E-posta adresiniz kişisel veri mi? KVKK açısından bilmeniz gerekenler

Bu yazı hukuki tavsiye değildir. Avukat değiliz; bir geçici e-posta servisi işletiyoruz ve her gün e-posta adreslerinin nereye gittiğini, kimin elinde kaldığını düşünen bir ekibiz. Aşağıda KVKK'nın e-posta adresiyle ilgili kısmını, sıradan bir kullanıcının işine yarayacak kadar sade anlatmaya çalıştık. Somut bir uyuşmazlığınız varsa bir hukukçuya ya da doğrudan Kişisel Verileri Koruma Kurumu'nun sitesine başvurmanız en doğrusu.

E-posta adresi neden kişisel veri sayılıyor?

KVKK'nın mantığı basit. Bir bilgi tek başına ya da başka bilgilerle birleştirildiğinde sizi tanımlamaya yarıyorsa, o bilgi kişisel veridir. ahmet.yilmaz@... gibi bir adres zaten adınızı taşıyor. Ama adres "kediseverr1987@..." gibi takma bir şey olsa bile, o adresle açılmış hesaplar, sipariş kayıtları ve teslimat adresi bir araya geldiğinde size ulaşmak çoğu zaman zor değildir.

Üstelik e-posta adresi bugün pek çok sistemde kullanıcı adı yerine geçiyor. Yani adres, hem iletişim kanalınız hem de dijital kimliğinizin anahtarı. Kanunun onu korumaya değer bulması bu yüzden şaşırtıcı değil.

Kurumsal adresler de dahil mi?

Kişiye özel bir iş adresi (ad.soyad@sirket...) da belirli bir çalışana ait olduğu için genel kabul gören yaklaşım, onun da kişisel veri sayıldığıdır. "info@" ya da "destek@" gibi bir kişiye bağlı olmayan genel adresler ise farklı değerlendirilebilir. Sınırda kalan durumlar için yine uzman görüşü almak gerekir.

Bir site e-posta adresimi hangi şartlarla alabilir?

Burada sık yapılan bir yanlışı düzeltelim. KVKK, her veri işleme için açık rıza şartı koymaz. Kanunda açık rıza dışında başka işleme şartları da sayılmıştır. Örneğin bir sözleşmenin kurulması ya da ifası için gerekliyse (online alışverişte siparişinizin bilgisini göndermek gibi), şirket adresinizi bu amaçla işleyebilir. Bir hukuki yükümlülüğü yerine getirmek de bu şartlardan biridir.

Açık rıza ise; belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilen onay olarak tanımlanır. Pratikte şu anlama gelir:

• "Kampanyalardan haberdar olmak istiyorum" kutusu önceden işaretlenmiş gelmemeli.
• Hizmeti almak, pazarlama izni vermeye bağlanmamalı. Sipariş verebilmek için bülten onayını zorunlu tutmak tartışmalı bir uygulamadır.
• Onayın neye verildiği açıkça yazmalı; "her türlü amaçla" gibi muğlak ifadeler bu tanıma pek uymaz.

Ayrıca şirketin sizi aydınlatma yükümlülüğü vardır, yani verinizi kimin, hangi amaçla işlediğini, kime aktarabileceğini ve haklarınızı size bildirmesi gerekir. Kayıt formlarının altındaki "Aydınlatma Metni" bağlantısı bu yüzden var. Okuyan pek olmasa da, adresinizin nereye gideceğini en net orada görürsünüz.

Ticari elektronik ileti onayı ve İYS ne demek?

E-posta kutunuza gelen kampanya mailleri yalnızca KVKK ile değil, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ona bağlı düzenlemelerle de ilgilidir. Genel kurala göre bir işletme size reklam ya da tanıtım amaçlı e-posta, SMS veya arama yapmak istiyorsa, kural olarak önceden onayınızı almalıdır. Her iletide de kolayca reddetme (abonelikten çıkma) imkânı sunmalıdır.

İleti Yönetim Sistemi (İYS), bu onayların kayıt altına alındığı merkezi sistemdir. Vatandaş tarafında işin güzel yanı şu: İYS üzerinden ya da e-Devlet'teki ilgili hizmetten, hangi markaya hangi kanal için izin verdiğinizi görebilir ve izinlerinizi geri çekebilirsiniz. İstisnalar ve hangi işletmelerin kayıt yükümlülüğü olduğu gibi ayrıntılar düzenlemelerle belirlenir; burada onlara girmiyoruz.

İlgili kişi olarak hangi haklarınız var?

KVKK'da verisi işlenen kişiye "ilgili kişi" deniyor. Genel hatlarıyla şu haklara sahipsiniz:

• Verinizin işlenip işlenmediğini öğrenmek ve işlendiyse bilgi talep etmek,
• Hangi amaçla işlendiğini ve bu amaca uygun kullanılıp kullanılmadığını öğrenmek,
• Yurt içinde veya yurt dışında kimlere aktarıldığını bilmek,
• Eksik ya da yanlış işlenmişse düzeltilmesini istemek,
• Kanundaki şartlar çerçevesinde silinmesini veya yok edilmesini istemek,
• Kanuna aykırı işleme nedeniyle zarara uğradıysanız zararın giderilmesini talep etmek.

Bir şirketten adresimi silmesini nasıl isterim?

1. Şirketin aydınlatma metnini ya da gizlilik politikasını açın; başvuru yöntemleri genelde orada yazar.
2. Başvurunuzu yazılı olarak veya şirketin belirttiği kanaldan yapın. Kimliğinizi doğrulayabilmeleri için hesabın bağlı olduğu e-posta adresini belirtin.
3. Ne istediğinizi net yazın: "Bu adrese ait verilerin silinmesini ve pazarlama listelerinizden çıkarılmamı talep ediyorum." gibi.
4. Kanun, veri sorumlusunun başvuruyu en geç otuz gün içinde sonuçlandırmasını öngörür. Cevap gelmezse veya cevap yetersizse Kurul'a şikâyet yolu vardır.

Peki geçici mailin bununla ne ilgisi var?

KVKK'nın temel ilkelerinden biri, verinin işleme amacıyla bağlantılı, sınırlı ve ölçülü olmasıdır. Buna genelde veri minimizasyonu denir. Bu ilke şirketlere yönelik; ama aynı mantığı kullanıcı olarak kendimize de uygulayabiliriz, yani bir sitenin gerçekten ihtiyaç duymadığı veriyi ona hiç vermemek.

Şöyle düşünün. Bir PDF'i indirmek için bir sitede form dolduruyorsunuz. Site adresinizi istiyor, çünkü dosyayı oraya gönderecek. Bir daha o siteyle işiniz olmayacak. Kalıcı adresinizi verirseniz, o adres artık bir pazarlama listesinde ve o şirketin veri tabanında duruyor. Sonra silme talebi yazmak, İYS'den izin geri çekmek, abonelikten çıkmak sizin işiniz oluyor. Haklarınız var, evet; ama hakkı kullanmak da zaman ister.

Bu tür tek seferlik işlerde Geçici Mail ile oluşturduğunuz adres o işi görür ve kendiliğinden ortadan kalkar. Sitemizde üyelik yok, ad soyad ya da telefon istemiyoruz; sayfayı açtığınızda rastgele bir adres hazır oluyor. Gelen mailler 24 saat sonra otomatik siliniyor. Yani bizim tarafımızda da sizinle ilişkilendirilebilecek kalıcı bir kayıt biriktirmemeye çalışıyoruz. Nasıl çalıştığını merak ediyorsanız geçici mail nedir ve nasıl kullanılır yazımıza bakabilirsiniz.

Geçici mail ne zaman uygun değil?

Açık konuşalım, her yerde geçici adres kullanmak doğru değil. Bankanız, e-Devlet ile bağlantılı işlemler, faturalı hizmetler, iş başvurusu yaptığınız şirket ya da uzun süre kullanacağınız bir hesap kalıcı adresinizi hak eder. Çünkü şifre sıfırlama, fatura ve hukuki bildirimler o adrese gelecek. Geçici mail sadece mail alır, gönderemez ve adres birkaç saat sonra kullanım dışı kalır. Kurtarma anahtarınızla adrese geri dönebilirsiniz ama bu, onu ana hesabınız yapmak için iyi bir sebep değil. Güvenlik tarafını tek kullanımlık mail güvenli mi yazısında daha ayrıntılı ele aldık.

Sık sorulan sorular