemiyorsanız aşağıdaki bağlantı listeden çıkarır ve
bir daha yazmam.

[Ad Soyad], [Ticaret unvanı]
MERSİS: [numara]

Ticari ileti almak istemiyorum: [ret bağlantısı]
Aydınlatma metni: [bağlantı]

3. Fuar sonrası takip, e-posta

Konu: [Fuar adı] standımızdaki görüşmemiz

Merhaba [Ad],

[Tarih] tarihinde [fuar adı] fuarında [konu] hakkında konuşmuştuk,
kartvizitinizi orada almıştım. Konuştuğumuz [ürün/hizmet] için
hazırladığım özeti ekliyorum.

Konu artık gündeminizde değilse haber verin, takibi kapatayım.

[Ad Soyad], [Ticaret unvanı]
MERSİS: [numara]

Bu konuda ileti almak istemiyorsanız: [ret bağlantısı]

4. Hizmet sağlayıcıdan işletmeye, kısa mesaj

[Ticaret unvanı] MERSİS [numara]: [Şehir] bölgesinde
[hizmet] veriyoruz, işletmenize özel fiyat listesi:
[kısa bağlantı]. Ret icin B yazip 0850 XXX XX XX'e gonderin.

Kısa mesajda ret yolunun mesajın içinde, ek işlem gerektirmeden çalışması gerekiyor. Karakter sınırı yüzünden Türkçe karakter kullanmadan yazmak yaygın, bunun okunabilirliğe etkisini test edin.

5. LinkedIn bağlantı isteği notu

Merhaba [Ad], [alıcı şirket] tarafında [konu] üzerine çalıştığınızı
gördüm. Biz [sektör] işletmeleri için [kısa açıklama] yapıyoruz.
İlgilenirseniz kısa bir not atarım, ilgilenmezseniz de bu isteği
yok sayabilirsiniz.

LinkedIn'de ret bağlantısı koyamıyorsunuz, o yüzden reddin kolaylığını cümleyle vermek gerekiyor. Ayrıca bu notun elle yazılması ve otomatikleştirilmemesi gerektiğini tekrar hatırlatalım.

6. Ret geldikten sonraki tek doğru yanıt

Merhaba,

Talebinizi aldım. E-posta adresiniz listemizden çıkarıldı, bu konuda
bir daha ileti göndermeyeceğiz.

İyi çalışmalar,
[Ad Soyad], [Ticaret unvanı]

Bu yanıtın kendisi ticari elektronik ileti değil, bir işlem bildirimi. İçine hiçbir tanıtım cümlesi koymayın. "Fikriniz değişirse buradayız" bile ekstra bir pazarlama cümlesidir ve reddin ardından gönderilmiş bir tanıtım olarak yorumlanabilir. Çekilirken sessizce çekilin.

Gönderim öncesi kontrol listesi

Bu listeyi kampanya başlatmadan önce baştan sona geçin. Bir madde bile boşsa gönderimi ertelemek, sonradan savunma yazmaktan ucuz.

1. Listedeki her kayıt için alıcının tacir mi, esnaf mı, ikisi de değil mi olduğunu belirlediniz mi? Serbest meslek erbabı, dernek ve kamu kurumu kayıtlarını ayırdınız mı?
2. Her kaydın nereden geldiğini gösteren bir kaynak alanınız var mı? Denetimde sorulacak ilk soru bu.
3. Ad soyad taşıyan adresleri ayrı bir grupta topladınız mı? Bu grup için hukuki sebebiniz ne ve yazılı mı?
4. Meşru menfaate dayanıyorsanız denge testini yazılı yaptınız mı?
5. Aydınlatma metniniz hazır ve iletiden erişilebilir durumda mı?
6. Tacir ve esnaf adreslerini gönderimden önce İYS'ye kaydettiniz mi?
7. İYS üzerinden ret sorgusunu gönderimden hemen önce çalıştırdınız mı? Eski bir sorgu sonucu güvenli değil.
8. İletide MERSİS numarası ve ticaret unvanı (esnafsanız ad soyad ve kimlik ya da vergi numarası) var mı?
9. İletide çalışan, ücretsiz ve tek adımlık bir ret yolu var mı? Bağlantıyı gerçekten tıkladınız mı?
10. Ret talebini üç iş günü içinde işleyecek bir süreciniz var mı? Bu süreç kişiye bağlı mı yoksa sistemde mi?
11. Bayi veya acente ağınız varsa ret kaydı merkezî mi?
12. Gönderim kayıtlarını (kime, ne zaman, hangi içerik) saklıyor musunuz? Şikâyet üç ay içinde gelebilir, ama Yönetmeliğin 13. maddesi onay kayıtlarını geçerliliğin sona erdiği tarihten, diğer kayıtları kayıt tarihinden itibaren üç yıl saklamayı zorunlu tutuyor.

Operasyon tarafı: bu iş elle yürümüyor

Yukarıdaki listeyi elektronik tabloyla yürütmeyi denemiş herkes aynı yerde tıkanıyor. Ret talepleri farklı kanallardan geliyor, biri e-posta yanıtı, biri telefon, biri WhatsApp mesajı. Üç iş günü içinde hepsinin tek yerde birleşmesi gerekiyor ve tablo bunu yapamıyor.

Bu yüzden ret kaydının, kampanya listesinden bağımsız ve kalıcı bir yerde durması gerekiyor. Kişi kaydının kendisinde. CRM Solid'de bunun karşılığı kişi kaydındaki etiketler ve özel alanlar ile otomasyon tarafındaki İletişime Geçilmeyecekler listesi: bir kişi bu listeye girdiğinde hangi kampanyayı kurarsanız kurun o kişi dışarıda kalıyor. Tek gelen kutusu da benzer bir işe yarıyor, çünkü ret hangi kanaldan gelirse gelsin aynı kişi kaydının altında görünüyor ve gözden kaçmıyor.

Dürüst olmak gerekirse burada ürünün yapmadığı bir şey de var: CRM Solid İYS'ye bağlanmıyor. İYS kaydı ve ret sorgusu ayrı bir iş ve bunun için İYS'nin kendi paneline veya İYS entegrasyonu sunan bir mesajlaşma sağlayıcısına ihtiyacınız var. CRM tarafında yapabileceğiniz şey, İYS'den gelen ret bilgisini kişi kaydına işlemek ve gönderim listelerinin o kaydı bir daha hiç görmemesini sağlamak.

Kampanya tarafında şablonlarınıza MERSİS numarası ve ret bağlantısını değişken olarak gömmek, her gönderimde bunları elle eklemekten güvenli. Otomasyon akışları kurarken de akışın giriş koşuluna ret filtresini koymak, çıkışta temizlemekten daha sağlam çalışıyor. Toplu gönderimin teknik tarafı, hız sınırları ve kuyruk mantığı ayrı bir sayfada anlatılıyor.

Bir başka nokta: verinizin nerede durduğu da bir uyum meselesi. Yurt dışında barındırılan bir CRM kullanıyorsanız KVKK'nın 9. maddesindeki yurt dışına aktarım kuralları devreye giriyor ve standart sözleşme imzaladıysanız bunu beş iş günü içinde Kurum'a bildirmek zorundasınız. Bu konunun ayrıntısı yurt dışına veri aktarımı yazımızda, altyapı tarafındaki önlemler ise güvenlik sayfamızda.

Neden bu kadar az işletme bunu doğru yapıyor

Uyumsuzluk çoğu zaman kötü niyetten değil, altyapı yokluğundan doğuyor. TÜİK'in 2025 Girişimlerde Bilişim Teknolojileri Kullanım Araştırması'na göre 10 ve daha fazla çalışanı olan girişimlerde müşteri ilişkileri yönetimi yazılımı kullanım oranı yüzde 12,0. 250 ve üzeri çalışanı olan girişimlerde bu oran yüzde 42,0'a çıkıyor. Yani şirketlerin büyük çoğunluğunda müşteri verisi bir CRM'de değil, elektronik tablolarda ve tek tek çalışanların gelen kutularında duruyor.

Bu tabloda ret talebinin üç iş günü içinde tüm gönderim listelerine yansıması, teknik olarak mümkün değil. Kişi bir satış temsilcisine "artık yazmayın" diyor, temsilci kendi tablosundan siliyor, iki hafta sonra pazarlama ekibinin ayrı listesinden aynı kişiye kampanya gidiyor. Şikâyet buradan doğuyor.

Ölçek de küçük. TÜİK'in KOBİ İstatistikleri'ne göre sanayi ve hizmet sektörlerinde 3.928.000 küçük ve orta boy işletme var ve bunlar toplam girişimlerin yüzde 99,6'sını oluşturuyor. Yani Türkiye'de B2B soğuk erişimin muhatabı olan işletmelerin neredeyse tamamı, kendi tarafında da aynı altyapı sorunuyla yaşıyor. Karşınızdaki işletmenin size ret bildirimi göndermek için ayrı bir süreci yok, doğrudan şikâyet ediyor.

Sık sorulan sorular

Bir limited şirketin info@ adresine izinsiz tanıtım e-postası gönderebilir miyim?

Evet, koşullarla. Limited şirket TTK'nın 16. maddesine göre tacirdir, dolayısıyla Yönetmeliğin 6. maddesinin üçüncü fıkrasındaki istisna işler ve önceden onay aranmaz. Ancak üç şart var: adresi gönderimden önce İYS'ye kaydetmeniz, ret durumunu sorgulamanız ve iletide MERSİS numaranız ile ret imkânını sunmanız. Genel kurumsal adres belirli bir gerçek kişiyi işaret etmiyorsa KVKK boyutu da büyük ölçüde devre dışı kalır.

Alıcının gerçekten tacir olduğunu nasıl doğrularım?

En sağlam yol ticaret sicili kaydına bakmak. Şirket unvanında "Limited Şirketi", "Anonim Şirketi", "Kollektif" gibi bir ibare varsa tacirdir. Şahıs işletmelerinde durum daha zor: kişi esnaf da olabilir, gerçek kişi tacir de. İkisi de istisnanın içinde olduğu için bu belirsizlik ticari ileti açısından sorun yaratmıyor. Asıl doğrulamanız gereken, alıcının serbest meslek erbabı, dernek, vakıf veya kamu kurumu olmadığı. Bu ayrımı listeyi hazırlarken yapın, gönderim sırasında değil.

Muhasebeciye, avukata veya hekime soğuk e-posta atabilir miyim?

Tacir veya esnaf istisnasına dayanarak hayır. Bu meslek grupları ticari işletme işletmedikleri için tacir değil, bedenî çalışma ölçütüne girmedikleri için esnaf değil. Avukatlarda ayrıca Avukatlık Kanunu'nun 11. maddesi bu sıfatları açıkça yasaklıyor. Kurul 2022/861 sayılı kararında tam bu senaryoya 150.000 TL ceza verdi. Eğer bu kişi bir limited şirket kurmuşsa ve iletiyi şirketin kurumsal adresine gönderiyorsanız tablo değişir, ama o zaman da şirketin kaydını doğrulamış olmanız gerekir.

Tacire gönderiyorsam İYS'ye kaydolmak zorunda mıyım?

Evet, iki ayrı anlamda. Birincisi gönderen olarak siz: Yönetmeliğin 5. maddesinin ikinci fıkrası, ticari elektronik ileti göndermek isteyen tüm gerçek ve tüzel kişilerin İYS'ye kaydolmasını istiyor. İkincisi alıcı kayıtları: 6. maddenin son fıkrası, tacir veya esnaf alıcıların adreslerinin gönderimden önce İYS'ye kaydedilmesini ve ret durumunun İYS üzerinden kontrol edilmesini istiyor. Onay yükümlülüğünün kalkması, bu kayıt ve kontrol yükümlülüğünü kaldırmıyor. Kayıt alıcı tipi TACIR olarak yapılıyor ve bireysel kayıttan bağımsız tutuluyor.

Ret talebi doğrudan bize e-posta yanıtı olarak geldi, ne yapacağız?

İki şey. Birincisi, üç iş günü içinde o adrese gönderimi durdurun. İkincisi, ret kaydını İYS'ye işleyin. İYS dışında alınan kayıtlar için üç iş günü kuralı burada da geçerli. Ret bildiriminin size hangi kanaldan geldiği önemli değil, kaydedilmesi gerekiyor. Bu yüzden ret taleplerinin kişisel gelen kutularında kalmaması, ortak bir gelen kutusuna düşmesi işi ciddi biçimde kolaylaştırıyor.

WhatsApp üzerinden işletmelere toplu mesaj atmak serbest mi?

İki ayrı engel var. Mevzuat tarafında WhatsApp İYS'de kanal olarak yok, dolayısıyla tacir kaydınızı ve ret kaydınızı sisteme işleyemiyorsunuz, yani kanıtsız kalıyorsunuz. Platform tarafında Meta, işletme kaynaklı her mesaj için önceden izin istiyor ve numarayı nereden bulduğunuzla ilgilenmiyor. Sonuç: tacir istisnası mevzuat tarafında bir alan açsa bile platform tarafında açmıyor ve yaptırım hesabınızın kapanması olabiliyor.

LinkedIn'den topladığım e-postalara gönderim yapabilir miyim?

İki ayrı sorun var. LinkedIn'in Kullanıcı Anlaşması otomatik veri toplamayı ve indirmeyi yasaklıyor, bu sözleşmeye aykırılık. KVKK tarafında ise bir profilin görünür olması tek başına alenileştirme sayılmıyor. Kurul 2022/861 sayılı kararda alenileştirmenin belirli bir amaca bağlı olduğunu ve o amacın dışına çıkılamayacağını belirtti; 2021/1243 sayılı kararda ise alenileştirmenin nasıl ve nerede yapıldığını ispatlayamayan veri sorumlusunun savunmasını kabul etmedi. Kısacası: profilde e-posta görünüyor olması size gönderme hakkı vermiyor.

Ceza kime kesilir, gönderim yapan ajansa mı markaya mı?

Yönetmelik hizmet sağlayıcı ile aracı hizmet sağlayıcıyı ayırıyor. İletiyi kendi mal veya hizmeti için gönderten taraf hizmet sağlayıcıdır, gönderim ortamını sunan taraf aracı hizmet sağlayıcıdır. İYS üzerinden alınmayan onaylarda onayın alındığını ispat yükü hizmet sağlayıcıya ait (m.7/10); şikâyete konu işlemlerde ise ispat yükümlülüğü hizmet sağlayıcıya ve/veya aracı hizmet sağlayıcıya ait (m.13/1). Yani ajansınıza gönderim yaptırmanız sizi ispat yükünden kurtarmıyor. Aracı hizmet sağlayıcı tarafında iki sınır var: başkaları adına onay toplayamıyor (m.11/4) ve İYS'ye kayıtlı olmayan hizmet sağlayıcılar için gönderimi başlatamıyor (m.11/6). Ayrıca 6563 sayılı Kanun'un 7. maddesi, ileti başkası adına gönderiliyorsa kimin adına gönderildiğinin iletide yer almasını istiyor.

İstisna bültenlerimi de kapsar mı, yoksa sadece birebir mesajları mı?

Yönetmelik iletinin birebir mi toplu mu gönderildiğine bakmıyor, ticari amaç taşıyıp taşımadığına bakıyor. Bülteniniz mal veya hizmet tanıtımı içeriyorsa ticari elektronik iletidir ve tüm kurallar geçerlidir. Fark, tek bir kişiye yazdığınızda ret talebini fark etmenizin kolay olması, binlerce kişiye gönderdiğinizde ret akışının otomatik işlemek zorunda olmasıdır.

Karar: istisnayı bir kapı değil, dar bir aralık olarak görün

Tacir ve esnaf istisnası gerçek. Türkiye'de B2B soğuk erişim, doğru kurulduğunda hukuka uygun bir faaliyet ve bunu söylemekten çekinmeye gerek yok. Ama istisnanın verdiği şey, "izin almadan ilk teması kurma hakkı" ile sınırlı. Yanına dört yükümlülük geliyor ve dördü de sizde kalıyor: alıcının gerçekten tacir veya esnaf olduğunu bilmek, adresi İYS'ye kaydedip ret durumunu sorgulamak, iletide kim olduğunuzu ve nasıl durdurulacağınızı göstermek, ret geldiğinde üç iş günü içinde gerçekten durmak.

Üstüne KVKK ayrı bir katman olarak duruyor ve ticari ileti istisnası orada hiç işlemiyor. Kişisel veri işliyorsanız hukuki sebebinizi göstermeniz, aydınlatma yapmanız ve verinin nereden geldiğini kanıtlamanız gerekiyor. Kurul kararlarının gösterdiği tek şey varsa o da şu: "internette bulduk" bir hukuki sebep değil.

Bugün yapılacak iş büyük bir uyum projesi değil. Listenizi açın, üç sütun ekleyin: alıcı tipi, veri kaynağı, ret durumu. Serbest meslek erbabını, dernekleri ve kamu kurumlarını ayırın. Kaynağını yazamadığınız kayıtları silin. Kalan listeyle çalışın. Bu üç sütun, hem gönderim kalitenizi hem de bir şikâyet geldiğinde elinizde ne olduğunu belirliyor.

Son bir hatırlatma: bu yazı genel bilgilendirme amacıyla hazırlandı, hukuki danışmanlık değildir. Mevzuat ve idari para cezası tutarları düzenli olarak güncelleniyor, gönderim yapmadan önce güncel metinleri kontrol edin ve somut durumunuz için bir avukata danışın.