IoT ve M2M Bildirimlerinde Mevzuat: İYS, Ticari İleti Ayrımı ve 5809

IoT projelerinde teknik mimari kurulduktan sonra çoğu ekibin atladığı bir soru vardır: "Bu bildirimleri göndermek için yasal onay almam gerekiyor mu?" Cevap, çoğu IoT alarmı için sevindirici: hayır. Ama bu "hayır" koşullara bağlı ve yanlış sınıflandırma cezai işleme kadar gidebiliyor. Bu yazı, IoT/M2M bildirimlerini gönderirken Türkiye mevzuatında nerede durduğunuzu netleştirir.

Bu yazı bilgilendirme amaçlıdır, hukuki görüş niteliği taşımaz. Kritik kararlar öncesi hukuk müşavirinize danışın.

Kritik ayrım: ticari ileti mi, bilgilendirme iletisi mi?

Türkiye'de elektronik ileti düzenlemesinin (6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili yönetmelik) merkezinde tek bir ayrım var:

Ticari elektronik ileti, mal veya hizmet tanıtımı, pazarlama, reklam ya da kutlama-temenni amacıyla gönderilen iletidir. Bunlar için alıcının önceden onayı (İYS'de izin kaydı) zorunludur.

Bilgilendirme / işlem iletisi ise alıcının kendi talep ettiği ya da mevcut bir ilişkiden doğan, ticari içerik taşımayan iletidir. Mevzuat bunlar için önceden onay aranmadığını açıkça söyler.

Yönetmelik onay gerektirmeyen iletileri sayarken şu ifadeleri kullanır: alıcının iletişim bilgisini kendisiyle iletişim için vermesi hâlinde, temin edilen mal/hizmete ilişkin değişiklik, kullanım ve bakım bildirimleri; devam eden abonelik/üyelik durumu; tahsilat, borç hatırlatma, bilgi güncelleme, satın alma ve teslimat veya benzeri bildirimler için ön onay gerekmez.

IoT alarmları bu ayrımın neresinde?

İşte IoT için iyi haber: tipik bir IoT/M2M bildirimi, doğası gereği bilgilendirme/işlem iletisidir. İçeriğinde tanıtım ya da pazarlama yoktur; mevcut bir hizmet ilişkisinden doğan, alıcının bizzat görmek istediği operasyonel bir uyarıdır.

Birkaç örnek üzerinden bakalım:

Görüldüğü gibi sınır, olayın kendisinde değil, mesajın içeriğindedir. Aynı sistem üzerinden giden "sayaç alarmı" onay istemezken, o sayacın verisini kullanarak gönderdiğiniz "yeni tarife kampanyası" ticari iletidir ve İYS izni gerektirir.

Tehlikeli gri bölge: bilgilendirmeye sıkıştırılmış reklam

En sık yapılan ve en riskli hata, bir bilgilendirme iletisinin içine pazarlama cümlesi eklemektir:

"Sayacınız offline. Bu arada yeni Premium izleme paketimizle kesintileri önleyin!"

Bu mesaj artık tümüyle ticari ileti sayılır ve onaysız gönderildiğinde idari para cezasına konu olabilir. Kural basit: bilgilendirme iletisini ticari içerikle kirletmeyin. Operasyonel uyarı operasyonel kalsın; satış mesajı ayrı, onaylı bir kanaldan gitsin.

Ayrımı doğru yapmak kimin sorumluluğu?

Mevzuat, iletinin ticari mi bilgilendirme mi olduğunu doğru sınıflandırma sorumluluğunu hizmet sağlayıcıya (yani göndereni siz) yükler. iletiMerkezi gibi yetkili işletmeci bu ayrımı sizin adınıza yapamaz; ama doğru sınıflandırmayı uygulamanız için gerekli teknik kontrolü sağlar.

iletiMerkezi SMS API'sinde bu, iys parametresiyle yönetilir:

• iys: "0": bilgilendirme/işlem iletisi. İYS sorgusu yapılmaz. IoT alarmlarının büyük çoğunluğu buraya girer.
• iys: "1": ticari ileti. İYS üzerinden alıcının izni sorgulanır; iysList değeri BIREYSEL veya TACIR olarak belirtilir.

{
  "request": {
    "authentication": { "key": "...", "hash": "..." },
    "order": {
      "sender": "FIRMA",
      "iys": "0",
      "message": {
        "text": "Depo 3 sıcaklık 9.4C, limit 8C. Kontrol gerekli.",
        "receipents": { "number": ["905XXXXXXXXX"] }
      }
    }
  }
}

Ticari ileti gönderdiğiniz hâlde iys: "0" kullanmak yasal risk doğurur; bilgilendirme iletisinde gereksiz yere iys: "1" kullanmak ise alıcı izinli değilse iletinin engellenmesine yol açar. Sınıflandırmayı kod tarafında olayın türüne göre otomatikleştirmek en sağlıklısıdır.

B2B kolaylığı: tacir ve esnaf istisnası

IoT senaryolarının çoğu B2B'dir; alıcı bir işletme, çiftçi kooperatifi ya da saha teknisyenidir. Burada ek bir kolaylık var: tacir ve esnaf statüsündeki alıcılara gönderilen ticari elektronik iletiler için bile önceden onay zorunlu değildir. Ancak alıcı reddetme (ret) hakkını kullandığında artık onaysız ticari ileti gönderilemez. Yani B2B IoT bildirimlerinde mevzuatsal sürtünme, B2C'ye göre belirgin biçimde düşüktür.

Bağlantı katmanı: 5809 ve M2M telsiz ücreti

Şimdiye kadar konuştuğumuz ileti içeriği tarafıydı. Bir de IoT'nin bağlantı/şebeke tarafı var ki burayı 5809 sayılı Elektronik Haberleşme Kanunu ve BTK düzenlemeleri yönetir.

BTK'nın IoT raporunda da vurgulandığı üzere, M2M/IoT'yi teşvik etmek için düzenleyici adımlar atılmıştır: M2M veya IoT sistemlerinden telsiz ücreti alınmaması ve altyapı telsiz ücretlerinin işletmecilerin net satışları üzerinden hesaplanması bunların başında gelir. Pratik anlamı: çok sayıda bağlı cihazın olduğu IoT kurulumlarında cihaz başına telsiz ücreti yükü doğmaz; bu, yüksek cihaz yoğunluklu projelerin maliyet modelini ciddi biçimde rahatlatır.

Bunun yanında M2M/IoT mimarilerinde dikkat edilmesi gereken teknik-yasal başlıklar şunlardır: kullanılan frekans bantları ve çıkış güçlerinin yasallığı, enterferans önleme, elektriksel/mekanik güvenlik ve siber güvenlik gereklilikleri. Numaralandırma tarafında ise uluslararası standartlar olan E.164 ve E.212 numaralarının kullanımı, uzun vadede ise IPv6 adreslemesi öngörülmektedir.

KVKK boyutu: ne gönderdiğinize dikkat

Onay ayrı bir konu, kişisel veri ayrı. IoT bildirimleri çoğu zaman konum, tüketim alışkanlığı, sağlık verisi gibi kişisel, bazen özel nitelikli veri içerebilir. İki pratik kural:

Veri minimizasyonu. Alarm mesajına ham veriyi gömmeyin. "Tansiyonunuz 180/110" yerine "Sağlık verinizde dikkat gerektiren bir değer var, lütfen uygulamayı kontrol edin" yazın. Mesaj ele geçse bile hassas veri sızmaz.

Amaca bağlılık. IoT için topladığınız veriyi, alıcının onayı olmadan pazarlama amacıyla yeniden kullanmayın. Sayaç verisinden tarife kampanyası üretmek hem KVKK hem İYS açısından ayrı bir onay gerektirir.

Yayına almadan önce 7 maddelik kontrol listesi

1. İçerik testi: Mesajda tanıtım/reklam/pazarlama var mı? Varsa ticari iletidir; İYS izni ve iys: "1" gerekir.
2. Saf operasyon mu? Alarm, durum, hatırlatma, teslimat bildirimi ise bilgilendirmedir; iys: "0" kullanın.
3. Karışım yok: Bilgilendirme mesajına satış cümlesi eklemediğinizden emin olun.
4. B2B durumu: Alıcı tacir/esnaf mı? Ticari iletide bile ön onay aranmaz, ama ret hakkına saygı şart.
5. Gönderici başlığı: Onaylı, tanınabilir bir başlık kullanın (alıcı kimden geldiğini anlasın).
6. Veri minimizasyonu: Mesaj hassas kişisel veri taşımıyor; ayrıntı güvenli panelde.
7. Ret mekanizması: Ticari iletilerde çıkış/ret yolu sağlanıyor (iletiMerkezi'nin Otomatik Çıkış özelliği bunu yönetir).

Özet

IoT/M2M bildirimlerinin mevzuat tablosu, ilk bakışta göründüğünden çok daha elverişli. Operasyonel alarmların ezici çoğunluğu onay gerektirmeyen bilgilendirme iletisi kategorisine girer; B2B senaryolarda sürtünme daha da azalır; bağlantı tarafında M2M telsiz ücreti istisnası maliyeti rahatlatır. Tek gerçek risk, bilgilendirme ile ticari iletiyi karıştırmak ve sınıflandırma sorumluluğunu hafife almaktır.

Doğru kurgu: alarmı iys: "0" ile temiz tut, satışı ayrı ve onaylı kanaldan yürüt, hassas veriyi mesaja koyma. Bu üç kuralla IoT bildirim sisteminiz hem hızlı hem uyumlu çalışır.

Bu bildirimleri pratikte hangi sektörlerde nasıl kuracağınıza dair somut örnekler için: Akıllı Sayaçtan Soğuk Zincire: 5 IoT Senaryosu.

Kaynaklar: İleti Yönetim Sistemi - Kanun, İYS - Sıkça Sorulan Sorular, iletiMerkezi İYS, iletiMerkezi SMS API - iys parametresi. 5809 sayılı kanun ve M2M telsiz ücreti istisnasına ilişkin değerlendirme BTK "Dünyada ve Türkiye'de IoT Uygulamaları" raporuna dayanmaktadır.