KVKK Uyumluluğu ve Telekom: İşletmenizin Kişisel Veri Yükümlülükleri

Telefon numarası, çağrı kaydı, görüşme dökümü ve CRM notu belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilebildiğinde kişisel veridir. 6698 sayılı KVKK kapsamında bu verilerin toplanması, saklanması ve aktarılması için amaç, hukuki dayanak ve güvenlik önlemleri birlikte belirlenmelidir. Bu rehber işletmelerin iletişim altyapısında yapacağı kontrolleri açıklar. Son mevzuat kontrolü: 18 Eylül 2026.

Hangi Veriler Kapsamda?

• Müşteri ve aday telefon numaraları, arayan numara bilgisi (CLI).
• Çağrı ses kayıtları ve bunların metne dönüştürülmüş halleri.
• Görüşme notları, etiketler ve CRM üzerindeki müşteri kartı.
• SMS ve WhatsApp gönderim listeleri ile mesaj içerikleri.
• Çağrı detay kayıtları: kim, kimi, ne zaman, ne kadar süre aradı.

Çağrı Kaydında Aydınlatma

Çağrı kaydı akışında aydınlatma ile gerekiyorsa açık rıza ayrı değerlendirilir. IVR anonsu katmanlı aydınlatmanın başlangıcı olabilir; yalnız kayıt yapıldığını söylemek bütün yükümlülüğü karşılamaz. Veri sorumlusunun kimliği, amaç, aktarım, toplama yöntemi, hukuki sebep ve ilgili kişinin haklarına ilişkin bilgilere erişim sağlanmalıdır. İşleme şartı ve saklama süresi kaydın gerçek amacına göre belirlenir.

Saklama Süresi ve İmha

Saklama süresi ilgili mevzuatın öngördüğü veya işleme amacının gerektirdiği süreyle sınırlıdır. İşleme şartları ortadan kalktığında silme, yok etme veya anonimleştirme yükümlülüğü değerlendirilir. Saklama gerekçesini, süreyi ve imha yöntemini belgeleyin; sürenin daha önce yazılmamış olması imha yükümlülüğünü ortadan kaldırmaz.

Açık Rıza Nerede Gerekir?

KVKK’nın 5. maddesindeki diğer işleme şartlarından biri uygulanıyorsa açık rıza aranmayabilir. Her şartın kapsamı ve gerekliliği somut işlem için değerlendirilir. Rızaya dayanılan işlemlerde rıza belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmalı; alındığı ispatlanabilmelidir. İYS ticari ileti onayı ise farklı bir yükümlülüktür. Pazarlama iletileri, işlem bildirimleri ve tacir/esnaf istisnaları ayrı kontrol edilmelidir.

Numara Maskeleme ve Veri Minimizasyonu

Kurye ile müşteri veya danışman ile alıcı arasındaki görüşmelerde gerçek numaraların taraflara açılmasının gerekli olup olmadığını değerlendirin. Numara maskeleme, numaranın karşı tarafa gösterilmesini sınırlayarak veri minimizasyonunu destekleyebilir. Erişim kayıtları, saklama ve sağlayıcı tarafındaki veri işleme de ayrıca kontrol edilmelidir.

Verinin Nerede Durduğu

Yurt dışı aktarımında 1 Haziran 2024’te değişen KVKK madde 9 çerçevesi uygulanır. Yeterlilik kararı veya standart sözleşme gibi uygun güvenceler dahil ilgili aktarım yolunun şartları değerlendirilmelidir. Yalnız sunucunun konumuna bakmak yeterli değildir: uzaktan destek erişimleri, alt işleyenler, yedekler ve bağlı CRM/AI hizmetleri de veri akışına dahil edilmelidir.

İlgili Kişi Başvuruları

İlgili kişi, KVKK’nın 11. maddesindeki hakları için veri sorumlusuna başvurabilir. Talep, niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırılır. Çağrı, mesaj ve CRM kayıtlarının bulunabilir olması bu süreci destekler. Silme talebi geldiğinde devam eden işleme şartları değerlendirilir; pazarlama onayının geri alınması her kaydın koşulsuz silinmesi anlamına gelmez.

Veri İhlali Bildirimini Planlayın

Bildirim kapsamındaki bir ihlal öğrenildiğinde Kurula gecikmeksizin ve en geç 72 saat içinde bildirim yapılır. Etkilenen kişiler belirlendikten sonra onlara da makul olan en kısa sürede bildirilir. Olayı değerlendiren, bildiren ve teknik müdahaleyi yapan sorumluları önceden belirleyin; değerlendirme ve gecikme nedenlerini belgeleyin.

Pratik Kontrol Listesi

• Çağrı kaydı anonsu tüm hatlarda çalışıyor mu?
• Saklama süreleri yazılı mı, imha süreci işliyor mu?
• Kayıt dinleme yetkisi rol bazlı sınırlanmış mı?
• Pazarlama gönderimlerinde gerekli onay ve ret kontrolleri akışa gömülü mü?
• Sunucu, destek erişimi, yedekleme ve alt işleyenlerin veri konumları belirlendi mi?
• İlgili kişi başvurusunda bir numaraya ait tüm kayıtlar bulunabiliyor mu?