B2B e-posta ile müşteri arama: Fransa, Almanya, İspanya ve İtalya'da neye izin veriliyor?

Fransa'da bir profesyonele, faaliyetiyle ilgili olması, onu bilgilendirmesi ve kolayca itiraz etmesine imkân tanıması koşuluyla, önceden onayı alınmadan müşteri arama e-postası gönderilebilir. Almanya ve İtalya ise tersine, şirketler arasında bile önceden onay şartı arar; veri koruma otoritesine göre İspanya da öyledir, ancak bu yorum genel adresler için tartışmalıdır. AB dışında Birleşik Krallık ve ABD daha esnek, Kanada ise daha katıdır.

Bu makale genel bilgi niteliğindedir ve 13 Ekim 2026 itibarıyla günceldir. Hukuki tavsiye niteliği taşımaz.

Yabancı bir şirkete yazarken hangi hukuk uygulanır?

“Fransa'dan gönderiyorum, dolayısıyla Fransız hukuku uygulanır” refleksi risklidir. Avrupa elektronik ticaret direktifi, istenmeyen ticari e-posta iletişimlerinin kabul edilebilirliğini menşe ülke ilkesinin dışında tutar (2000/31/AT sayılı Direktif, ek). Bu nedenle ihtiyatlı varsayım, alıcının ülkesindeki kuralı uygulamaktır. Kanada bunu açıkça öngörür: Kanada yasası, Kanada'dan görüntülenen iletilere uygulanır (Mystrika).

İki kavram sıkça karşımıza çıkar. İtiraz rejimi (opt-out), alıcı itiraz etmediği sürece gönderime izin verir. Onay rejimi (opt-in) ise önceden alınmış, özgür ve doğrulanabilir bir onay gerektirir.

Fransa neye izin veriyor?

CNIL, ileti alıcının mesleğiyle ilgili olduğunda, alıcı bilgilendirildiğinde ve itiraz edebildiğinde, B2B müşteri aramayı meşru menfaat temelinde kabul eder; her ileti göndereni tanımlamalı ve sonraki gönderimleri reddetmek için basit bir yol sunmalıdır. contact@ veya info@ gibi tüzel kişilere ait genel adresler bu kurallara tabi değildir (CNIL, 10 Haziran 2026).

Adresler kamuya açık kaynaklardan elde edildiğinde, kaynak en geç ilk iletişimde belirtilmelidir (CNIL, 30 Nisan 2020). Verilerin toplanması da denetime tabidir: CNIL, 5 Aralık 2024'te, görünürlüğünü kısıtlamış LinkedIn üyelerinin iletişim bilgilerini toplayan ve bunları yaklaşık 160 milyon kişilik bir veri tabanında beş yıl boyunca saklayan KASPR'a 240.000 € para cezası verdi (CNIL, 19 Aralık 2024). Web sayfalarından otomatik veri toplama (scraping) için CNIL, özellikle robots.txt dosyalarına ve CAPTCHA'lara uyulmasını ister (CNIL, 19 Haziran 2025).

Neden en katı ülke Almanya?

Haksız Rekabete Karşı Kanun'un (UWG) 7. maddesi, önceden alınmış, açık ve ispatlanabilir bir onay olmadan gönderilen her türlü e-posta reklamını, işletmeler arasında da tüketicilere yönelik olarak da rahatsız edici reklam sayar; varsayılan onay yeterli değildir (IHK). Tek istisna, benzer ürünler için mevcut müşterilerdir (IT-Recht Kanzlei).

İki kanal açık kalır. Aranan şirketin faaliyetiyle somut bir bağlantı varsa B2B telefon araması varsayılan onayla kabul edilir; bir rehberde yer almak tek başına yeterli değildir. Kişiye hitaben gönderilen posta ise kural olarak serbesttir (IHK). Asıl risk hukuk alanındadır: rakipler veya dernekler durdurma (ihtiyati tedbir) davası açabilir (IT-Recht Kanzlei).

İtalya ve İspanya ne diyor?

İtalya'da Kişisel Verilerin Korunması Kanunu'nun 130. maddesi alıcının önceden onayını şart koşar. Garante, bu yükümlülüğün alıcının hukuki niteliğinden, yani gerçek veya tüzel kişi olmasından bağımsız olarak uygulandığını açıklamıştır (Garante, 7 Mayıs 2015): bir info@ adresi istisna oluşturmaz.

İspanya'da LSSI'nin 21. maddesi, benzer ürünlere ilişkin önceki bir sözleşme ilişkisi olmadıkça, alıcıları tarafından talep edilmemiş veya açıkça izin verilmemiş ticari e-postaları yasaklar (BOE). AEPD bu kuralı tüzel kişilere de uygular (AEPD, E/01415/2017). Mayıs 2026'da yayımlanan bir yazılım sağlayıcısı rehberi, genel veya göreve bağlı adresler için bunun tersini savunur (Overloop): bu görüş otoriteyi bağlamaz. Kurallara aykırı bir gönderim hafif ihlaldir ve 30.000 €'ya kadar cezası vardır; toplu gönderim ya da aynı alıcıya bir yıl içinde üçten fazla ileti ise 30.001 € ile 150.000 € arasında cezayı gerektiren ağır ihlal hâline gelir (LSSI, md. 38 ve 39).

Peki AB dışında: Birleşik Krallık, ABD, Kanada?

Birleşik Krallık'ta PECR yönetmeliği, “tüzel kişi abonelere”, yani şirketlere, İskoç ortaklıklarına, LLP'lere ve kamu kurumlarına onay olmadan yazılmasına izin verir. Şahıs işletmeleri ve bazı ortaklıklar bireyler gibi değerlendirilir. Gönderen kimliğini belirtmeli ve abonelikten çıkmak için geçerli bir adres sunmalıdır (ICO). Büyük bölümü 5 Şubat 2026'da yürürlüğe giren Data (Use and Access) Act 2025'ten bu yana PECR para cezaları 17,5 milyon £'a veya küresel cironun %4'üne ulaşabilir (Harper James, Mart 2026).

ABD'de CAN-SPAM yasası hiçbir B2B istisnası öngörmez. Doğru bir başlık bilgisi, reklam ibaresi, geçerli bir posta adresi ve abonelikten çıkma taleplerinin 10 iş günü içinde işlenmesini şart koşar; kurallara aykırı her e-posta için ceza 53.088 $'a kadar çıkabilir (FTC).

Kanada'da istenmeyen e-postaya karşı yasa (CASL) açık veya örtülü onay şartı arar. Örtülü onay, ileti alıcının göreviyle ilgiliyse, ret ibaresi taşımadan belirgin biçimde yayımlanmış bir adresten doğabilir (CRTC). İdari yaptırımlar bir şirket için ihlal başına 10 milyon Kanada dolarına kadar çıkar (Mystrika).

Ülke ülke hangi rejim uygulanıyor?

Hukukun yanı sıra hangi teslim edilebilirlik kuralları geçerli?

Yasal bir gönderim yine de görünmez kalabilir. Google tüm gönderenlerden Postmaster Tools'ta spam oranını %0,3'ün altında tutmalarını ister ve %0,1'in altında kalmayı önerir. Gmail'e günde 5.000'den fazla ileti gönderildiğinde ayrıca SPF, DKIM, DMARC ve tek tıkla abonelikten çıkma şartı arar (Google).

Microsoft, 5 Mayıs 2025'ten bu yana Outlook.com, Hotmail ve Live'a günde 5.000'den fazla ileti gönderen alan adlarının SPF, DKIM ve DMARC kayıtlarını yayımlamasını zorunlu tutar; kurallara uymayan iletiler önce gereksiz e-posta klasörüne düşer (Microsoft, 2 Nisan 2025). Hedefli, kısa ve faydalı bir ileti, tüm gönderim alan adını etkileyen spam bildirimlerini sınırlar.

Risksiz bir müşteri adayı listesi nasıl oluşturulur?

Şirket verileri (ticaret unvanı, faaliyet, web sitesi) kişisel veri değildir; isimler ve kişiye özel adresler ise kişisel veridir. Üç kural riski azaltır:

1. Yeniden kullanılabilir kaynaklar seçin. Bir sitenin kullanım koşulları, korunmayan bir veri tabanından bile veri çekilmesini yasaklayabilir (AB Adalet Divanı, 15 Ocak 2015). LinkedIn, otomatik veri çekme ve gönderim araçlarını yasaklar (LinkedIn).
2. Bilgilendirin ve saklama süresini sınırlayın. İspanya'da AEPD, 2025 yılında, kamuya açık bir sayımdan elde edilen 1,6 milyon şahıs işletmesi sahibinin verilerini hukuki dayanak olmadan ve bilgilendirme yapmadan işlediği için Informa D&B'ye 1,8 milyon € ceza verdi (PPC Land).
3. Tüm kampanyalar için ortak bir itiraz listesi tutun ve bunu her ülkede uygulayın.

Fransa, dört ülke arasında önceden onay olmadan B2B gönderimin açıkça kabul edildiği tek ülke olmaya devam ediyor. Almanya, İtalya ve İspanya'da ilk temas başka kanallardan kurulur: fuarlar, posta ve potansiyel müşterinin onay vermesini sağlayan içerikler.