Çerez, pazarlama izni ve yurt dışına aktarım: Amazon Turkey kararı (2020/173)

Karar 2020/173 · 27 Şubat 2020 · KOBİ özeti: Muhammet Çay · Yayın 2026-09-02

Kısa cevap: Kurul, üyelik açılırken pazarlama izninin varsayılan olarak alınmasını (opt-out), çerezler için giriş anında aydınlatma yapılmamasını ve yurt dışına aktarımın hizmet koşuluna bağlanmasını hukuka aykırı buldu. Veri güvenliği ihlali için 1.100.000 TL, aydınlatma eksikliği için 100.000 TL; toplam 1.200.000 TL idari para cezası ve Gizlilik Bildirimi, Kullanım Şartları ile Çerez Bildirimi'nin Kanun'a uygun hâle getirilmesi talimatı.

Uyarı: Bu sayfa, Kişisel Verileri Koruma Kurulu'nun kamuya açık karar özetinin işletme diliyle yeniden anlatımıdır; hukuki görüş veya danışmanlık değildir. Kararın resmî metni için kvkk.gov.tr kaynağına gidin; kendi durumunuz için bir hukukçuya danışın.

Olay

Bir kullanıcı üç konuda şikâyette bulundu. Birincisi: siteye girildiği anda çerezler üzerinden kişisel veri işlenmeye başlıyor, ancak bu aşamada aydınlatma yapılmıyor ve onay istenmiyordu. İkincisi: üyelik oluşturulurken pazarlama e-postaları ve SMS'ler için açık rıza alınmıyor, sistem 'istemiyorsan kapat' (opt-out) mantığıyla çalışıyordu; kullanıcının adres defterindeki kişilerin e-postaları da o kişilerin rızası olmadan işleniyordu.

Üçüncüsü: Gizlilik Bildirimi'nde verilerin Avrupa'dan ABD'ye aktarıldığı yazıyor, fakat bu aktarım için ayrı bir açık rıza alınmıyor, hizmeti kullanmak aktarımı kabul etmek anlamına geliyordu. Yeterli korumaya sahip ülke listesi veya Kurul onaylı taahhütname de bulunmuyordu.

Kurul ne dedi?

Kurul, pazarlama iletişimi için rızanın 'varsayılan açık' olamayacağını netleştirdi: rıza, ilgili kişinin aktif bir hareketiyle (opt-in) verilmelidir. Hizmeti kullanmanın rızaya bağlanması ise Kanun'un 4/2-a maddesindeki dürüstlük kuralına aykırı bulundu; hizmet şartı olarak alınan rıza özgür iradeyle verilmiş sayılmaz.

Çerezler yönünden Kurul, veri işlemenin site açıldığı anda başladığını, dolayısıyla aydınlatmanın da o anda yapılması gerektiğini belirtti (m. 10). Yurt dışına aktarımda ise m. 9'un aradığı şartlardan hiçbiri sağlanmadığı için aktarım hukuka aykırıydı; üçüncü kişilerle paylaşım için de m. 8 kapsamında rıza alınmamıştı.

Sonuç: veri güvenliği yükümlülüğünün ihlali nedeniyle 18/1-b uyarınca 1.100.000 TL, aydınlatma yükümlülüğünün ihlali nedeniyle 18/1-a uyarınca 100.000 TL idari para cezası. Ayrıca süreçlerin, Gizlilik Bildirimi'nin, Kullanım Şartları'nın ve Çerez Bildirimi'nin Kanun'a uygun hâle getirilip Kurul'a bilgi verilmesi talimatı.

Dayanak

• KVKK m. 4/2-a — Hukuka ve dürüstlük kuralına uygunluk — rızanın hizmet şartına bağlanması.
• KVKK m. 5/1 — Pazarlama iletişimi için usulüne uygun açık rıza alınmaması.
• KVKK m. 8 ve m. 9 — Üçüncü kişilere ve yurt dışına aktarımın şartları.
• KVKK m. 10 — Çerezler için site girişinde aydınlatma yapılmaması.
• KVKK m. 12/1, m. 18/1-a ve 18/1-b — Veri güvenliği ve aydınlatma cezalarının dayanağı.

KOBİ için üç ders

1. Pazarlama kutusu boş gelsin

   Üyelik, teklif ve iletişim formlarında SMS/e-posta izni işaretlenmemiş gelmeli, ayrı bir kutu olmalı ve hizmet bu izne bağlanmamalı. 'Devam ederek kabul edersiniz' cümlesi rıza değildir.

2. Çerez aydınlatması ilk saniyede

   Analitik ve reklam çerezleri onaydan önce çalışmamalı; çerez politikası bağlantısı bannerda görünür olmalı. Ayrıntı için çerez politikası yazımıza bakın.

3. Yurt dışına giden her aracı listelensin

   E-posta servisi, bulut depolama, analitik, CRM… Yurt dışında barındırılan her araç m. 9 kapsamında bir aktarımdır. Envanterinizde 'aktarım' sütununu boş bırakmayın; aktarım dayanağını yazın.

Bu kararla ilgili belge ve araçlar

• KVKK çerez politikası nasıl hazırlanır
• KVKK onayı (açık rıza) nedir, nasıl alınır
• E-ticaret için veri envanteri — yurt dışı aktarım sütunu
• KVKK uyum rehberi: adım adım

Sık sorulan sorular