Kişisel verilerin korunması hukukunun temel ilkelerinden olan şeffaflık ve hesap verilebilirlik ilkeleri, uygulamada veri sorumlularının aydınlatma yükümlülüğü ve ilgili kişinin açık rızası kavramları üzerinden şekillenmektedir. Ancak, süreç içerisinde bu iki (2) bağımsız ilkenin veri sorumluları tarafından sıklıkla birbirine karıştırıldığı veya aynı onay mekanizması altında birleştirildiği görülmüştür.
Kişisel Verileri Koruma Kurulu (“Kurul”), 18.02.2026 tarihinde yayınlanan 2026/347 sayılı ilke kararı ile kişisel verilerin korunması uygulamasında sıklıkla karşılaşılan bu sorunu ele almaktadır. 04.03.2026 tarihli ve 33203 sayılı Resmî Gazete’de yayımlanan bu ilke kararı (“İlke Kararı”), veri işleme süreçlerinde aydınlatma ve açık rıza mekanizmalarının kesin çizgilerle birbirinden ayrılması gerektiğini belirtmekte olup, bu durum veri sorumluları açısından kritik yapısal değişiklikler öngörmektedir.
- Karar Özeti
Kurul, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 15. maddesinin 6. fıkrası uyarınca, şikâyet üzerine veya resen yapılan inceleme sonucunda ihlalin yaygın olduğunun tespit edilmesi hâlinde bu konuda ilke kararı alarak yayımlama yetkisine sahiptir.
Kurul uygulamada veri sorumlularının, kanuni bir zorunluluk olan aydınlatma yükümlülüğünü yerine getirirken kullandıkları metinler ile veri işleme faaliyeti için hukuki bir dayanak olan açık rıza metinlerini tek bir doküman veya tek bir onay butonu altında birleştirdikleri yaygın olarak tespit etmiş olup, bu durumun, kamuoyunun neye rıza gösterdiğini tam olarak anlayamamasına ve iradenin sakatlanmasına yol açtığını belirtmiştir. Kurul, KVKK uyarınca kendisine tanınan yetki doğrultusunda, söz konusu İlke Kararı’nda iki kavramın birbirinden bağımsız süreçler olduğunu net bir şekilde ortaya koymuştur.
Kurul ‘un açıklaması doğrultusunda aşağıdaki temel hususlar açıklanmaktadır;
- Aydınlatma yükümlülüğü, veri işleme faaliyetinin hangi hukuki sebebe dayandığından bağımsız olarak, veri işleme faaliyetinden önce mutlaka yerine getirilmesi gereken kanuni bir yükümlülüktür. Aydınlatma metinlerinde ilgili kişilerden onay talep edilmemeli, sadece bilgilendirmenin yapıldığına dair geri bildirim alınmalıdır.
- Açık rıza ise, Kanun’da sayılan veri işleme şartlarından yalnızca biridir ve kendine has ayrı bir hukuki niteliği bulunmaktadır. Eğer kişisel veri, Kanun’daki açık rıza dışındaki diğer hukuki sebeplere dayanılarak işleniyorsa, açık rıza alınmamalı, yalnızca aydınlatma yükümlülüğü yerine getirilmelidir. Veri sorumluları başka kurumlara ait metinleri aynen kullanmamalı, kendi faaliyetlerine özgü metinler hazırlamalıdır.
- Dolayısıyla, açık rızaya dayalı yürütülen veri işleme faaliyetlerinde aydınlatma ve açık rıza metinleri ayrı ayrı hazırlanmalı; aynı sayfada sunulsalar dahi içerik ve beyanlar ayrıştırılmalı, tek bir onay ile iki sürecin birlikte yürütülmesi engellenmelidir.
2. Hukuki Değerlendirme ve Öneriler
Kurul’un İlke Kararı’nın temeli doğrudan KVKK’nın emredici hükümlerden oluşmaktadır. KVKK’nın 10. maddesi, veri sorumlusuna kişisel verilerin elde edilmesi sırasında ilgili kişiye; kendi kimliği, veri işleme amacı, aktarım durumları, veri toplama yöntemi ile hukuki sebebi ve 11. maddesindeki haklar konusunda bilgi verme yükümlülüğü yüklemektedir. Bu işlem ise tek taraflı bir bilgilendirme beyanıdır.
Diğer yandan, KVKK’nın 3. maddesinin 1. fıkrasının (a) bendinde açık rıza; “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanmıştır. KVKK’nın 5. maddesi gereğince, kural olarak kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. Ancak, kanunlarda açıkça öngörülmesi, sözleşmenin ifası, hukuki yükümlülüğün yerine getirilmesi gibi 5. maddenin 2. fıkrasında sayılan şartlardan birinin varlığı hâlinde açık rıza aranmaksızın veri işlenmesi mümkündür.
İlke Kararı’nın hukuki dayanağı tam da bu noktada, KVKK’nın 3., 5. ve 10. maddelerinin sistematik yorumuna dayanmaktadır. Eğer aydınlatma metni ile açık rıza metni tek bir onay mekanizmasına bağlanırsa, rızanın unsurlarından olan “özgür irade” sakatlanmış olur. Veri sorumlusunun aydınlatma yükümlülüğünü yerine getirmesi, ilgili kişinin buna rıza gösterdiği anlamına gelmeyeceği gibi onaylanması için dayatılan bir metin olarak sunulması da hukuken anlamsızdır.
KVKK’nın 4. maddesinde yer alan kişisel verilerin “Hukuka ve dürüstlük kurallarına uygun olma” ile “Belirli, açık ve meşru amaçlar için işlenme” ilkeleri, aydınlatma metinlerinin sade, anlaşılır olmasını ve kopyala yapıştır şeklinde hazır metin olmaktan uzak bir şekilde hazırlanmasını zorunlu kılar. İlke Kararı doğrultusunda metinlerin ayrı ayrı kurgulanması da veri işleme faaliyetinin hukuka uygunluğunu temin eden “idari tedbirler” kapsamında değerlendirilebilir.
İlke Kararı doğrultusunda, her iki metnin aynı sayfada (örneğin bir web sitesindeki aynı form üzerinde bulunması) zorunlu ise, metinler alt alta gelecek şekilde farklı başlıklar altında sunulmalı ve her iki metin için ilgili kişiden ayrı ayrı beyan alınmalıdır.Önemle belirtmek gerekir ki, aydınlatma metinleri onaylanacak bir sözleşme değildir. Bu nedenle, ilgili kişilerden sadece aydınlatma metninin okunduğuna ve bilgi edinildiğine dair bir geri bildirim alınmalıdır. Aydınlatma metninde yer alan ifadeler için ilgili kişiden onay veya rıza verilmesi kesinlikle talep edilmemelidir.
Bugüne kadar birçok internet sitesi, mobil uygulama ve fiziki mağazada karşılaşılan “Aydınlatma metnini okudum ve verilerimin işlenmesine onay veriyorum” şeklindeki tekil onay kutucukları hukuka aykırı hale gelmiştir. Veri sorumluları tüm dijital ve fiziki veri toplama ara yüzlerini, iş süreçlerini ve hukuki metinlerini bu ayrımı yansıtacak şekilde derhal güncellemek zorundadır.
3. Sonuç ve Yaptırım
İlke Kararı ile, veri sorumluları tarafından genellikle birbirine karıştırılan aydınlatma ve açık rıza kavramlarının somut belgeler üzerindeki ayrılığını kesin bir kurala bağlamıştır. Kurul, açık rıza ve aydınlatma metinlerinin ayrı ayrı düzenlenmesi ve yukarıda sayılan kurallara uyulması zorunluluğunu, KVKK’nın 12. maddesinin birinci fıkrası kapsamındaki “idari ve teknik tedbirler” arasında değerlendirmiştir.
Dolayısıyla, bu ilke kararına uygun hareket etmeyen veri sorumluları, veri güvenliğine ilişkin yükümlülüklerini yerine getirmemiş sayılacak ve haklarında KVKK’nın 18. maddesi hükümleri uyarınca, idari para cezası ve ilgili yaptırımlar uygulanacaktır.
Veri sorumlularının hukuki bir yaptırımla karşılaşmamak adına tüm aydınlatma ve açık rıza süreçlerini, dijital ve fiziki formlarını bu karar ışığında ivedilikle revize etmeleri gerekmektedir.
Sıkça Sorulan Sorular
1) Aydınlatma metni ve açık rıza metni aynı sayfada veya ekranda yer alabilir mi?
Cevap: Evet, yer alabilir. Ancak İlke Kararı gereğince bu metinler aynı sayfada sunulsa dahi içerik ve beyanların birbirinden tamamen ayrıştırılması, farklı başlıklar altında sunulması ve tek bir onay mekanizmasıyla iki sürecin birlikte yürütülmemesi gerekmektedir.
2) Aydınlatma metinleri için ilgili kişiden onay almak zorunda mıyım?
Cevap: Hayır, aydınlatma yükümlülüğü tek taraflı bir bilgilendirme işlemidir. İlke Kararı uyarınca aydınlatma metnindeki ifadeler için onay alınmamalı, yalnızca ilgili kişiye bilgilendirme yapıldığına ilişkin bir geri bildirim (okudum/anladım gibi) alınması tercih edilmelidir.
3) Veri işleme faaliyetimiz sözleşmenin ifası gibi açık rıza dışındaki bir hukuki şarta dayanıyorsa nasıl bir yol izlenmelidir?
Cevap: Kişisel verilerin KVKK Madde 5/2 kapsamında açık rıza şartı dışındaki diğer hukuki sebeplere dayanılarak işlenmesi halinde (örneğin sözleşmenin ifası veya hukuki yükümlülük), ilgili kişiden açık rıza alınmamalı, sadece aydınlatma yükümlülüğü yerine getirilmelidir.
4) Başka bir şirketin özenle hazırladığı aydınlatma metnini kendi internet sitemde kopyalayarak kullanabilir miyim?
Cevap: Bu doğru bir kullanım olmayacaktır. İlke Kararı, veri sorumlularının kullandıkları metinleri kendi faaliyetlerine, veri işleme amaçlarına ve hukuki sebeplerine özgü şekilde hazırlaması gerektiğini, başka kurumlara ait metinlerin aynen kopyalanıp kullanılmaması gerektiğini kesin bir dille belirtmektedir.
5) Açık rıza ve aydınlatma metinlerinin usulüne uygun olarak ayrılmaması durumunda ne gibi hukuki yaptırımlarla karşılaşılır?
Cevap: Metinlerin kurallara uygun şekilde ayrıştırılmaması KVKK madde 12 kapsamındaki idari tedbirlerin alınmaması olarak değerlendirilmekte olup, ihlal durumunda veri sorumluları KVKK madde 18 uyarınca idari para cezalarıyla karşı karşıya kalabilmektedir.
Ücretsiz Ön Değerlendirme ve Danışmanlık İçin:
nazli@npartners.com.tr | info@npartners.com.tr | oyku@npartners.com.tr | alikaan@npartners.com.tr