WhatsApp'tan Toplu Mesaj Göndermek Yasal mı? 6563, İYS ve KVKK Açısından 2026 Rehberi

Bu soruyu soran çoğu kişi net bir cevap bekliyor: evet ya da hayır. Türkiye mevzuatında bu sorunun net cevabı yok, ama belirsiz de değil. Belirsiz olan tek şey, WhatsApp kelimesinin kanun metninde geçmiyor olması. Geri kalan her şey oldukça açık yazılmış ve uygulanıyor.

Şöyle somutlaştıralım. 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun'un 12. maddesinin birinci fıkrasının (a) bendi, izin almadan ticari elektronik ileti gönderene 2026 yılında 2.859 TL ile 14.309 TL arasında idari para cezası öngörüyor. Aynı maddenin ikinci fıkrası ise şunu diyor: "Bir defada birden fazla kimseye 6 ncı maddenin birinci fıkrasına aykırı olarak ileti gönderilmesi hâlinde, birinci fıkranın (a) bendinde öngörülen idari para cezası on katına kadar artırılarak uygulanır." Yani tek tek gönderirseniz üst sınır 14.309 TL, listeye tek seferde gönderirseniz aynı üst sınır 143.090 TL'ye kadar çıkabiliyor. Kanun toplu gönderimi ayrıca ve bilerek cezalandırıyor.

Bu yazı, sorunun cevabını üç ayrı kural katmanına ayırıyor: e-ticaret mevzuatı (6563 ve ilgili Yönetmelik), kişisel verilerin korunması mevzuatı (6698 ve Kurul kararları) ve Meta'nın kendi platform politikası. Bu üçü birbirinin yerine geçmiyor, üst üste biniyor. Bir tanesine uymanız diğerinden muaf olmanızı sağlamıyor. Aşağıda madde numaralarıyla, 2026 ceza bantlarıyla ve on bir gerçek senaryoyla ilerleyeceğiz.

Baştan söyleyelim: bu yazı hukuki danışmanlık değildir, mevzuat metinlerinin ve resmî kaynakların okunmasına dayanan bilgilendirmedir. Somut bir gönderim planınız varsa avukatınıza danışın.

Kısa cevap: kanun "WhatsApp" demiyor, ama sizi kapsam dışı bırakmıyor

Türkçe internette bu konuda dolaşan en yaygın yanlış şu: "WhatsApp İYS'de yok, o yüzden serbest." Bu cümlenin ilk yarısı doğru, ikinci yarısı yanlış ve ikisi arasında hiçbir mantıksal bağ yok. İYS bir izin kayıt altyapısıdır, kapsam belirleyen bir hüküm değildir. Kapsamı kanun ve yönetmelik belirler.

Tanımın içindeki "gibi vasıtalar" ifadesi

6563 sayılı Kanun'un 2. maddesinin (c) bendi ticari elektronik iletiyi şöyle tanımlıyor: "Telefon, çağrı merkezleri, faks, otomatik arama makineleri, akıllı ses kaydedici sistemler, elektronik posta, kısa mesaj hizmeti gibi vasıtalar kullanılarak elektronik ortamda gerçekleştirilen ve ticari amaçlarla gönderilen veri, ses ve görüntü içerikli iletiler." Aynı tanım, Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik'in 4. maddesinin birinci fıkrasının (o) bendinde kelimesi kelimesine tekrarlanıyor.

Buradaki kritik kelime "gibi". Hukuk dilinde bu, sayımın tahdidi değil tadadi olduğunu gösterir. Yani liste kapalı değil, örnekleyici. Kanun 2014'te yazıldı, WhatsApp o tarihte Türkiye'de bugünkü yaygınlığa sahip değildi. Kanun koyucu teknolojinin değişeceğini öngörüp listeyi açık bıraktı. Ersan Şen Hukuk ve Danışmanlık'ın konuya ilişkin değerlendirmesinde de bu nokta açıkça belirtiliyor: mevzuatta anılan vasıtalar sınırlı sayıda sayılmamıştır, mevzuatta yer almayan farklı bir iletişim aracı kullanılarak da alıcılara ticari elektronik ileti gönderilebilir.

Aynı Yönetmelik'in 4. maddesinin (e) bendi, elektronik iletişim araçlarını "İnternet ve diğer iletişim ağları üzerinden iletilerin gönderilmesine, alınmasına veya saklanmasına imkân sağlayan bilgisayar, telefon, faks, otomatik arama makineleri gibi her türlü cihaz" olarak tanımlıyor. WhatsApp mesajı internet üzerinden bir telefona gider. Tanımın dışında kalan bir yanı yok.

Şikayet formunun kendisi cevabı veriyor

Bu tartışmada çoğu kaynağın atladığı bir ayrıntı var ve Yönetmelik'in şikayet maddesinde duruyor. Madde 14, şikayet başvurusunda hangi bilgilerin aranacağını iletişim kanalına göre ayrı ayrı düzenliyor: (a) bendi kısa mesaj, (b) bendi elektronik posta, (c) bendi sesli arama. Sonra (ç) bendi geliyor:

"Diğer elektronik iletişim araçları ile yapılmışsa iletişim aracının türüne bağlı olarak bu fıkrada belirtilen bilgilerden uygun olanlara yer verilir."

Yönetmeliği yazanlar, SMS, e-posta ve sesli arama dışında kalan araçlarla da ticari elektronik ileti gönderileceğini öngörmüş ve şikayet mekanizmasını buna göre kurmuş. Eğer WhatsApp mesajı kapsam dışı olsaydı, (ç) bendinin varlık sebebi olmazdı. Bu, "kanun WhatsApp'ı düzenlemiyor" savunmasının en zayıf noktası.

Gri alan tam olarak nerede

Dürüst olalım: Ticaret Bakanlığı'nın WhatsApp mesajları için kesilmiş cezalarını gösteren, yayımlanmış ve doğrulanabilir bir idari işlem serisi bulamadık. Bakanlığın 2015-2023 dönemi için açıkladığı şikayet kırılımı da üç klasik kanaldan ibaret: kısa mesaj yüzde 77,08, sesli arama yüzde 20,9, elektronik posta yüzde 2,02. Üçünün toplamı yüzde 100 ediyor, yani anlık mesajlaşma uygulamaları bu istatistikte ayrı bir kalem olarak bile görünmüyor. Bu rakamlara ve kaynağına birazdan döneceğiz. Dolayısıyla "WhatsApp'tan izinsiz mesaj atan herkese ceza kesiliyor" demek abartı olur.

Gri alan şurada: kapsam meselesi bugüne kadar bir Danıştay içtihadıyla kesin olarak çözülmüş değil. Ama gri alan, "risk yok" demek değil. Risk şu şekilde dizilir: kapsam içi olduğunu savunmak metinsel olarak kolay, kapsam dışı olduğunu savunmak zor. Bir de KVKK katmanı var ve orada gri alan yok, çünkü Kişisel Verileri Koruma Kurulu telefon numarasının kişisel veri olduğunu ve reklam amaçlı işlenmesinin hukuki sebebe dayanması gerektiğini yıllardır tekrarlıyor. Kanal fark etmiyor.

Üç kural katmanı ve hangisi neyi bağlar

Türkiye'de bir işletmenin WhatsApp'tan toplu mesaj göndermesi, üç ayrı otoritenin ilgi alanına aynı anda girer. Bunları birbirine karıştırmak, uyum çalışmalarında en çok zaman kaybettiren şey.

Hiçbiri diğerini iptal etmiyor

Sık rastlanan üç yanlış varsayım şunlar. Birincisi: "İYS'ye kaydettim, tamam." İYS kaydı ETK katmanının bir parçası, KVKK aydınlatma yükümlülüğünü ortadan kaldırmıyor ve Meta'nın izin kuralıyla hiç ilgisi yok. İkincisi: "KVKK metnimi imzalattım, gönderebilirim." Açık rıza kişisel veri işleme için hukuki sebep sağlar, ticari elektronik ileti onayı yerine geçtiği tartışmalıdır. Üçüncüsü: "Resmî API kullanıyorum, uyumluyum." Resmî API Meta katmanını çözer, Türk mevzuatını değil.

Doğru sıralama şu: önce numarayı hukuka uygun elde etmiş olmalısınız (KVKK), sonra ticari ileti göndermek için onayınız olmalı (ETK), sonra bu onay Meta'nın opt-in tanımını da karşılamalı (platform). Üçü de sağlanmıyorsa gönderim yapmayın.

Madde madde: mevzuat gerçekte ne diyor

Bu bölüm, Türkçe kaynaklarda en çok eksik bırakılan kısım. Aşağıdaki maddeler Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik'e aittir (Resmî Gazete: 15 Temmuz 2015, sayı 29417; 4 Ocak 2020 tarihli ve 30998 sayılı değişiklikle güncellenmiştir).

Madde 5: önceden onay ve İYS kaydı

Madde 5'in birinci fıkrası, hangi amaçlarla gönderilen iletilerin onaya tabi olduğunu sayıyor: "mal ve hizmetlerini tanıtmak, pazarlamak, işletmesini tanıtmak ya da kutlama ve temenni gibi içeriklerle tanınırlığını artırmak amacıyla". Bu son ibare çok önemli ve neredeyse hiç konuşulmuyor. Bayram kutlaması, yılbaşı mesajı, "sizi özledik" mesajı, hepsi bu kapsamda. İçinde indirim olmasa bile onay gerektirir.

İkinci fıkra ticari elektronik ileti göndermek isteyen gerçek ve tüzel kişilerin İYS'ye kaydolmasını zorunlu kılıyor. Üçüncü fıkra ise tek cümle: "İYS üzerinde onayı bulunmayan alıcılara ticari elektronik ileti gönderilemez." Onay, reddetme hakkı kullanılıncaya kadar geçerlidir; süresi yoktur, ama ret geldiği anda düşer.

Madde 6: onay gerektirmeyen dört durum

Bu madde, uygulamada işletmelerin en çok yaslandığı ve en çok yanlış anladığı hüküm. Dört ayrı durum sayılıyor:

• Birinci fıkra: Alıcı kendisiyle iletişime geçilmesi amacıyla iletişim bilgilerini vermişse, temin edilen mal veya hizmetlere ilişkin değişiklik, kullanım ve bakıma yönelik iletiler için ayrıca onay alınmaz.
• İkinci fıkra: Devam eden abonelik, üyelik veya ortaklık durumu ile tahsilat, borç hatırlatma, bilgi güncelleme, satın alma ve teslimat veya benzeri durumlara ilişkin bildirimler onay gerektirmez. Ancak aynı fıkranın son cümlesi şu: "Ancak bu tür bildirimlerde herhangi bir mal veya hizmet özendirilemez veya bunların tanıtımı yapılamaz."
• Üçüncü fıkra: Tacir veya esnaf olan alıcıların elektronik iletişim adreslerine gönderilen iletiler için önceden onay zorunlu değildir. Ancak ret hakkını kullanmışlarsa onayları alınmadan gönderilemez.
• Dördüncü fıkra: Sermaye piyasası mevzuatı uyarınca aracılık faaliyetinde bulunan şirketlerin müşterilerine bilgilendirme amaçlı iletileri.

İkinci fıkranın son cümlesi, uygulamada en çok ihlal edilen hükümlerden biri. Kargo bildiriminin altına "bu hafta tüm ürünlerde yüzde 20 indirim" eklediğiniz anda ileti artık işlem bildirimi olmaktan çıkar, ticari elektronik ileti olur ve onay gerektirir. Tek bir cümle, iletinin hukuki niteliğini değiştirir.

Madde 6'nın beşinci ve altıncı fıkraları: İYS kontrolü

Bu iki fıkra 2020 değişikliğiyle eklendi ve tacir/esnaf istisnasını ciddi biçimde daralttı. Beşinci fıkra: birinci, ikinci ve dördüncü fıkralar kapsamında ileti gönderilirse İYS üzerinden kontrol yapılmaz. Altıncı fıkra ise şu:

"Üçüncü fıkra kapsamında ileti gönderilmesinden önce tacir veya esnaf olan alıcıların elektronik iletişim adresleri hizmet sağlayıcı tarafından İYS'ye kaydedilir ve İYS üzerinden alıcıların ret hakkını kullanıp kullanmadığı kontrol edilir."

Yani "tacire onaysız gönderebilirim" doğru, ama "tacire hiçbir şey yapmadan gönderebilirim" yanlış. Adresi İYS'ye kaydetmek ve ret kontrolü yapmak zorunlu. Bu ayrımın ayrıntılı işlenişi için tacir ve esnaf istisnasının gerçek sınırlarını ele aldığımız yazıya bakabilirsiniz.

Madde 7: onay nasıl alınır, on iki fıkra

Madde 7, onayın geçerli olması için gereken şartları sayıyor. Uygulamada en kritik olanlar şunlar:

• 7/1: Onayda alıcının olumlu irade beyanı, adı, soyadı ve elektronik iletişim adresi yer alır. Onay doğrudan İYS üzerinden alınmışsa ad ve soyad aranmaz, olumlu irade beyanı ile elektronik iletişim adresi yeterlidir.
• 7/3: Onay elektronik ortamda alınmışsa, onayın alındığı bilgisi reddetme imkânı da tanınarak 24 saat içinde alıcının adresine iletilir. Bu teyit yükümlülüğü de yalnızca İYS dışında alınan onaylar için geçerli; İYS üzerinden alınan onaylara uygulanmaz. WhatsApp izni İYS'de tutulamadığı için sizin durumunuzda teyit zorunlu.
• 7/4: "Alıcının elektronik iletişim adresine ticari elektronik ileti gönderilerek onay talebinde bulunulamaz." Yani "size mesaj atmamı ister misiniz" diye mesaj atamazsınız. Bu tek başına ihlaldir.
• 7/5: Onay bir sözleşmenin içine gömülüyorsa, sözleşmenin sonunda, imzadan önce, "ticari elektronik ileti" kenar başlığı altında, en az on iki punto ile yazılır.
• 7/8: "Onay metninde, olumlu irade beyanı önceden seçilmiş olarak yer alamaz." Ön işaretli kutu geçersizdir.
• 7/9: Onay, sunulan mal ve hizmetin temini için ön şart olarak ileri sürülemez.
• 7/10: İYS üzerinden alınmayan onaylarda ispat yükü hizmet sağlayıcıya aittir.
• 7/11: İYS üzerinden alınmayan onaylar üç iş günü içinde İYS'ye kaydedilir.
• 7/12: "İYS'ye kaydedilmeyen onaylar geçersiz kabul edilir."

7/12 fıkrası, "elimde imzalı formu var" savunmasını tek başına yetersiz kılıyor. Form geçerli bir onayın kanıtı olabilir, ama İYS'ye üç iş günü içinde işlenmediyse onay geçersiz sayılır. Belge var, onay yok.

Madde 8: iletinin içinde ne yazmak zorunda

Bu maddeyi WhatsApp gönderimlerinde neredeyse hiç kimse uygulamıyor. İkinci fıkraya göre iletinin başlığında veya içeriğinde tacirler için MERSİS numarası ve ticaret unvanı, esnaflar için ad soyad ile T.C. veya vergi kimlik numarası yer almalı. Beşinci fıkraya göre erişilebilir durumdaki iletişim bilgilerinden en az biri (telefon, faks, kısa mesaj numarası veya e-posta adresi) bulunmalı. Altıncı fıkraya göre iletinin niteliği içeriğinden açıkça anlaşılmıyorsa "tanıtım", "kampanya" veya "bilgilendirme" gibi niteliği belirleyici bir ibare eklenmeli.

Bu üç eksiklik ayrı bir ceza bandına düşüyor (12/1-b), yani izinsiz gönderim cezasının üstüne biniyor.

Madde 9 ve 10: ret hakkı ve üç iş günü

Madde 9'un birinci fıkrası: "Alıcı istediğinde hiçbir gerekçe göstermeksizin ticari elektronik ileti almayı reddedebilir. Alıcının ret bildiriminde bulunması, bildirimin yapıldığı iletişim kanalına ilişkin onayı geçersiz kılar." Üçüncü fıkra, ret bildiriminin iletinin gönderildiği aynı kanaldan, kolay ve ücretsiz biçimde yapılabilmesini şart koşuyor. Dördüncü fıkra ret imkânının her ticari elektronik iletide yer almasını istiyor. Altıncı fıkra, gelen ret bildirimlerinin üç iş günü içinde İYS'ye bildirilmesini zorunlu tutuyor.

Madde 10 ise tek cümle: hizmet sağlayıcı, ret talebinin kendisine ulaşmasını müteakip üç iş günü içinde ileti göndermeyi durdurur.

Beşinci fıkra ise bir rahatlama getiriyor: reddetme hakkının kullanılmış olması, ilgili mevzuata göre alıcıya gönderilmesi zorunlu bildirimlere engel değil. Yani müşteri ticari iletiyi reddetse bile faturasını, sipariş teyidini veya yasal bildirimi göndermeye devam edebilirsiniz.

Madde 13: ispat yükü ve üç yıllık saklama

Madde 13'ün birinci fıkrası: "Şikâyet konusu işlemlerde ispat yükümlülüğü hizmet sağlayıcıya ve/veya aracı hizmet sağlayıcıya aittir." İkinci fıkra saklama süresini belirliyor: onay kayıtları onayın geçerliliğinin sona erdiği tarihten, ticari elektronik iletilere ilişkin diğer kayıtlar ise kayıt tarihinden itibaren üç yıl saklanır.

Buradaki asimetri önemli. Şikayet eden kişi "bana izinsiz mesaj geldi" demekle yükümlülüğünü yerine getirir. Siz "izin vardı" demekle değil, izni belgelemekle yükümlüsünüz. İspat yükü tersine çevrilmiş durumda.

Madde 14 ve 15: üç ay ve on beş gün

Şikayet başvurusu, iletinin gönderildiği tarihten itibaren üç ay içinde yapılır (m.14/3). Başvuru e-Devlet kapısı, İYS veya Bakanlığın internet sitesi üzerinden ya da yazılı olarak şikayetçinin ikametgâhının bulunduğu il müdürlüğüne yapılabilir. Bakanlık bu iş için Ticari Elektronik İleti Şikayet Sistemi'ni (TİSS) işletiyor.

Madde 15'in üçüncü fıkrası ise savunma tarafındaki süreyi veriyor: hizmet sağlayıcı, il müdürlüğünün talep ettiği bilgi ve belgeleri tebliğden itibaren on beş gün içinde teslim etmekle yükümlü. Talep üzerine bu süre bir defaya mahsus en fazla on beş gün uzatılabilir. Süre sonunda belge gelmezse, il müdürlüğü şikayetçinin sunduğu belgeler üzerinden idari işlem tesis eder. Yani belge veremezseniz dosya sizin aleyhinize karara bağlanır.

2026 ceza tablosu: hangi ihlal hangi banda düşüyor

6563 sayılı Kanun'un 12. maddesindeki tutarlar her yıl yeniden değerleme oranıyla güncelleniyor. 2026 yılı tutarları, Ticaret Bakanlığı'nın 25 Aralık 2025 tarihli ve 33118 sayılı Resmî Gazete'de yayımlanan Tebliği ile belirlendi. Dayanak, Vergi Usul Kanunu Genel Tebliği'nde 2025 yılı için tespit edilen yüzde 25,49 yeniden değerleme oranı. Aşağıdaki tablo, kanunun mevzuat.gov.tr üzerindeki güncel metninin sonunda yer alan resmî ceza tablosundan alındı ve yalnızca ticari elektronik iletiyle doğrudan ilgili bentleri içeriyor.

"On kat" fıkrası gerçek ve tam olarak toplu gönderimi hedefliyor

Bu çarpanı Türkçe kaynakların bir kısmı "hukuk kaynaklarına göre" diye aktarıyor, bir kısmı hiç yazmıyor. Kanun metninde açıkça duruyor. 12. maddenin ikinci fıkrası, 6. maddenin birinci fıkrasına aykırı olarak "bir defada birden fazla kimseye" ileti gönderilmesi hâlinde (a) bendindeki cezanın on katına kadar artırılacağını söylüyor. Metin "birden fazla" diyor, bin kişi demiyor. İki kişiye tek seferde gönderim bile teknik olarak fıkranın kapsamına giriyor.

Pratik sonuç şu: aynı hukuka aykırılık, gönderim yönteminize göre on kat farklı cezalandırılabiliyor. Elle tek tek yazmakla listeye toplu göndermek arasındaki fark, sadece operasyonel bir tercih değil, ceza bandını değiştiren bir unsur.

Cezayı kim keser, ne kadar sürede ödenir

Yönetmelik'in 17. maddesi net: idari para cezalarını vermeye, hizmet sağlayıcının sicile kayıtlı merkezinin bulunduğu yerdeki il müdürü yetkilidir. Verilen ceza, tebliğ tarihinden itibaren bir ay içinde ödenir. Yani süreç Ankara'da değil, şirketinizin merkezinin bulunduğu ilin ticaret il müdürlüğünde yürür.

Ceza tabloları ne kadar sık uygulanıyor

Anadolu Ajansı'nın 16 Mart 2024 tarihli haberine göre Ticaret Bakanlığı, TİSS'in uygulamaya alındığı 2015'ten 2023 sonuna kadar geçen dönemde istenmeyen ticari iletiler için toplam 398 milyon 94 bin 293 lira idari para cezası uyguladı. Aynı dönemde TİSS üzerinden yapılan şikayet sayısı 866 bin 164'e ulaştı. Dokuz yılda 866 bin şikayet, günde ortalama 260 şikayet demek. Girişte andığımız kanal dağılımı da aynı haberden geliyor: kısa mesaj yüzde 77,08, sesli arama yüzde 20,9, elektronik posta yüzde 2,02.

Bu rakamlar üzerinden basit bir çıkarım yapmak yanıltıcı olur, çünkü şikayetlerin ne kadarının cezayla sonuçlandığı açıklanmıyor. Ama iki şey söylenebilir: sistem çalışıyor ve bir müşteri şikayet ettiğinde dosya açılıyor. KVKK ceza tarafında ise bantlar çok daha yüksek.

İYS gerçeği: WhatsApp için bir izin tipi yok, ama bu muafiyet değil

İleti Yönetim Sistemi, Ticaret Bakanlığı denetiminde çalışan merkezi izin kayıt platformu. Ticari elektronik ileti göndermek isteyen her gerçek ve tüzel kişi iys.org.tr üzerinden İYS'ye kaydolmak zorunda (Yönetmelik m.5/2).

Sistemde sadece üç kanal var

İYS'ye izin kaydı yüklerken izin tipi olarak yalnızca üç değerden birini seçebiliyorsunuz: ARAMA, MESAJ, EPOSTA. Alıcı tipi olarak da iki değer var: BIREYSEL ve TACIR. WhatsApp, Instagram DM, Telegram gibi anlık mesajlaşma kanalları için ayrı bir izin tipi tanımlı değil. Bir kişinin hem e-posta hem SMS izni varsa bunlar ayrı ayrı işlenir; WhatsApp izni diye kaydedilebilecek bir alan yoktur.

İzin kaynağı alanında ise sosyal medya dahil çeşitli kanallar tanımlı, ama bu "izin nereden geldi" bilgisidir, "hangi kanaldan mesaj gönderilecek" bilgisi değil. İYS'nin işleyişini ayrıntısıyla ele aldığımız İYS rehberinde kayıt, izin yükleme ve ret yönetimi adım adım anlatılıyor.

"İYS'de kaydı yok" ile "serbest" aynı şey değil

Bu, yazının en önemli cümlesi. İYS bir kapsam belirleme aracı değil, bir kayıt ve ispat altyapısıdır. Kapsamı 6563 sayılı Kanun ve Yönetmelik belirler. İYS'nin bir kanal için alan açmamış olması, o kanalın kanun kapsamı dışında olduğu anlamına gelmez; sadece o kanal için merkezî bir izin kaydı tutamayacağınız anlamına gelir.

Bunun pratikteki sonucu ters yönde çalışıyor. Yönetmelik m.7/10'a göre İYS üzerinden alınmayan onaylarda ispat yükümlülüğü tamamen hizmet sağlayıcıdadır. SMS gönderirken izninizi İYS'ye yükleyip "sistemde kayıtlı" diyebilirsiniz. WhatsApp'ta bunu yapamazsınız. Yani WhatsApp, ispat açısından SMS'ten daha kolay değil, daha zor. Elinizde merkezî bir kayıt olmadığı için izni kendi kayıtlarınızla ispat etmek zorundasınız.

Aracı hizmet sağlayıcı zinciri

Yönetmelik'in 11. maddesi, gönderimi sizin adınıza yapan aracı hizmet sağlayıcılara da yükümlülük yüklüyor. Altıncı fıkra: aracı hizmet sağlayıcı, İYS'ye kayıt olmayan hizmet sağlayıcılara ait ticari elektronik iletilerin gönderimini başlatmaz. Yedinci fıkra: gönderime başlamadan önce İYS üzerinden alıcıların onayının olup olmadığını kontrol eder ve onayı bulunmayanlara gönderimi başlatmaz.

Bu maddenin WhatsApp bağlamındaki anlamı şu: SMS gönderirken operatörünüz sizi bir kontrol katmanından geçiriyor. WhatsApp'ta böyle bir zorunlu kontrol yok, çünkü İYS entegrasyonu kurulu değil. Yine ters yönde çalışan bir "kolaylık": kimse sizi durdurmadığı için hatayı fark etmeden yapıyorsunuz.

KVKK katmanı: ETK onayı sizi buradan kurtarmıyor

Telefon numarası kişisel veridir. Bir numaraya reklam mesajı göndermek, o numarayı işlemek demektir ve işlemenin 6698 sayılı Kanun'un 5. maddesinde sayılan bir hukuki sebebe dayanması gerekir. Bu katman, kanalın adından bağımsız çalışır.

2018/119 sayılı ilke kararı

Kişisel Verileri Koruma Kurulu'nun 16 Ekim 2018 tarihli ve 2018/119 sayılı ilke kararı, ilgili kişilerin rızasını almadan veya Kanun'un 5. maddesinin ikinci fıkrasındaki işleme şartlarını sağlamadan telefon numaralarına SMS gönderen, arama yapan veya e-posta gönderen veri sorumlularının bu faaliyeti derhal durdurması gerektiğini hükme bağladı. Karar aynı zamanda hukuka aykırı elde edilen veriler bakımından savcılığa bildirim yapılacağını belirtiyor.

Kararda "WhatsApp" geçmiyor, çünkü 2018'de sorun bu değildi. Ama kararın mantığı kanal değil, veri işleme üzerine kurulu. Numarayı işliyorsanız hukuki sebep aranıyor.

2025/1072: doğrulama kodu üzerinden izin devşirme dönemi bitti

Bu, uyum tarafında son yılların en somut kararı. Kurul'un 10 Haziran 2025 tarihli ve 2025/1072 sayılı ilke kararı (Resmî Gazete: 26 Haziran 2025, sayı 32938), ürün veya hizmet sunumu sırasında gönderilen SMS doğrulama kodlarının aslında ticari elektronik ileti izni ya da açık rıza almak için kullanıldığını tespit etti ve bu uygulamaya son verilmesine karar verdi.

Kararın getirdiği somut kurallar şunlar: tek bir eylemle birden fazla farklı izin alınamaz; üyelik sözleşmesi, veri işleme izni ve ticari elektronik ileti onayı ayrı ayrı alınır; ticari ileti onayı ürün veya hizmet sunumunun zorunlu ön şartı hâline getirilemez; katmanlı aydınlatmanın gereği olarak ilk aşamada SMS'in amacı ve sonuçları açık ve anlaşılır biçimde aktarılır; kodun paylaşılmamasının hizmeti engellemeyeceği bilgisi verilir.

Bu kararın WhatsApp bağlamındaki karşılığı doğrudan: "WhatsApp'tan doğrulama kodu gönderelim, aynı ekranda kampanya iznini de alalım" tasarımı artık savunulamaz. İki izin, iki ayrı adım.

ETK onayı KVKK açık rızası yerine geçer mi

Kurul bu soruyu kesin olarak çözmüş değil. Gün + Partners'ın Kurul kararlarını derlediği incelemede de bu belirsizlik ortaya konuyor. Doktrindeki ağırlıklı görüş, ETK kapsamında usulüne uygun onay alındığında ayrıca açık rıza aranmayabileceği yönünde. Ancak bir nokta tartışmasız: aydınlatma yükümlülüğü, açık rıza gerekmeyen hâllerde de yerine getirilmek zorunda. Yani "onay aldım" demek aydınlatma metnini göstermemiş olmanızı mazur kılmaz.

2026 KVKK ceza bantları

KVKK cezaları da Vergi Usul Kanunu Genel Tebliği No. 585 (Resmî Gazete: 27 Kasım 2025, sayı 33090) ile belirlenen yüzde 25,49 yeniden değerleme oranıyla güncellendi. 2026 yılı için geçerli tutarlar şöyle:

İki tabloyu yan yana koyduğunuzda tablo netleşiyor: e-ticaret mevzuatının cezası ölçülü, KVKK'nınki ölçüsüz. İzinsiz toplu gönderimin gerçek maliyeti 143.090 TL değil, aynı fiilin KVKK tarafında doğurduğu aydınlatma ve veri güvenliği ihlalleriyle birlikte hesaplanan toplam. Müşteri verinizi yurt dışında barındırılan bir sistemde tutuyorsanız yurt dışına veri aktarımı kurallarına da bakmanız gerekir. 6698 sayılı Kanun'un 9. maddesinin beşinci fıkrası, standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilmesini zorunlu tutuyor ve Kurum bunun için ayrı bir bildirim modülü açtı. Bildirmemek, aktarımın kendisinden bağımsız bir kabahat.

Meta'nın kendi kural katmanı: kanundan tamamen bağımsız çalışır

Bu bölümü ayrı tutmamızın sebebi şu: Türk mevzuatına yüzde yüz uyumlu bir gönderim bile Meta tarafından engellenebilir, tersi de doğrudur. İki sistem birbirini tanımıyor. Ticaret Bakanlığı'ndan aldığınız hiçbir belge Meta'ya geçerli değil, Meta'nın onayladığı hiçbir şablon Bakanlık için mazeret değil.

Üç farklı WhatsApp, üç farklı kural seti

Türkiye'de bu ayrımı bilmeden gönderim yapan çok sayıda işletme var ve hesap kapanmalarının büyük kısmı buradan çıkıyor.

WhatsApp Kullanım Koşulları, kabul edilebilir kullanım bölümünde "bulk messaging, auto-messaging, auto-dialing" gibi izinsiz iletişimleri açıkça yasaklıyor ve bu kurallara aykırı davranan hesapların devre dışı bırakılabileceğini, kullanıcının izinsiz yeni hesap açmamayı kabul ettiğini belirtiyor. Yani kişisel numaranızdan yaptığınız toplu gönderim, Türk mevzuatına uygun olsa bile Meta açısından ihlaldir.

Yayın listesi neden sandığınız gibi çalışmıyor

WhatsApp Business uygulamasındaki yayın listesi (broadcast list) uzun süredir liste başına 256 kişiyle sınırlı ve daha kritik bir kısıtı var: mesaj yalnızca sizin numaranızı rehberine kaydetmiş kişilere ulaşır. Kaydetmemiş olanlara mesaj sessizce ulaşmaz, hata bildirimi de almazsınız. Yani 500 kişilik listeye gönderdiğinizde kaç kişiye ulaştığını bilmezsiniz. Bu tür ürün sınırlarını Meta zaman zaman değiştiriyor; gönderim planı yapmadan önce güncel halini WhatsApp'ın yardım merkezinden teyit edin.

Bu, çoğu işletmenin farkında olmadığı bir ölçüm sorunu yaratıyor. "Gönderdim ama dönüş olmadı" dediğiniz kampanyanın büyük kısmı hiç teslim edilmemiş olabilir. Kanuni tarafta bu sizi kurtarmaz, çünkü ulaşan mesajlar için sorumluluk devam eder.

Meta'nın opt-in tanımı ayrı bir yükümlülüktür

WhatsApp Business Messaging Policy şunu söylüyor: bir kişiyle WhatsApp üzerinden iletişim kurabilmeniz için (a) size cep telefonu numarasını vermiş olması ve (b) sizden mesaj almak için izin vermiş olması gerekir. Meta'nın opt-in dokümantasyonu, iznin toplanabileceği kanalları (SMS, web sitesi, telefon, yüz yüze veya yazılı belge) ve izin alınırken belirtilmesi gerekenleri (işletmenin adı, kişinin ne için izin verdiği, uygulanabilir yerel yasalar) tanımlıyor. Politika metni ayrıca çıkış taleplerine uymayı zorunlu tutuyor: kişinin WhatsApp içinde ya da dışında yaptığı engelleme veya iletişimi durdurma taleplerinin tamamına uymanız ve o kişiyi kişi listenizden çıkarmanız isteniyor.

Dikkat edilecek nokta: Meta'nın istediği izin ile Yönetmelik m.7'nin istediği onay birebir aynı şey değil. Meta ad soyad istemiyor, Yönetmelik istiyor. Yönetmelik on iki punto şartı koyuyor, Meta koymuyor. İkisini birden karşılayan tek bir onay metni yazmak mümkün, ama biri diğerinin yerine geçmez.

Hesap kapanmasının teknik nedenleri, kalite derecesi ve numara kısıtlamalarının nasıl işlediği ayrı bir konu; bunları WhatsApp hesap kapanma riskini ele aldığımız yazıda ayrıntısıyla anlatıyoruz.

Resmî API'ye erişmek için aracı şart değil

Türkiye'deki bazı hizmet sağlayıcılar hâlâ "WhatsApp API'sine doğrudan erişilemez, bir iş ortağı üzerinden gitmek zorunludur" diyor. Bu bilgi Cloud API'nin çıkışından sonra eskidi. Meta'nın Cloud API dokümantasyonu, işletmelerin kendi WhatsApp Business hesaplarıyla doğrudan entegrasyon kurabildiğini gösteriyor. Aracı kullanmak bir tercih olabilir (fatura, destek, hazır arayüz), ama zorunluluk değil.

Karar ağacı: on bir gerçek senaryo

Buraya kadar olan kısım kuralları anlattı. Bu bölüm, kuralları sizin göndermek istediğiniz mesaja uyguluyor. Tablodaki "dayanak" sütunu Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik maddelerine atıf yapıyor.

Neden "mevcut müşteri" tek başına yeterli değil

En yaygın yanılgı bu. "Bizden alışveriş yaptı, artık müşterimiz, mesaj atabilirim" mantığı Yönetmelik'te karşılık bulmuyor. m.6/1 istisnası yalnızca "temin edilen mal veya hizmetlere ilişkin değişiklik, kullanım ve bakıma yönelik" iletiler için geçerli. Yani sattığınız cihazın yazılım güncellemesini bildirebilirsiniz, ama yeni çıkan modeli tanıtamazsınız. m.6/2 istisnası da işlem bildirimleri için ve son cümlesi mal veya hizmet özendirmeyi açıkça yasaklıyor.

Müşteri ilişkisi, ticari ileti onayının yerine geçmiyor. Onay ayrı alınır.

Satın alınmış liste: burada gri alan yok

Türkiye'de "50 bin numara, sektöre göre filtreli" diye satılan listeler dolaşıyor. Bu listeye gönderim yapmak tek bir ihlal değil, en az dört ihlal doğurur. Ticari ileti onayı yok (m.5/1 ve m.5/3). Numaranın işlenmesi için hukuki sebep yok (KVKK m.5, 2018/119 sayılı ilke kararı). Aydınlatma yapılmamış (KVKK m.10). Ve gönderim tek seferde çok kişiye yapıldığı için 6563 m.12/2 devreye girer.

Buna bir de "listeyi kimden aldınız" sorusu ekleniyor. Kaynağı belirsiz kişisel veri bulundurmak, veri güvenliği yükümlülüğü açısından ayrı bir başlık ve o bandın üst sınırı 17.092.242 TL. Satın alınmış listeyle yapılan kampanyanın hesaplanabilir bir getirisi yok, hesaplanabilir bir riski var.

Fuar kartviziti: sanıldığından ince bir çizgi

Fuarda kartvizit vermek, m.6/1 anlamında "kendisiyle iletişime geçilmesi amacıyla iletişim bilgisi verme" sayılabilir. Ama bu istisna yalnızca temin edilen mal veya hizmete ilişkin iletileri kapsıyor. Fuarda henüz bir temin ilişkisi yok, dolayısıyla tanıtım mesajı bu istisnaya sığmaz.

Karşınızdaki kişi tacir veya esnaf ise m.6/3 devreye girer ve önceden onay aranmaz. Ama m.6/6 uyarınca gönderim öncesinde adresi İYS'ye kaydetmeniz ve ret kontrolü yapmanız gerekir. Kartvizit bireysel bir tüketiciye aitse istisna yok, onay alınmalı.

Uygulanabilir yol şu: fuarda kartvizit alırken aynı anda kısa bir onay kaydı oluşturun. Standın masasında bir tablet, üç alanlı bir form ve "ticari elektronik ileti" başlıklı ayrı bir onay kutusu yeterli. Kutuyu önceden işaretlemeyin (m.7/8).

Tacire soğuk teklif: istisna var, muafiyet yok

B2B satış yapan ekiplerin sık kullandığı yol. Kanun m.6/2 ve Yönetmelik m.6/3 gerçekten de esnaf ve tacirlere önceden onay alınmaksızın gönderim yapılabileceğini söylüyor. Ama üç kısıt var. Birincisi, karşınızdakinin gerçekten tacir veya esnaf olduğunu ispat etmek zorundasınız. İkincisi, m.6/6 uyarınca adresi İYS'ye kaydetmek ve ret kontrolü yapmak zorunlu. Üçüncüsü, ret hakkı tacir ve esnaf için de geçerli; ret geldiyse artık gönderemezsiniz.

Ayrıca bu, mesajın gittiği numaranın bir çalışanın kişisel hattı olması durumunda karmaşıklaşır. Şirketin santral numarası ile satın alma müdürünün cep telefonu aynı hukuki muameleyi görmez.

Sepette bırakma hatırlatması: en tartışmalı senaryo

Bu senaryoyu ayrıca ele almamızın sebebi, e-ticaret tarafında en çok sorulan soru olması ve cevabının gerçekten iletinin tek bir cümlesine bağlı olması.

Çizgi tam olarak nerede

Yönetmelik m.6/2, "satın alma" durumuna ilişkin bildirimleri onay dışında bırakıyor. Sepette ürün bırakmak bir satın alma değil, satın almaya giden bir adım. Dolayısıyla bu istisnaya yaslanmak baştan zorlama bir yorum. Buna karşılık, alıcı sepeti oluştururken iletişim bilgisini zaten size vermiştir ve mesajın konusu onun kendi başlattığı işlemdir.

Uygulamada üç farklı mesaj var ve üçü farklı yerde duruyor:

• "Sepetinizde ürün bulunuyor, işleminizi tamamlamak ister misiniz?" Kullanıcının kendi başlattığı işleme ilişkin bir hatırlatma. Tanıtım yok, özendirme yok. Savunulabilir, ama m.6/2'nin lafzına tam oturmuyor.
• "Sepetinizdeki ürün son 3 adet, stoklar tükeniyor." Aciliyet yaratma unsuru içeriyor, pazarlama diline kayıyor. Risk artıyor.
• "Sepetinizi bugün tamamlarsanız yüzde 15 indirim." m.6/2'nin son cümlesindeki "mal veya hizmet özendirilemez" yasağına doğrudan giriyor. Ticari elektronik ileti, onay şart.

Pratik tavsiye

Sepette bırakma hatırlatmasını bir istisnaya yaslamak yerine, kayıt anında onay alarak çözün. Alışveriş akışında zaten form dolduruluyor, ödeme bilgisi giriliyor. Ayrı bir "ticari elektronik ileti" onay kutusu eklemenin maliyeti sıfır, hukuki değeri yüksek. m.7/9 uyarınca bu kutuyu satın almanın ön şartı yapamayacağınızı, m.7/8 uyarınca da önceden işaretli bırakamayacağınızı unutmayın.

İzni doğru toplamak: metin, form ve kayıt

İzin toplama, çoğu işletmenin "bir kutu koyarız olur" diye geçtiği ama denetimde ilk sorulan şey. Yönetmelik m.7 burada oldukça ayrıntılı.

Onay metninde bulunması gerekenler

Geçerli bir onay için gereken asgari unsurlar şunlar: alıcının ticari elektronik ileti gönderilmesini kabul ettiğine dair olumlu irade beyanı, adı ve soyadı, elektronik iletişim adresi. Sözleşme içine gömülen onaylarda ayrıca sözleşmenin sonunda, olumlu irade beyanından veya imzadan önce, "ticari elektronik ileti" kenar başlığı altında ve en az on iki punto ile yazılmış olması gerekiyor.

Örnek bir onay metni şöyle kurulabilir:

Ticari elektronik ileti: [Şirket unvanı] tarafından kampanya, tanıtım ve bilgilendirme amaçlı ticari elektronik iletilerin WhatsApp, kısa mesaj ve elektronik posta yoluyla tarafıma gönderilmesini kabul ediyorum. Bu onayı istediğim zaman, hiçbir gerekçe göstermeksizin geri alabilirim.

Kanalları metinde saymanız önemli. "Her türlü elektronik ortamdan" gibi belirsiz ifadeler, onayın kapsamını tartışmalı hâle getirir. WhatsApp'tan göndereceksiniz, metinde WhatsApp yazsın.

Onayla birlikte ne kaydedilmeli

Denetimde "izin vardı" demek yetmiyor, ne zaman ve nasıl verildiğini göstermek gerekiyor. Kayıt altına alınması gereken alanlar:

1. Onay tarihi ve saati (saniye hassasiyetinde)
2. Onayın alındığı kanal (web formu, mağaza içi tablet, çağrı merkezi, fiziksel form)
3. Onay anında gösterilen metnin tam hâli veya sürüm numarası
4. Elektronik ortamda alındıysa IP adresi ve oturum bilgisi
5. Alıcının adı, soyadı ve elektronik iletişim adresi
6. Fiziksel ortamda alındıysa imzalı belgenin taranmış kopyası
7. m.7/3 uyarınca 24 saat içinde gönderilen onay teyidinin kaydı
8. İYS'ye yükleme tarihi ve İYS'den dönen işlem kimliği

Üçüncü madde çoğu sistemde eksik. Onay metnini zamanla değiştiriyorsanız, hangi kullanıcının hangi sürümü onayladığını bilmiyorsanız ispat zinciriniz kopar. Metnin sürümlenmesi teknik olarak basit, sonradan eklenmesi çok zor.

Onayı nerede saklamalı

Onay kaydı, mesaj gönderen sistemin içinde durmalı. Ayrı bir Excel dosyasında tutulan izin listesi ile gönderim yapan araç arasındaki her manuel adım, ihlal riskini artırır. Müşteri kaydının ve izin geçmişinin aynı yerde durması, ret geldiğinde tek bir işlemle bütün kanalların kapanmasını sağlar. Bu, tek bir kişi kaydında bütün kanal geçmişini toplayan bir CRM'in uyum açısından en somut faydası.

Ret nasıl işlenir: üç iş günü zincirinin operasyonel karşılığı

Ret yönetimi, ceza tablosunda ayrı ve daha yüksek bir banda düşüyor (12/1-c: 5.723 - 42.930 TL). Buna rağmen uygulamada en gevşek bırakılan alan.

Ret sinyali sadece "çık" yazmak değildir

Yönetmelik m.9/1 alıcının "istediğinde hiçbir gerekçe göstermeksizin" reddedebileceğini söylüyor. Belirli bir kelime şartı yok. WhatsApp bağlamında ret sinyali sayılabilecek davranışlar:

• "Çık", "iptal", "istemiyorum", "beni listeden çıkarın" gibi açık ifadeler
• "Bir daha yazmayın", "rahatsız etmeyin" gibi dolaylı ama net ifadeler
• WhatsApp üzerinden numaranızı engellemesi
• WhatsApp'ta mesajı spam olarak bildirmesi
• Başka bir kanaldan (e-posta, telefon, mağaza) yapılan ret bildirimi

Son madde önemli. Müşteri telefonla arayıp "artık mesaj istemiyorum" derse, bu ret bildirimi geçerlidir ve üç iş günü süresi o an başlar. Çağrı merkezine gelen ret, mesaj sistemine düşmüyorsa uyum zinciri orada kopuyor.

Kara liste tek olmalı

Ret bildirimi, m.9/1'e göre "bildirimin yapıldığı iletişim kanalına ilişkin onayı geçersiz kılar". Metnin lafzı kanal bazlı, ama uygulamada kanal bazlı kara liste tutmak hem teknik olarak kırılgan hem itibar açısından zararlı. WhatsApp'tan çıkan müşteriye ertesi gün SMS atmak, hukuken savunulabilir olsa bile şikayet doğurur ve şikayet dosya açtırır.

Doğru yapı: tek bir "iletişime geçilmeyecekler" listesi, bütün kanalların gönderim öncesinde sorguladığı tek kaynak. Listeye giren numara, sistem düzeyinde her kanaldan çıkarılır. Bir kişinin bütün kanal geçmişini tek kayıtta tutan bir yapı bunu otomatik hâle getirir. Ret kaydını sohbet ekranında bırakmak yerine kişi kaydının kendisine yazmak, aradaki insan adımını ortadan kaldırır.

Ret sonrası hangi mesajlar hâlâ gönderilebilir

Yönetmelik m.9/5 burada nefes aldırıyor: reddetme hakkının kullanılmış olması, hizmet sağlayıcının tabi olduğu ilgili mevzuat hükümlerine göre alıcıya gönderilmesi zorunlu bildirimlerin yapılmasına engel değil. Yani müşteri ticari iletiyi reddetmiş olsa bile sipariş teyidi, kargo bildirimi, fatura ve yasal bildirim gönderilebilir. Ret, pazarlamayı durdurur, işi durdurmaz.

Ama m.6/2'nin son cümlesi burada da geçerli: bu bildirimlerin içine kampanya sıkıştıramazsınız. Ret vermiş bir müşteriye giden kargo bildiriminin altındaki "yeni ürünlerimize göz atın" satırı, tek başına ihlaldir.

Denetimde neyi ispat edersiniz: on beş günlük dosya

Şikayet geldiğinde ticaret il müdürlüğü sizden bilgi ve belge ister. Yönetmelik m.15/3'e göre bu belgeleri tebliğden itibaren on beş gün içinde teslim etmek zorundasınız; süre bir defaya mahsus en fazla on beş gün uzatılabilir. Vermezseniz karar şikayetçinin belgeleri üzerinden verilir. Belge vermemenin ayrıca kendi cezası var: Kanun m.11/3'e aykırılık, 2026'da 143.102 TL ile 715.516 TL arası.

Dosyada bulunması gerekenler

1. Şikayete konu numaraya ait onay kaydı: tarih, saat, kanal, metin sürümü
2. Onay elektronik ortamda alındıysa IP ve oturum kaydı, fiziksel alındıysa imzalı belge
3. Onay teyidinin 24 saat içinde gönderildiğini gösteren kayıt (m.7/3)
4. İYS yükleme kaydı ve tarihi, üç iş günü şartının sağlandığını gösterecek biçimde (m.7/11)
5. Şikayete konu iletinin tam metni ve gönderim zaman damgası
6. İletide MERSİS numarası, unvan ve ret imkânının bulunduğunu gösteren örnek
7. Varsa ret bildirimi ve ret sonrası gönderim yapılmadığını gösteren kayıt
8. Aracı hizmet sağlayıcı kullanıyorsanız onunla aranızdaki sözleşme ve gönderim logları

Ekran görüntüsü yeterli değil

Sık yapılan hata: ret talebinin geldiği WhatsApp sohbetinin ekran görüntüsünü almak ve dosyaya koymak. Ekran görüntüsü bir kayıt değil, bir resimdir. Zaman damgası taşımaz, değiştirilebilir, sistemsel olarak doğrulanamaz. İspat yükü sizde olduğuna göre (m.13/1), sunacağınız şeyin kendi sisteminizde üretilmiş, zaman damgalı ve değiştirilmemiş bir kayıt olması gerekir.

Bunu sonradan kurmak çok zor. Gönderim yapan sistem, her mesaj için kime, ne zaman, hangi şablonla, hangi onaya dayanarak gönderildiğini kaydediyorsa dosya kendiliğinden hazır olur. Kaydetmiyorsa on beş gün içinde geriye dönük üretemezsiniz.

Uygulanabilir iş akışı: sıfırdan kurmak

Buraya kadarki her şeyi tek bir sıraya dizelim. Bu akış, mevcut bir WhatsApp gönderim operasyonunu uyumlu hâle getirmek için de, sıfırdan kurmak için de aynı.

1. İYS kaydınızı yapın. Yönetmelik m.5/2 bunu ticari elektronik ileti göndermek isteyen herkes için zorunlu tutuyor. WhatsApp için izin tipi olmasa da hizmet sağlayıcı kaydınız gerekli.
2. Mevcut listenizi kaynağa göre ayırın. Her numaranın yanına nereden geldiğini yazın: satın alma, web formu, mağaza, fuar, satın alınmış liste, bilinmiyor. Son iki kategoriyi kullanmayın.
3. Onay metninizi yazın. m.7/1'deki asgari unsurları, göndereceğiniz kanalları ve ret hakkını içersin. Metni sürümleyin.
4. Toplama noktalarını düzeltin. Ön işaretli kutuları kaldırın (m.7/8). Onayı satın almanın ön şartı olmaktan çıkarın (m.7/9). Sözleşme içindeyse on iki punto ve kenar başlığı şartını uygulayın (m.7/5).
5. Onay teyidi otomasyonunu kurun. Elektronik ortamda alınan her onay için 24 saat içinde, ret imkânı da tanıyan bir teyit gönderin (m.7/3).
6. Üç iş günü içinde İYS'ye yükleyin. Kaydedilmeyen onay geçersizdir (m.7/12). Manuel yükleme unutulur, otomatik kurun.
7. İleti şablonlarınıza zorunlu alanları ekleyin. MERSİS numarası veya vergi kimlik numarası, unvan, iletişim bilgisi, nitelik ibaresi ve ret yolu. Bu alanları şablon içine gömün ki her gönderimde otomatik gelsin.
8. Tek bir kara liste kurun. Bütün kanallar gönderim öncesi bu listeyi sorgulasın. Ret geldiğinde üç iş günü içinde hem gönderimi durdurun hem İYS'ye bildirin (m.9/6, m.10).
9. Kayıt tutun. Onay, gönderim ve ret kayıtlarını üç yıl saklayın (m.13/2).
10. Meta katmanını ayrıca sağlayın. Kişisel numaradan toplu gönderim yapmayın, resmî yol kullanın, Meta'nın opt-in kayıtlarını da tutun.

Bu on adımın sekizi teknik olarak otomatikleştirilebilir. Onay teyidi, İYS yüklemesi, kara liste sorgusu, şablon alanları ve kayıt tutma insan hafızasına bırakılırsa er ya da geç kaçar. Toplu gönderim kuyruğunun tam da bu kontrolleri gönderim öncesinde çalıştıracak biçimde kurulması, uyumun operasyonel karşılığıdır. CRM Solid'de gönderim kuyruğu her mesajı yola çıkarmadan önce iletişime geçilmeyecekler listesini kontrol eder ve hesap başına saatlik gönderim tavanı uygular; şablonlara gömdüğünüz zorunlu alanlar her gönderimde otomatik gelir.

Sık yapılan altı hata

Aşağıdakiler, yukarıdaki maddelerin uygulamadaki en yaygın karşılıkları. Hiçbiri kötü niyetten kaynaklanmıyor, hepsi bilgi eksikliğinden.

Onay istemek için mesaj atmak

"Size kampanyalarımızı göndermemizi ister misiniz? Evet için 1 yazın." Bu mesajın kendisi ihlaldir. Yönetmelik m.7/4: "Alıcının elektronik iletişim adresine ticari elektronik ileti gönderilerek onay talebinde bulunulamaz." Onay, mesaj dışındaki bir kanaldan alınır.

Bayram kutlamasını masum saymak

m.5/1 "kutlama ve temenni gibi içeriklerle tanınırlığını artırmak" amacını açıkça sayıyor. İçinde satış olmayan bir bayram mesajı da ticari elektronik iletidir. Türkiye'de yılda birkaç kez, binlerce işletme aynı anda bu ihlali yapıyor.

İşlem bildiriminin altına kampanya iliştirmek

m.6/2'nin son cümlesi net: bu tür bildirimlerde herhangi bir mal veya hizmet özendirilemez veya tanıtımı yapılamaz. Kargo bildiriminin sonuna eklenen tek satırlık indirim duyurusu, iletinin tamamını onay gerektiren bir ticari iletiye dönüştürür.

Ret talebini sohbette bırakmak

Müşteri "beni çıkarın" yazdı, temsilci "tamam" dedi, sohbet kapandı. Kayıt yok, kara listeye giriş yok, İYS bildirimi yok. Üç iş günü sonra bir sonraki kampanya yine gidiyor. Bu, 12/1-c bandına düşen bir ihlal.

Kişisel numaradan gönderim yapmak

Türk mevzuatı hangi numaradan gönderdiğinizle ilgilenmiyor, Meta ilgileniyor. Kişisel hesaptan toplu gönderim WhatsApp Kullanım Koşulları'nda açıkça yasak. Numara kapandığında müşteri geçmişiniz de kapanıyor ve geri getirilemiyor.

"Şikayet gelmedi, demek ki sorun yok" varsayımı

Şikayet süresi üç ay (m.14/3). Bugün gönderdiğiniz mesaj için üç ay boyunca şikayet gelebilir. Ayrıca tek bir şikayet, il müdürlüğünün bütün gönderim kayıtlarınızı istemesine yol açabilir. Sessizlik uyum kanıtı değildir.

Türkiye bağlamı: neden bu konu burada daha kritik

Aynı soru başka bir ülkede sorulsa cevap benzer olurdu ama ağırlığı farklı olurdu. Türkiye'de WhatsApp, bir kanal değil, ana kanal.

Kanalın yaygınlığı riski büyütüyor

TÜİK'in 2026 Hanehalkı Bilişim Teknolojileri Kullanım Araştırması'na göre 16-74 yaş grubunda internet kullanım oranı yüzde 92,3 ve WhatsApp kullanım oranı yüzde 90,0. Karşılaştırma için: Instagram yüzde 71,1, YouTube yüzde 77,6. Yani Türkiye'de bir müşteriye ulaşmanın en yüksek olasılıklı yolu WhatsApp. Bu, kanalı hem cazip hem tehlikeli yapıyor: yanlış kurulmuş bir kampanya en geniş kitleye ulaşır.

Ticaret Bakanı Ömer Bolat'ın 12 Mayıs 2026'da açıkladığı verilere göre Türkiye'de 2025'te 634 bin işletme e-ticaret yaptı; aynı rakam 2024'te 600 bin, 2023'te 559 bindi. Üç yılda yaklaşık 75 bin işletme daha bu alana girdi ve bunların önemli bir kısmı müşteri iletişimini WhatsApp üzerinden yürütüyor. Çoğunda yazılı bir izin süreci yok, çünkü izin toplamayı gerektiren bir kanal kullandıklarının farkında değiller.

Altyapı tarafı hazır değil

TÜİK'in 2025 Girişimlerde Bilişim Teknolojileri Kullanım Araştırması'na göre 10 ve üzeri çalışanı olan girişimlerde CRM yazılımı kullanım oranı yüzde 12,0. Yani on işletmeden dokuzunda müşteri izinlerini kayıt altında tutacak bir sistem yok. İzin Excel'de, sohbetler telefonda, ret talepleri temsilcinin hafızasında. Bu tabloda uyum bir yazılım meselesi olmaktan çıkıp bir şans meselesine dönüşüyor. Türkiye'nin dijitalleşme tablosunu rakamlarla ele aldığımız veri yazısında bu kırılımlar ayrıntılı duruyor.

Şikayet kültürü güçlü

Şikayet mekanizması Türkiye'de aktif olarak kullanılıyor. TİSS üzerinden dokuz yılda 866 binden fazla şikayet yapılmış olması, tüketicinin bu yolu bildiğini gösteriyor. Üstelik başvuru e-Devlet üzerinden birkaç dakikada tamamlanıyor. "Kimse şikayet etmez" varsayımı Türkiye için geçerli değil.

Sık sorulan sorular

WhatsApp'tan toplu mesaj atmak suç mu?

Hayır, ceza hukuku anlamında suç değil. 6563 sayılı Kanun'a aykırılık bir kabahattir ve yaptırımı idari para cezasıdır. Ancak numaraların hukuka aykırı yollarla elde edilmesi durumunda KVKK'nın 2018/119 sayılı ilke kararı savcılığa bildirim yapılabileceğini belirtiyor ve Türk Ceza Kanunu'nun kişisel verilere ilişkin hükümleri ayrıca gündeme gelebilir.

İYS'de WhatsApp izni yoksa nasıl uyumlu olurum?

İYS'ye hizmet sağlayıcı olarak kaydolur, WhatsApp iznini kendi sisteminizde tam kayıtla saklarsınız. Aynı kişiden SMS veya e-posta izni de aldıysanız onları İYS'ye yüklersiniz. WhatsApp izni için merkezî bir kayıt olmaması, izni almanız gerekmediği anlamına gelmiyor; sadece ispatı tamamen size bıraktığı anlamına geliyor.

Müşterim bana ilk mesajı attıysa ona kampanya gönderebilir miyim?

Konuşmayı müşteri başlattıysa ona yanıt vermeniz ticari elektronik ileti değil, iki taraflı iletişimdir. Ama o konuşma bittikten sonra kendi inisiyatifinizle kampanya göndermeniz ayrı bir fiildir ve onay gerektirir. Meta tarafında da müşteri hizmeti penceresi ile şablon mesajı ayrımı bu mantıkla çalışır.

Ret talebini kaç günde işlemem gerekiyor?

Üç iş günü. Yönetmelik m.10, talebin size ulaşmasını müteakip üç iş günü içinde gönderimi durdurmanızı istiyor. m.9/6 ayrıca ret bildirimlerinin üç iş günü içinde İYS'ye bildirilmesini zorunlu tutuyor. İş günü tanımı Yönetmelik m.4'te yapılmış: ulusal bayram ile genel ve hafta sonu tatil günleri hariç diğer günler.

Şirketlere (B2B) mesaj atarken izin gerekiyor mu?

Tacir ve esnaf olan alıcılar için önceden onay zorunlu değil (Yönetmelik m.6/3). Ancak m.6/6 uyarınca gönderimden önce bu adresleri İYS'ye kaydetmeniz ve ret hakkını kullanıp kullanmadıklarını kontrol etmeniz zorunlu. Ret hakkı tacir ve esnaf için de geçerli. Ayrıntılar için B2B soğuk mesaj yazısına bakabilirsiniz.

Sipariş ve kargo bildirimi için izin gerekiyor mu?

Hayır. Yönetmelik m.6/2, satın alma ve teslimat bildirimlerini onay dışında bırakıyor. Ancak aynı fıkranın son cümlesi bu bildirimlerde mal veya hizmet özendirmeyi ve tanıtım yapmayı yasaklıyor. Bildirimin içine kampanya eklerseniz istisna düşer.

Ceza kesilirse ne kadar sürede ödemem gerekiyor?

Yönetmelik m.17/2'ye göre verilen idari para cezaları tebliğ tarihinden itibaren bir ay içinde ödenir. Cezayı vermeye yetkili merci, şirketinizin sicile kayıtlı merkezinin bulunduğu yerdeki ticaret il müdürüdür.

Yurt dışında barındırılan bir yazılım kullanmam sorun mu?

Kendi başına sorun değil, ama KVKK'nın yurt dışına aktarım kurallarına girer. 7499 sayılı Kanun ile değişen KVKK m.9, 1 Haziran 2024'te yürürlüğe girdi ve standart sözleşmeleri uygun güvence yöntemlerinden biri olarak tanımladı. Aynı maddenin beşinci fıkrası uyarınca standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilmesi zorunlu; bildirmemek 2026'da 90.308 TL ile 1.806.177 TL arası bir bandı doğuruyor. Bu bir izin süreci değil, bildirim süreci: sözleşmeyi imzalamak için Kurul'dan onay beklemezsiniz, ama imzaladıktan sonra bildirmezseniz ayrı bir ihlal doğar.

Otomatik yanıt veren bir yapay zekâ kurarsam kurallar değişir mi?

Hayır. Mesajı kimin yazdığı değil, ne amaçla gönderildiği önemli. Yapay zekânın ürettiği tanıtım mesajı da ticari elektronik iletidir ve aynı onay, içerik ve ret kurallarına tabidir. Gelen mesaja yanıt veren bir otomatik yanıt kurgusu ise konuşmayı müşteri başlattığı için farklı bir yerde durur.

Sonuç: soruyu doğru sorun

"WhatsApp'tan toplu mesaj göndermek yasal mı" sorusunun cevabı tek kelimeyle verilemez, çünkü soru eksik. Doğru soru şu: bu belirli mesajı, bu belirli kişiye, elimdeki bu izinle göndermek yasal mı?

Cevabı bulmak için üç şeye bakarsınız. Birincisi mesajın niteliği: tanıtım mı, işlem bildirimi mi, kutlama mı. İkincisi alıcının durumu: bireysel mi tacir mi, onay verdi mi, ret etti mi. Üçüncüsü elinizdeki kanıt: onayı ispat edebiliyor musunuz, ne zaman ve nasıl alındığını gösterebiliyor musunuz.

Bu üç sorunun cevabı elinizde yoksa gönderim yapmayın. Elinizde varsa, kanunun size kapattığı bir yol yok. Türkiye'de izinli WhatsApp iletişimi tamamen yasaldır ve büyük ihtimalle sahip olduğunuz en etkili kanaldır. Yasadışı olan, izni olmayan gönderimdir.

Bugün yapabileceğiniz en somut şey şu: mevcut listenizi açın ve her numaranın yanına nereden geldiğini yazın. Kaynağını yazamadığınız her numara, denetimde savunamayacağınız bir numaradır. O listeyi temizlemek, bir sonraki kampanyanızı ertelemekten çok daha ucuza gelir.

Kaynaklar ve daha ileri okuma için: Ticaret Bakanlığı'nın ticari elektronik iletiler sayfası, 2026 ceza tutarlarının derlendiği Erdem & Erdem bilgi notu ve KVKK'nın yurt dışına aktarım sayfası. Kanunun ve Yönetmeliğin güncel metinlerini her zaman mevzuat.gov.tr üzerinden doğrulayın; tutarlar her yıl ocak ayında değişiyor.