Aynı şirketin aynı anda gönderdiği aynı pazarlama e-postası, Ohio'daki bir okura ulaştığında yasal, Berlin ya da Toronto'daki bir okura ulaştığında yasa dışı olabilir. İletide hiçbir şeyin değişmesi gerekmez. Değişen, alıcının bulunduğu yer ve o kişinin önceden onay verip vermediğidir. ABD'deki bir mağaza, dürüst davrandığı ve kişiye vazgeçme imkânı tanıdığı sürece genellikle bir yabancıya önce sormadan e-posta atabilir; AB'de ve Kanada'da aynı ileti ise genellikle gönderilmeden önce onay gerektirir.
E-posta gizliliği yasalarının özü bu ayrımdır. Avrupa'nın GDPR ve ePrivacy kuralları ile Kanada'nın CASL'i önceden onay (opt-in) esasıyla çalışır; ABD'nin CAN-SPAM Yasası ise vazgeçme (opt-out) esasıyla. Bunların yanında, GDPR ve Kaliforniya'nın CCPA'sı gibi, şirketlerin sizin hakkınızda tuttuğu veriler üzerinde size haklar tanıyan genel gizlilik yasaları da vardır. Bu yazı genel bilgidir, hukuki tavsiye değildir. Yasalar değişir ve ülkeden ülkeye farklıdır; nasıl uygulanacakları da olaylara bağlıdır. Belirli bir durum için ilgili düzenleyici kurumun rehberine bakın ya da nitelikli bir avukata danışın.
Tek bir tanıtım e-postası, dört farklı sonuç
Çalışılmış bir örnek alalım. Teksas merkezli küçük bir çevrimiçi mağaza bir adres listesi satın alıyor ve listedeki herkese "Bu hafta sonu %20 indirim" e-postası gönderiyor. İletide dürüst bir konu satırı, bir posta adresi ve bir abonelikten çıkma bağlantısı var. Her yasanın mağazanın oradaki faaliyetine uygulandığı varsayımıyla, bunun farklı yerlerdeki alıcılar için kabaca nasıl sonuçlanacağı şöyle.
| Alıcının bulunduğu yer | Ana kural | Bu örnekte olası durum |
|---|---|---|
| Amerika Birleşik Devletleri | CAN-SPAM Yasası | Önceden onay gerekmez. İleti içerik ve vazgeçme kurallarına uyuyorsa yasaya uygun olabilir; ancak adreslerin toplanarak (harvesting) elde edilmesi ayrı sorunlar doğurur |
| Almanya (AB) | GDPR ile ulusal ePrivacy kuralları; Almanya'da Haksız Rekabet Yasası'nın (UWG) 7. maddesi | Genellikle önceden onay gerekir. Müşteri ilişkisi olmayan satın alınmış adresler, yumuşak opt-in istisnasını karşılamaz |
| Birleşik Krallık | UK GDPR ve PECR'in 22. düzenlemesi | Bireysel aboneler için genellikle önceden onay gerekir ya da mağazanın burada öne süremeyeceği bir yumuşak opt-in |
| Kanada | CASL | Açık ya da zımni onay gerekir. Satın alınmış bir liste normalde ikisini de sağlamaz ve mağaza onayı kanıtlayabilmelidir |
Bu aynı zamanda göndericinin kendi ülkesinin neden çok az şey belirlediğini gösterir. AB'deki müşterileri hedefleyen bir Teksas şirketi AB hukukuna tabi olabilir; CASL ise Kanada'daki bilgisayarlarda erişilen iletileri kapsar. Bir şirketin nerede sattığı ve alıcılarının nerede olduğu, ofisini nerede tuttuğundan çoğu zaman daha önemlidir.
Yasalara kuşbakışı
| Yasa | Nerede | Pazarlama modeli | Uygulayan kurum | Başlıca azami ceza |
|---|---|---|---|---|
| GDPR | AB ve AEA; ayrıca orada kişileri hedefleyen ya da izleyen, başka yerlerdeki kuruluşlar | Hukuki bir dayanak gerekir; ePrivacy kurallarıyla birlikte okunur | Ulusal veri koruma otoriteleri ve mahkemeler | 20 milyon avroya ya da dünya çapındaki yıllık cironun %4'üne kadar, hangisi yüksekse |
| ePrivacy Direktifi | AB, her üye devletin ulusal hukuku aracılığıyla | Bireyler için opt-in; mevcut müşteriler için yumuşak opt-in | Ülkeden ülkeye değişen ulusal düzenleyiciler | Ulusal hukukça belirlenir |
| UK GDPR ve PECR | Birleşik Krallık | Yumuşak opt-in'li opt-in, AB modeline yakın | Birleşik Krallık veri koruma düzenleyicisi | 17,5 milyon sterline ya da dünya çapındaki cironun %4'üne kadar, hangisi yüksekse |
| CAN-SPAM Yasası | Amerika Birleşik Devletleri | Opt-out | FTC, diğer federal kurumlar, eyalet başsavcıları, internet erişim sağlayıcıları | İhlal eden e-posta başına 50.000 dolardan fazla; her yıl enflasyona göre ayarlanır |
| CPRA ile değiştirilmiş haliyle CCPA | Kaliforniya sakinleri ve kapsama giren kâr amaçlı işletmeler | E-posta için onay kuralı yok; toplamayı, satışı ve paylaşımı düzenler | Kaliforniya Gizlilik Koruma Kurumu ve Başsavcı | İhlal başına para cezaları; kasıtlı ihlallerde ve reşit olmayanları ilgilendirenlerde daha yüksek |
| CASL | Kanada, yurt dışından gönderilip orada erişilen iletiler dahil | Göndermeden önce açık ya da zımni onay | CRTC, Rekabet Bürosu, Gizlilik Komiserliği Ofisi | İhlal başına kuruluşlar için 10 milyon Kanada dolarına, bireyler için 1 milyon Kanada dolarına kadar |
E-posta adresi kişisel veri midir?
GDPR'nin 4(1). maddesine göre kişisel veri, kimliği belirli ya da belirlenebilir bir gerçek kişiyle ilgili her türlü bilgidir. maria.lopez@example.com gibi bir adres açıkça bu tanıma girer. ml1987@example.com gibi daha belirsiz bir adres de genellikle girer, çünkü tek bir kişiye aittir ve onu belirlemek için başka bilgilerle ilişkilendirilebilir. info@company.example gibi paylaşılan bir adres, bir bireye bağlanamadığı sürece hiç kişisel veri olmayabilir.
E-posta, adresin kendisinden çok daha fazla kişisel veri taşır. İletinin içeriği ve ekleri var. Üstbilgilerdeki gönderen, alıcılar, saatler, konu satırları ve IP adresleri gibi üst veriler var. Bir iletiyi ne zaman açtığınız ve hangi bağlantılara tıkladığınız gibi etkileşim verileri var. Bir de ilgi alanı segmentleri ve bir sonraki alışverişinize dair tahminler gibi türetilmiş profiller var.
ABD terimleri farklıdır. CCPA, e-posta adresleri gibi tanımlayıcıları ve bir profil oluşturmak için yapılan çıkarımları kapsayacak biçimde geniş tanımlanan "kişisel bilgi"den söz eder. CAN-SPAM böyle bir kavram kullanmaz, çünkü genel bir gizlilik yasası hiç değildir. Ticari e-postanın nasıl gönderileceğini düzenler ve bir şirketin tuttuğu hiçbir şeyi görme ya da silme hakkı vermez.
Avrupa: birlikte çalışan iki yasa
Birçok yazı, önceden onaylı pazarlamayı bir GDPR kuralı olarak anlatır. Pazarlama e-postası için onay şartı aslında başka bir yasadan, ePrivacy Direktifi'nden (Direktif 2002/58/EC) gelir; GDPR ise geçerli onayın ne anlama geldiğini tanımlar ve verilere ne olacağını yönetir. Direktif her üye devlette ayrı ayrı uygulandığı için ayrıntılar AB genelinde farklılık gösterir. Örneğin Fransa ve Almanya'nın kendi ulusal hükümleri ve kendi düzenleyicilerinin görüşleri vardır.
ePrivacy Direktifi'nin 13. maddesi
13. madde temel çerçeveyi belirler. Bireylere gönderilen doğrudan pazarlama e-postası önceden onay gerektirir. Genellikle yumuşak opt-in denen dar bir istisna, adresinizi bir ürün ya da hizmet satışı bağlamında almış bir şirketin kendi benzer ürün veya hizmetlerini pazarlamasına izin verir; şu şartla ki bilgileriniz toplanırken ve sonraki her iletide itiraz etmek için açık ve kolay bir fırsatınız olsun. Göndericiler kimliklerini gizleyemez ve vazgeçmek için geçerli bir adres vermek zorundadır.
Şirketlere e-posta gönderme kuralları değişir. 13(5). madde, üye devletlerin tüzel kişilere farklı davranabilmesine yer bırakır; bu yüzden bazıları opt-in'i şirket adreslerine de uygular, bazıları uygulamaz. firstname.lastname@company.example gibi adı belli iş adresleri, pazarlama kuralı daha gevşek olsa bile GDPR kapsamında kişisel veri olmaya devam eder.
İzleme pikselleri
Aynı direktifin 5(3). maddesi, kullanıcının talep ettiği bir hizmet için kesinlikle gerekli olmadıkça, kullanıcının cihazında bilgi saklamak ya da bilgiye erişmek için onay şart koşar. En çok çerez bannerlarıyla bilinir. Avrupa Veri Koruma Kurulu'nun 5(3). maddenin teknik kapsamına ilişkin 2/2023 sayılı Kılavuzu, e-postalardaki izleme piksellerinin bu kapsama girebileceği görüşünü benimser. Fransa'nın düzenleyicisi CNIL daha da ileri giderek Nisan 2026'da, güvenlik gibi amaçlar için sınırlı istisnalarla, e-posta izleme pikselleri için onayı varsayılan kural yapan bir tavsiye yayımladı. Ülkeler arasında farklar bekleyin ve kendi düzenleyicinizin tutumuna bakın. Teknolojinin kendisinin nasıl çalıştığı, e-posta izleme pikselleri yazımızda anlatılıyor.
GDPR'nin eklediği şeyler
Genel Veri Koruma Tüzüğü 25 Mayıs 2018'den beri uygulanıyor. AB'de yerleşik kuruluşları kapsar; 3(2). madde uyarınca, AB'deki kişilere mal ya da hizmet sunan veya orada davranışlarını izleyen, başka yerlerdeki kuruluşları da kapsar. 23. gerekçe (recital), hedeflemeye dair ipuçları verir: yalnızca Avrupa'dan erişilebilen bir web sitesine sahip olmak yeterli değildir; oysa bir üye devletin dilini ya da para birimini orada mal sunmak için kullanmak yeterli olabilir. İzlanda, Lihtenştayn ve Norveç, GDPR'yi AEA aracılığıyla uygular.
İlkeler ve hukuki dayanaklar
5. madde ilkeleri belirler. Sipariş onayı göndermek için toplanan bir adres, ilgisiz amaçlar için öylece yeniden kullanılamaz (amaçla sınırlılık). Yalnızca gerekli veriler toplanmalı (veri minimizasyonu), gerektiğinden uzun süre tutulmamalı (saklama sınırlaması) ve güvenli biçimde saklanmalıdır. Kuruluş ayrıca uyum sağladığını gösterebilmelidir (hesap verebilirlik).
6. madde, her kullanım için bir hukuki dayanak ister. E-posta için olağan dayanaklar şunlardır:
- Sözleşme: sipariş onayınızı ya da hesap bildirimlerinizi göndermek.
- Yasal yükümlülük: vergi amaçlarıyla faturaları saklamak.
- Onay: bir bültene abone olmak.
- Meşru menfaatler: bazı güvenlik ve dolandırıcılığı önleme amaçları ve sınırlı durumlarda doğrudan pazarlama; ancak yalnızca ePrivacy kuralları iletinin kendisine izin verdiğinde.
Onayı geçerli kılan nedir
4(11). madde onayı özgürce verilmiş, belirli, bilgilendirilmiş ve açık, net bir olumlu eylemle gösterilen bir irade olarak tanımlar. 32. gerekçe sessizliğin, önceden işaretlenmiş kutuların ve eylemsizliğin sayılmadığını söyler; AB Adalet Divanı da önceden işaretlenmiş kutular konusunu 2019 tarihli Planet49 davasında (C-673/17) doğruladı. 7(3). madde, onayı geri çekmenin vermek kadar kolay olması gerektiğini söyler; bu yüzden tek tıkla abonelik, geri almak için bir girişe ve beş sayfaya ihtiyaç duymamalıdır. 7(1). madde kuruluşun onayı gösterebilmesini şart koşar; saygın göndericilerin çift opt-in onay e-postaları kullanmasının bir nedeni budur, ancak GDPR bu yöntemin adını anmaz.
Paketleme (bundling) yaygın bir zayıf noktadır. 7(4). madde, bir hizmetin ihtiyaç duymadığı bir onaya bağlanıp bağlanmadığını sorar. "Pazarlama onayınızı verin ya da bu sayfayı okuyamazsınız", düzenleyicilerin yakından baktığı türden bir düzenlemedir ve yanıt bağlama göre değişebilir.
Haklarınız
| Hak | Madde | Size ne sağlar | E-posta örneği |
|---|---|---|---|
| Bilgilendirilme | 13, 14 | Verilerinizi kimin, neden, ne kadar süreyle işlediği ve kimlerin aldığı | Bülten kaydında bağlantısı verilen bir gizlilik bildirimi |
| Erişim | 15 | Verilerinizin bir kopyası ve kullanımına ilişkin ayrıntılar, normalde ücretsiz | Bir mağazaya, segmentler dahil adresinize bağlı neleri tuttuğunu sormak |
| Düzeltme | 16 | Yanlış verilerin düzeltilmesi | Yanlış yazılmış bir adı düzeltmek |
| Silme | 17 | Artık gerekli olmayan veriler ya da geri çekilen onay gibi sayılan durumlarda silme | Ayrıldığınız bir hizmetteki profilinizi kaldırtmak |
| Kısıtlama | 18 | Bir uyuşmazlık sırasında kullanımın durdurulması | Doğruluk kontrol edilirken işlemeyi durdurmak |
| Taşınabilirlik | 20 | İşleme onaya ya da sözleşmeye dayandığında, sizin sağladığınız verilerin makine tarafından okunabilir biçimde verilmesi | Bir posta sağlayıcısından kişileri dışa aktarmak |
| İtiraz | 21 | Meşru menfaatlere dayanan işlemeyi durdurmak; doğrudan pazarlamada mutlak | Bir şirkete tüm pazarlamayı durdurmasını söylemek |
| Şikâyet ve tazminat | 77, 82 | Bir otoriteye şikâyet etmek ve zarar için tazminat talep etmek | İtirazınızı yok sayan bir göndericiyi bildirmek |
12(3). madde kuruluşlara yanıt vermek için bir ay tanır; karmaşık ya da çok sayıdaki talepler için iki ay daha uzatılabilir ve bu durumda ilk ay içinde size haber vermeleri gerekir. Makul bir kimlik kanıtı isteyebilirler. 12(5). madde uyarınca, makul bir ücret alabilir ya da talebi ancak açıkça dayanaktan yoksun ya da aşırı olduğunda reddedebilirler.
Pazarlamaya itiraz hakkı bunların en güçlüsüdür ve gözden kaçması kolaydır. 21(2) ve (3). maddeler, doğrudan pazarlamaya itiraz ettiğinizde verilerinizin artık bu amaçla işlenemeyeceğini söyler. Diğer itirazların aksine burada bir denge testi uygulanmaz. Bir şirket size bir daha e-posta göndermemek için adresinizi bir engelleme listesinde tutabilir, ama size pazarlama yapmaya devam edemez.
Buna karşılık silmenin sınırları vardır. 17(3). madde, yasal yükümlülükler dahil istisnaları sıralar. Bir mağaza profilinizi sildikten sonra da faturalarınızı saklayabilir ve siz sorduğunuzda bunu size söylemelidir.
İhlal bildirimi
33. madde, bir kuruluşun kişisel veri ihlalini öğrenmesinden itibaren 72 saat içinde denetim otoritesine bildirmesini gerektirir; ihlalin kişiler için risk doğurması olası değilse bu şart aranmaz. 34. madde, risk yüksek olduğunda etkilenen kişilere gereksiz gecikme olmadan haber vermesini gerektirir. Yıllar önce ayrıldığınız hizmetlerden bazen haber almanızın nedeni budur. Bir bildirim alırsanız, e-posta veri ihlali sonrası ne yapılacağını anlatan rehberimiz pratik adımları açıklıyor.
Bir değişiklik gelebilir. Avrupa Komisyonu'nun Kasım 2025'te yayımlanan Digital Omnibus önerisi, diğer şeylerin yanı sıra 72 saati 96'ya çıkaracak ve düzenleyiciye bildirimi yüksek riskli ihlallerle sınırlayacak. 2026 sonu itibarıyla bu hâlâ yasama sürecindeki bir öneridir, dolayısıyla mevcut kurallar geçerlidir. Buna dayanmanız gerekiyorsa nihai metne bakın.
Birleşik Krallık: benzer, kendi güncellemeleriyle
Brexit'ten sonra Birleşik Krallık, GDPR'yi UK GDPR olarak iç hukukunda tuttu; yanında Data Protection Act 2018 de var. Privacy and Electronic Communications Regulations 2003 (PECR) ePrivacy kurallarını taşır ve 22. düzenleme, bireysel aboneler için AB'nin opt-in ve yumuşak opt-in modelini yansıtır.
Data (Use and Access) Act 2025 bu tablonun bazı kısımlarını değiştirdi. PECR için azami para cezasını 500.000 sterlinden UK GDPR düzeyine, yani 17,5 milyon sterlin ya da dünya çapındaki cironun %4'ünden yüksek olana yükseltti; değişikliğin 2026 başında yürürlüğe girdiği bildiriliyor. Ayrıca hayır kurumları için yumuşak opt-in'in bir sürümünü yarattı; bu, onların çalışmalarını destekleyen ya da hakkında bilgi isteyen kişilere, toplama sırasında vazgeçme imkânı gibi koşullara tabi olarak e-posta göndermesine izin verir. Düzenleyicinin kendisi yeniden şekilleniyor; Bilgi Komiserliği Ofisi'nin yerini bir Bilgi Komisyonu alacak, dolayısıyla iki adı da görebilirsiniz. Güncel rehbere bakılacak yer onun web sitesidir ve istenmeyen pazarlamayı bildirmek için bir araç sunar.
CAN-SPAM: ABD federal yasası gerçekte ne gerektiriyor
2003 tarihli CAN-SPAM Yasası, ticari e-postaya ilişkin başlıca ABD federal yasasıdır. Adına rağmen, istenmeyen pazarlamayı yasaklamaz. Bu tür e-postanın nasıl gönderilmesi gerektiğine dair kurallar koyar ve alıcılara onu durdurma hakkı verir. FTC'nin uygulama kuralı 16 CFR Part 316'dadır ve kurum, pazarlama postası gönderiyorsanız tamamını okumaya değer, işletmeler için bir uyum rehberi yayımlar.
Hangi iletiler sayılır
Önemli olan iletinin asıl amacıdır. Ticari iletiler bir ürünü ya da hizmeti reklam eder veya tanıtır ve tamamen kapsam içindedir. İşlem ya da ilişki iletileri bir işlemi doğrular, garanti veya güvenlik bilgisi verir, bir hesapta ya da abonelikte yapılan değişiklikleri bildirir, istihdam bilgisi sağlar veya zaten satın alınmış malları teslim eder. Bunlar çoğu şarttan muaftır, ancak yanlış ya da yanıltıcı yönlendirme bilgisi içermemelidir. Tamamen kişisel postalar Yasa'nın dışında kalır.
Şirketten şirkete e-posta için bir istisna yoktur. Kurumsal bir adrese gönderilen tanıtım iletisinin de uyum sağlaması gerekir; bu, bazı ülkelerde B2B'nin gördüğü daha yumuşak muameleye alışmış kişileri şaşırtır.
Şartlar
- Üstbilgi bilgileri doğru olmalıdır. Kimden, Kime, Yanıtla-Adresi ve yönlendirme verileri iletiyi kimin başlattığını doğru biçimde belirtmelidir.
- Konu satırları içerik hakkında yanıltıcı olmamalıdır.
- Alıcı önceden açık bir olumlu onay vermediyse, ileti açıkça reklam olarak belirtilmelidir.
- Bir cadde adresi, tescilli bir posta kutusu ya da tescilli bir özel posta kutusu olabilen, geçerli bir fiziksel posta adresi içermelidir.
- Vazgeçmenin nasıl yapılacağını açıkça anlatmalı ve yanıt adresi ya da bağlantı gibi çalışan bir yol sunmalıdır.
- Vazgeçme talepleri 10 iş günü içinde yerine getirilmeli ve mekanizma gönderimden sonra en az 30 gün çalışmaya devam etmelidir. Gönderici ücret alamaz, bir e-posta adresi ve vazgeçme tercihlerinin ötesinde kişisel bilgi isteyemez ya da bir yanıt veya tek bir web sayfasını ziyaretin ötesinde herhangi bir adım zorunlu kılamaz.
- Vazgeçmiş adresler, uyum konusunda yardım için tutulmuş bir şirket dışında satılamaz ya da devredilemez.
- Bir şirket, adına gönderim yapan herkesten sorumlu kalır; bu yüzden bir ajans tutmak yükümlülüğü başka yere taşımaz.
Cinsel içerikli ticari e-postalar, ayrı bir FTC kuralı uyarınca konu satırında "SEXUALLY-EXPLICIT:" uyarı etiketini taşımak zorundadır.
Ağırlaştırıcı uygulamalar ve yaptırım
Yasa, web sitelerinden adres toplamayı, adları ve harfleri birleştiren "sözlük saldırıları"yla adres üretmeyi ve spam göndermek için toplu hesap kaydetmeye yarayan betikler kullanmayı da içeren bazı uygulamaları ağırlaştırıcı etken sayar. Bazı aldatıcı uygulamalar suçtur.
Bireysel alıcıların özel dava hakkı yoktur; bu, bu yasa hakkında en çok yanlış anlaşılan noktalardan biridir. Yaptırım FTC'ye, düzenlenen sektörler için diğer federal kurumlara, eyalet başsavcılarına ve internet erişim sağlayıcılarına aittir. İhlalleri ReportFraud.ftc.gov adresinde bildirebilirsiniz. FTC dava açıyor: 2024'te güvenlik kamerası şirketi Verkada'ya karşı, CAN-SPAM suçlamalarını da içeren bir davada 2,95 milyon dolarlık bir ceza duyurdu. Yasa ayrıca, yanlışlığı ya da aldatmayı yasakladıkları durumlar dışında, ticari e-postayı özellikle düzenleyen çoğu eyalet yasasının yerini alır (preemption).
Kısa mesajlar ayrıdır
ABD'deki pazarlama kısa mesajları esas olarak, otomatik pazarlama mesajları için genellikle önceden açık onay isteyen Telephone Consumer Protection Act ile yönetilir. Yani e-postanın vazgeçme mantığı telefon numaranıza aktarılmaz ve numaranızı soran bir ödeme formu ayrı bir onay istiyordur.
Kaliforniya ve diğer ABD eyaletleri
Kaliforniya Tüketici Gizliliği Yasası 2020'de yürürlüğe girdi ve 2023'ten itibaren Kaliforniya Gizlilik Hakları Yasası ile esaslı biçimde değiştirildi. Genel bir gizlilik yasasıdır; adresiniz kişisel bilgi olduğu ve şirketler onu çoğu zaman reklam için paylaştığı için e-postayla ilgilidir.
Kaliforniya'da iş yapan ve üç testten en az birini karşılayan kâr amaçlı işletmelere uygulanır: enflasyona göre ayarlanan bir eşiğin üzerinde yıllık brüt gelir (25 milyon dolarla başladı ve düzenleyicinin 2025 ayarlaması 26.625.000 dolar yaptı); yılda 100.000 veya daha fazla Kaliforniyalı tüketicinin ya da hane halkının kişisel bilgilerini satın almak, satmak veya paylaşmak; ya da yıllık gelirin en az yarısını kişisel bilgilerin satışından veya paylaşımından elde etmek.
Kapsama giren işletmeler şu haklara saygı göstermek zorundadır:
- Nelerin toplandığını, nereden, neden ve hangi üçüncü taraf kategorileriyle paylaşıldığını bilme.
- Sizden toplanan kişisel bilgilerin silinmesini isteme; bir işlemi tamamlamak ya da yasal görevleri yerine getirmek gibi istisnalarla.
- Yanlış kişisel bilgilerin düzeltilmesini isteme.
- Satıştan veya paylaşımdan vazgeçme. "Paylaşım" özellikle bağlamlar arası davranışsal reklamcılık için ifşayı kapsar; bu, müşteri e-posta listelerinin reklam platformlarına yüklenmesini de içerebilir.
- Hassas kişisel bilgilerin kullanımını sınırlama; işletme amaçlanan alıcı değilse posta, e-posta ve kısa mesajların içeriğini de kapsayan bir kategori.
- Bu hakları kullandığı için ayrımcılığa uğramama; ancak işletmeler sadakat programları gibi açıklanmış mali teşvikler sunabilir.
Öğrenme, silme ve düzeltme talepleri 45 takvim günü içinde yanıtlanmalıdır; bildirimle 45 gün daha uzatılabilir. Vazgeçmeler için yönetmeliklerde daha kısa bir sınır vardır: en fazla 15 iş günü. İşletmeler ayrıca tarayıcınızın ya da bir eklentinin gönderdiği Global Privacy Control gibi bir vazgeçme tercih sinyalini, satıştan ve paylaşımdan geçerli bir vazgeçme olarak değerlendirmek zorundadır.
Yasayı, CalPrivacy adıyla da bilinen Kaliforniya Gizlilik Koruma Kurumu ve Başsavcı uygular. Bireyler yalnızca makul güvenliği sağlamama nedeniyle yaşanan bazı veri ihlalleri için, tüketici ve olay başına yasal tazminatla dava açabilir. Kaliforniyalıların Delete Act kapsamında ayrı bir araçları da vardır: Delete Request and Opt-out Platform (DROP), kayıtlı veri komisyoncularına tek bir silme talebi göndermelerini sağlar ve komisyoncuların bu talepleri Ağustos 2026'da işlemeye başlaması gerekiyordu.
Virginia, Colorado, Connecticut, Teksas ve Oregon dahil diğer birçok eyalet, genel hatlarıyla benzer haklar içeren kapsamlı gizlilik yasaları çıkardı. Ayrıntılar ve eşikler farklıdır ve çoğu dava açma hakkı sunmaz; bu yüzden kendi eyaletinizin başsavcılık sayfasına bakın.
CASL: Kanada'nın katı rejimi
Kanada'nın Spam Karşıtı Mevzuatı büyük ölçüde 1 Temmuz 2014'ten beri yürürlüktedir ve herhangi bir yerdeki en katı e-posta pazarlama yasaları arasındadır. Kanada'daki bilgisayarlara gönderilen ya da orada erişilen, e-posta ve kısa mesajlar dahil ticari elektronik iletileri kapsar.
Gönderici açık onaya ya da belirli durumlarda zımni onaya ihtiyaç duyar. Zımni onayın en bilinen örneği, önceki iki yıl içindeki bir satın alma ya da önceki altı ay içindeki bir soru gibi mevcut bir iş ilişkisidir. Her ileti göndericiyi tanıtmalı ve iletişim bilgisi vermelidir. Her iletinin ayrıca gönderimden sonra en az 60 gün geçerli kalan bir abonelikten çıkma mekanizması olmalı ve talepler 10 iş günü içinde işleme alınmalıdır.
Cezalar kuruluşlar için ihlal başına 10 milyon Kanada dolarına, bireyler için 1 milyon Kanada dolarına ulaşabilir. Bireylerin dava açmasına izin verecek olan yasanın özel dava hakkı, yürürlüğe girmeden önce 2017'de hükümet tarafından askıya alındı. Kanadalılar spam'i, federal spam karşıtı programın parçası olan Spam Bildirim Merkezi'ne bildirebilir.
Diğer yerlerde kısaca
Avustralya'nın 2003 tarihli Spam Yasası onay, gönderici kimliği ve işlevsel bir abonelikten çıkma imkânı gerektirir ve talepler beş iş günü içinde yerine getirilmelidir. Yasayı Avustralya İletişim ve Medya Otoritesi uygular. Brezilya'nın LGPD'si GDPR tarzında genel bir yasadır, ulusal otorite ANPD tarafından uygulanır ve erişim, düzeltme, silme ile paylaşıma ilişkin bilgi hakları içerir. Hindistan'ın 2023 tarihli Dijital Kişisel Veri Koruma Yasası onaya dayalı işlemeyi getirir ve Kasım 2025'te duyurulan kuralları 18 ay içinde aşamalı olarak devreye girer; yani işleyiş yükümlülüklerinin çoğu henüz yürürlükte değildir. İsviçre'nin gözden geçirilmiş Federal Veri Koruma Yasası Eylül 2023'ten beri uygulanıyor ve GDPR ilkeleriyle yakından uyumludur.
Ülkeniz burada yer almıyorsa da ilgili bir yasası olabilir. Kontrol edeceğiniz yer, ulusal veri koruma ya da tüketici otoritenizdir.
Abonelikten çıkmak makbuzlarınızı neden durdurmaz
İnsanlar çoğu zaman bir mağazanın pazarlamasından vazgeçmenin sipariş e-postalarını neden kesmediğini sorar. Yasalar ikisini bilerek ayırır; bir göndericinin bir şeye hizmet iletisi demekle pazarlama kurallarından kaçamamasının nedeni de budur.
| Tür | Örnekler | GDPR ve ePrivacy | CAN-SPAM | CASL |
|---|---|---|---|---|
| İşlem iletisi | Makbuzlar, kargo güncellemeleri, parola sıfırlamaları, güvenlik uyarıları | Genellikle sözleşme ya da meşru menfaatler olan bir hukuki dayanak gerekir; pazarlama onayı gerekmez | Çoğu kuraldan muaf; yanlış yönlendirme bilgisi olmamalı | Listelenen kategoriler onaydan muaftır ama gönderici kimliği ve abonelikten çıkma içeriği yine gerekir |
| Pazarlama | İndirimler, tanıtım bültenleri, ürün önerileri | Onay veya yumuşak opt-in; mutlak itiraz hakkı | Onaysız serbest; tüm şartlar geçerli | Açık veya zımni onay gerekir |
| Karma | Büyük bir tanıtım bannerı olan sipariş onayı | Tanıtım kısmı pazarlama onayı gerektirebilir | Asıl amaca göre değerlendirilir; konu satırına ve içeriğin nasıl yerleştirildiğine bakılır | Ürün tanıtıyorsa ticari sayılabilir |
Karşılaştığınız her kural da bir yasama organından gelmez. 2024'ten beri Google ve Yahoo, toplu göndericilerden RFC 8058'deki mekanizma aracılığıyla tek tıkla abonelikten çıkmayı desteklemesini ve talepleri iki gün içinde işleme almasını şart koşuyor. Bu, posta kutusu sağlayıcılarının iyi teslimat için koyduğu bir koşuldur ve arkasında yasal bir güç yoktur; yine de pratikte bazı göndericileri yasanın 10 iş gününden daha hızlı durdurur.
Haklarınızı adım adım kullanmak
1. Pazarlamayı durdurun
Posta uygulamanızın göndericinin yanında gösterdiği, List-Unsubscribe üstbilgisine dayanan abonelikten çıkma düğmesini kullanın. Yoksa meşru bir iletinin alt bilgisindeki bağlantıyı kullanın. Bunu yalnızca tanıdığınız göndericilerle yapın, çünkü bariz spam'deki bir bağlantı herhangi bir yere çıkabilir ve orada bildirmek daha iyi bir yanıttır. Tarihi not edin. CAN-SPAM ve CASL kapsamında posta 10 iş günü içinde durmalıdır. AB'de ve Birleşik Krallık'ta bir itiraz gecikmeden etkili olmalıdır; ancak düzenleyiciler genellikle kısa bir işleme süresini kabul eder.
2. Bir şirketin neler tuttuğunu öğrenin
GDPR kapsamında bir veri sahibi erişim talebi ya da CCPA kapsamında öğrenme talebi gönderin. Birçok şirket bir gizlilik formu ya da portalı sunar ve onu kullanmak işi hızlandırabilir. Aksi halde bu şablon gibi kısa bir mesaj yeterlidir:
Konu: Kişisel veri erişim talebi
GDPR'nin 15. maddesi [veya: Kaliforniya Tüketici Gizliliği Yasası] uyarınca hakkımda tuttuğunuz kişisel verilere erişim talep ediyorum. Kayıtlarınızdaki e-posta adresim [adres]. Lütfen verilerin bir kopyasını, işleme amaçlarını, paylaştığınız alıcı kategorilerini, ne kadar süre saklayacağınızı ve verileri benden toplamadıysanız verilerin kaynağını bildirin. Yasal süre içinde yanıtınızı bekliyorum.
Bunu şirketin kayıtlarında bulunan adresten, gizlilik politikasındaki gizlilik iletişim adresine gönderin ve tarihli bir kopyasını saklayın. Kimlik doğrulaması bekleyin. Bu meşrudur, ama orantılı olmalıdır. Bir bülten adresiyle ilgili bir talebi yanıtlamak için pasaport taraması isteyen bir mağaza, sorgulamaya değer.
3. Silme isteyin
Bir hizmeti kullanmayı bıraktıysanız, GDPR'nin 17. maddesi kapsamında silme ya da CCPA kapsamında silme isteyin. Şirket faturalar gibi saklamak zorunda olduğu kayıtları ve size yanlışlıkla e-posta göndermemek için bir engelleme listesindeki adresi tutabilir. Neyi neden tuttuğunu sormak makuldür.
4. ABD eyaletlerinde satıştan ve paylaşımdan vazgeçin
"Kişisel Bilgilerimi Satmayın veya Paylaşmayın" ya da "Gizlilik Tercihleriniz" gibi bir bağlantı arayın ya da bunu destekleyen bir tarayıcıda veya eklentide Global Privacy Control'ü açın. Kaliforniyalılar kayıtlı veri komisyoncuları için DROP'u kullanabilir.
5. Sonuç alamazsanız yükseltin
- AB ve AEA: ulusal veri koruma otoritenize şikâyet edin. Avrupa Veri Koruma Kurulu hepsini listeler.
- Birleşik Krallık: önce kuruluşa iletin, ardından Birleşik Krallık veri koruma düzenleyicisine şikâyet edin ya da istenmeyen pazarlamayı çevrimiçi aracı üzerinden bildirin.
- ABD: aldatıcı ya da uyumsuz ticari e-postayı ReportFraud.ftc.gov adresinde bildirin. CCPA sorunları için Kaliforniya Gizlilik Koruma Kurumu'na ya da Başsavcı'ya şikâyette bulunun.
- Kanada: Spam Bildirim Merkezi'ne bildirin.
Kanıtlarınızı basit tutun: talebinizin tarihi, bir kopyası, varsa yanıtın bir kopyası ve gelmeye devam eden iletilerin tam üstbilgileriyle örnekleri. Düzenleyiciler her şikâyetin peşine düşemez; bu yüzden bireysel bir şikâyet hızlı bir sonuç getirmeyebilir, ama tekrar eden bir ihlalciye karşı kayda katkı yapar.
Bu yasaların kapsamadığı şeyler
Suç niteliğindeki spam en belirgin boşluktur. Ele geçirilmiş bir sunucudan sahte ilaç satan biri yukarıdaki tüm kuralları yok sayar; bu yüzden bir spam filtresi ve sağlayıcınızın bildirme düğmesi, bu tür postaya karşı herhangi bir kanundan daha etkilidir. Bu tür dolandırıcılığı fark etmek ve bildirmek pratik bir beceridir ve hiçbir düzenleyici bunu sizin yerinize yapamaz.
Kendi yazışmalarınız da çoğunlukla bu kuralların dışında kalır. Arkadaşlara yazılmış kişisel bir not ticari e-posta değildir ve GDPR'nin 2(2)(c). maddesi uyarınca tamamen kişisel ya da ev içi faaliyetler için bir istisnası vardır. Kolluk kuvvetlerinin posta kutularına erişimi, ABD Stored Communications Act ve ulusal gözetim yasaları gibi ayrı yasalar kapsamındadır ve bunlar ayrı bir açıklamayı hak eder.
Son olarak, bu yasaların çoğu belirli türdeki ya da belirli bir büyüklüğün üzerindeki kuruluşları bağlar. CCPA eşiklerinin altındaki küçük bir Kaliforniya mağazası yine de CAN-SPAM'e uymak zorundadır ama CCPA yükümlülüğü yoktur. Kâr amacı gütmeyen bir kuruluş CCPA'dan kurtulabilirken, Avrupa'daki insanlara e-posta gönderdiğinde GDPR'ye tabi kalabilir. Hangi kuralların geçerli olduğunu varsaymadan önce her zaman göndericinin kim olduğuna bakın.
Tek kullanımlık bir adres nereye oturur?
Tek kullanımlık e-posta adresi, kayıt gerektirmeyen ve iletilerini kısa süre sonra silen geçici bir gelen kutusudur. Yukarıdaki rejimlerde, birinin bunu kendi gizliliği için kullanmasını yasaklayan bir yasa bilmiyoruz; bunu yapmak, GDPR'nin kuruluşlara yüklediği veri minimizasyonu yükümlülüğüyle aynı düşünceyi izler. Bir sitenin sizinle kalıcı bir ilişkiye ihtiyacı yoksa, koşulları buna izin verdiği sürece bir tane sunmamayı seçebilirsiniz. Kurallar ve koşullar değişir; dolayısıyla bu genel bir gözlemdir, belirli bir durum için güvence değildir.
Sıradan kullanımlar arasında tek seferlik bir indirmeyi almak ya da kendi web sitenizin kayıt ve onay e-postalarını test etmek var. VookMail böyle bir hizmettir. Sayfa yüklendiğinde adres hazırdır, 30'dan fazla alan adından birinde bir kullanıcı adı yazmak için Yeni'ye basabilir ya da rastgele bir adres için sarı Rastgele düğmesini kullanabilirsiniz; iletiler, ekler ve adresler yaklaşık bir gün sonra silinir. Verileri nasıl ele aldığı gizlilik politikasında belirtilmiştir; yöntem sayfası ise alan adlarına gelen postanın MX kayıtları aracılığıyla bir teslim sağlayıcısına nasıl ulaştığını ve HTTPS üzerinden nasıl iletildiğini açıklar.
Birkaç sınır geçerlidir:
- Hizmetler tek kullanımlık adresleri reddedebilir ve birçoğunun iyi nedenleri vardır. Web sitelerinin tek kullanımlık e-postayı neden engellediğini anlatan yazımız bunları açıklıyor. Bir site reddettiğinde buna saygı gösterin ve kalıcı bir adres ya da takma ad kullanın.
- Geçici bir adresi bilen ya da tahmin eden herkes o gelen kutusunu açabilir; yani bir şirketin posta listesine karşı gizlilik sağlar, iletiler için gizlilik sağlamaz. Rastgele bir adres daha güvenli bir seçimdir.
- Bankacılık, kamu, sağlık ve ana sosyal hesaplar, her zaman denetleyeceğiniz bir adrese ihtiyaç duyar, çünkü hukuken önemli bildirimler ve kurtarma iletileri gönderirler.
- Kötüye kullanım korunmaz. Dolandırıcılık, taciz, kimliğe bürünme ya da bir yasaktan kaçma, hangi adres kullanılırsa kullanılsın hukuki sonuçlar doğurabilir ve kullanım koşullarımız bunları yasaklar.
- Hak talepleri kararlı bir adres gerektirir. Bir şirket sizi genellikle kayıtlardaki adres üzerinden doğrular; bu yüzden GDPR ya da CCPA haklarınızı sonradan kullanmak isteyebilirseniz, kalıcı bir adres size daha iyi hizmet eder.
Kendiniz e-posta gönderiyorsanız
Bir bülten ya da küçük bir çevrimiçi mağaza sizi bütün bunların öbür tarafına koyar. Okurlarınız uluslararasıysa pratik yaklaşım, kitleniz için geçerli en katı kurala göre kurmaktır. Aşağıdaki liste bir başlangıç noktasıdır; gerçek bir uyum incelemesi ülkenize ve müşterilerinize bağlıdır.
- Onayı işaretlenmemiş bir onay kutusuyla ya da açık bir kayıt eylemiyle toplayın ve ne zaman, nasıl verildiğini kaydedin.
- Onayın kanıtını sağlayan ve yazım hatalarını ile sahte kayıtları dışarıda tutan çift opt-in'i düşünün.
- Adres topladığınız her yerde net bir gizlilik bildirimine bağlantı verin.
- İşlem ve pazarlama akışlarını ayrı tutun ve makbuzlara tanıtım sıkıştırmayın.
- Her pazarlama e-postasına kuruluşunuzun kimliğini ve geçerli bir posta adresini koyun.
List-UnsubscribeveList-Unsubscribe-Postüstbilgileriyle tek tıkla abonelikten çıkmayı destekleyin ve vazgeçmelere hızla uyun.- Vazgeçmiş adreslerin asla yeniden içe aktarılmaması için bir engelleme listesi tutun.
- Liste satın almayın. Satın alınmış bir liste opt-in ülkelerinde onay testlerinde başarısız olur ve her yerde teslimatınıza zarar veren şikâyetler ve geri dönmelere yol açma eğilimindedir.
- Açılma ve tıklama izlemeyi açıklayın ve okurlarınızın ülkelerinin bunun için onay isteyip istemediğini kontrol edin. Fransa'nın şimdi bu konuda özel bir rehberi var.
- Saklama süreleri belirleyin ve artık ihtiyaç duymadığınız etkin olmayan abone verilerini silin.
- Erişim, silme ve düzeltme taleplerini bir ay (GDPR) ya da 45 gün (CCPA) içinde yanıtlayacak bir sürecinizin olsun.
- Başlatmadan önce kayıt ve abonelikten çıkma akışını yeni bir gelen kutusuyla test edin; böylece bir abonenin gördüğünü görürsünüz.
Sorun çıkaran inanışlar
"Bir adres herkese açıksa ona pazarlama yapabilirim." Opt-in sistemlerinde, herkese görünür bir adres tek başına onay sağlamaz. CAN-SPAM kapsamında web sitelerinden adres toplamak ağırlaştırıcı bir etkendir. Yayımlanmış olmak soruyu basitçe çözmez.
"Abonelikten çıkmak adresimi spam gönderenlere doğrulamaktan başka bir işe yaramaz." Bu, tanımadığınız göndericilerden gelen bariz spam için geçerlidir ve orada bildirmek daha iyi bir seçimdir. Meşru bir göndericiyle abonelikten çıkmak doğru adımdır ve yasa göndericiyi buna uymaya zorlar.
"GDPR yalnızca AB şirketleri için geçerli." 3(2). madde, AB veya AEA'daki insanları hedefleyen ya da izleyen, başka yerlerdeki kuruluşlara uzanır. Düzenleyicilerin bunu Avrupa'da varlığı olmayan bir şirkete karşı nasıl uyguladığı başka bir konudur ve pratikte zor olabilir.
"CAN-SPAM spam gönderenlere dava açmama izin verir." Bireylere böyle bir hak vermez. Belirli durumlarda başka yasalar yardımcı olabilir ve aldatmaya karşı eyalet yasaları yer değiştirmeden sağ kalmış olabilir; bu yüzden bir avukat size durumunuza bir şeyin uygulanıp uygulanmadığını söyleyebilir.
"Hesabımı silmek tüm verilerimi siler." Şirketler vergi için işlem geçmişi gibi bazı kayıtları yasal olarak tutabilir. Siz sorduğunuzda bunu açıklamaları gerekir.
"İşlem e-postaları düzenlenmemiştir." Birçok pazarlama kuralından kurtulurlar, ama yine de GDPR kapsamında bir hukuki dayanağa ihtiyaç duyarlar ve aldatıcı olmamalıdır.
Sık sorulan sorulara kısa yanıtlar
Hiç kaydolmadıysam bir şirket bana e-posta gönderebilir mi?
Bulunduğunuz yere bağlı. ABD'de genellikle evet, yeter ki CAN-SPAM'e uysun ve vazgeçtiğinizde dursun. AB'de, Birleşik Krallık'ta ve Kanada'da bir pazarlama e-postası genellikle onayınızı gerektirir ya da dar bir mevcut müşteri istisnasına uyar.
Avrupa dışındaki bir şirket GDPR talebimi yanıtlamak zorunda mı?
AB veya AEA'daki kişilere mal ya da hizmet sunuyor ya da orada davranışlarını izliyorsa GDPR ona uygulanabilir. 27. madde ayrıca genellikle böyle bir şirketin AB'de bir temsilci atamasını şart koşar ve bu temsilcinin bilgileri gizlilik bildiriminde yer almalıdır. Talebi pratikte uygulatıp uygulatamayacağınız ayrı bir sorudur.
Kaliforniya dışında yaşıyorsam CCPA haklarım var mı?
CCPA, Kaliforniya sakinlerini korur. Bazı şirketler benzer seçenekleri herkese tanır ve diğer birçok eyaletin kendi yasaları var; bu yüzden yine de sormaya değer.
Abonelikten çıkma ne kadar çabuk işlemeli?
CAN-SPAM ve CASL kapsamında en fazla on iş günü, Avustralya'da beş iş günü, AB'de ve Birleşik Krallık'ta ise pratikte gereksiz gecikme olmadan. Gmail ve Yahoo kullanan büyük göndericilerden, bu sağlayıcıların kuralları uyarınca iki gün içinde harekete geçmeleri de beklenir.
Açılma izleme yasal mı?
ABD'de CAN-SPAM bunu doğrudan ele almaz. AB'de düzenleyiciler e-posta izleme piksellerini giderek ePrivacy Direktifi'nin 5(3). maddesi kapsamında görüyor ve Fransa'nın CNIL'i artık onayı varsayılan kural sayıyor. Başka yerlerde ulusal hukuka bağlıdır.
Yasaların kendisini nereden okuyabilirim?
GDPR ve ePrivacy Direktifi EUR-Lex'te. FTC CAN-SPAM uyum rehberini yayımlar, Kaliforniya'nın düzenleyicisi ve Başsavcısı CCPA rehberi yayımlar, Kanada Hükümeti de CASL hakkında bir site işletir. Güveneceğiniz kaynaklar bu resmi kaynaklardır, çünkü bu genel bakış yalnızca yazıldığı sırada anladığımız haliyle hukuku yansıtabilir.