AYDINLATMA VE AÇIK RIZA METİNLERİNİN AYRI DÜZENLENMESİNE İLİŞKİN KVKK İLKE KARARI

Kişisel Verileri Koruma Kurulu’nun (Kurul) 18.02.2026 tarihli ve 2026/347 sayılı “Veri Sorumluları Tarafından Açık Rıza ve Aydınlatma Metinlerinin Ayrı Ayrı Düzenlenmesi Gerektiği Hakkında İlke Kararı”, 24.03.2026 tarihli ve 33203 sayılı Resmî Gazete’de yayımlanmıştır. Söz konusu ilke kararı ile Kurul, veri sorumlularının açık rıza ve aydınlatma yükümlülüklerini yerine getirirken uymaları gereken esasları ve bu iki yükümlülüğün ayrı ayrı yerine getirilmesi gerektiğini açıklamıştır.

I. İlke Kararının Konusu

Açık rıza metni ile aydınlatma metninin iç içe geçmiş şekilde ilgili kişilere sunulması, Kişisel Verileri Koruma Kurumu’na (Kurum) intikal eden ihbar ve şikâyetlerde en çok karşılaşılan hukuka aykırılıklardan biri olarak görülmüştür.

Bu durum, veri sorumlularının iki farklı hukuki kurumu uygulamada birbirine karıştırdığını göstermekte olup, Kurul tarafından konuya açıklık getirilmesi ihtiyacını doğurmuştur.

II. Kişisel Verileri Koruma Kurulu’nun Değerlendirmesi

Kurul, kararında öncelikle aydınlatma yükümlülüğü ile açık rızanın hukuki niteliğini net bir biçimde ayrıştırmıştır. Basit anlatımla:

·       Aydınlatma yükümlülüğü, 6698 sayılı Kanun’un 10. maddesi kapsamında veri sorumlusunun ilgili kişiyi bilgilendirme yükümlülüğüdür.

·       Açık rıza ise, 6698 sayılı Kanun’da öngörülen diğer veri işleme şartlarının bulunmadığı hâllerde başvurulan ve veri işleme faaliyetinin hukuki dayanağını oluşturan bir irade beyanıdır.

Bu çerçevede Kurul, her iki kavramın amaç, hukuki nitelik ve sonuçları bakımından farklı olduğunu açıkça ortaya koymuştur.

Anayasa’nın 20. maddesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 3, 5, 10 ve 12. maddeleri ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’in 5/f hükmü uyarınca; aydınlatma yükümlülüğü, ilgili kişinin talebine veya herhangi bir onayına bağlı olmaksızın, kişisel veri işleme faaliyetinin açık rıza dâhil olmak üzere Kanun’da öngörülen hangi işleme şartına dayandığından bağımsız şekilde, veri sorumluları tarafından veri işleme faaliyetine başlanmadan önce yerine getirilmesi gereken zorunlu bir yükümlülüktür.

Karar uyarınca aydınlatma metni; kişisel verilerin elde edilmesi anında ilgili kişiye veri sorumlusunun kimliği, verilerin işlenme amacı, aktarım yapılacak kişi veya kişi grupları ile aktarım amaçları, veri toplama yöntemi ve hukuki sebebi ile ilgili kişinin Kanun kapsamındaki hakları hakkında açık, anlaşılır ve yeterli bilgilendirme yapılmasını sağlamaya yöneliktir. Bu metinlerin amacı ilgili kişiden onay almak değil, onu bilgilendirmektir. Bu nedenle aydınlatma metinlerinde “kabul ediyorum” veya “onaylıyorum” gibi irade açıklamalarına yer verilmemesi; bunun yerine ilgili kişinin metni okuduğunu ve anladığını ortaya koyan beyanların tercih edilmesi gerekmektedir.

Açık rıza metni ise, veri işleme faaliyetinin ancak açık rızaya dayanılarak gerçekleştirilebildiği durumlarda gündeme gelmektedir. Kurul, açık rızanın belirli bir konuya ilişkin, yeterli bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir beyan olması gerektiğini vurgulamaktadır.

Bu doğrultuda açık rıza metinleri, aydınlatma metinlerinden ayrı şekilde düzenlenmeli; ilgili kişinin hangi veri işleme faaliyetleri için rıza verdiğini açık ve net biçimde anlayabilmesi sağlanmalıdır.

İlke kararı, başta şirketler, mobil uygulamalar, e-ticaret platformları, bankacılık ve finans kuruluşları, sağlık hizmet sunucuları ile insan kaynakları ve işe alım süreçlerini yürüten yapılar olmak üzere, kişisel veri işleyen tüm veri sorumluları bakımından doğrudan sonuç doğurmaktadır. Bu kapsamda veri sorumlularının mevcut uygulamalarını gözden geçirmeleri ve mevzuata uygunluklarını yeniden değerlendirmeleri gerekmektedir.

Kurul kararında aydınlatma yükümlülüğü ve açık rızaya ilişkin gereklilikler özetle aşağıdaki şekildedir:

·        Aydınlatma yükümlülüğü ile açık rıza kavramlarının farklı hukuki niteliklere sahip olması nedeniyle, bu metinlerin ayrı ayrı düzenlenmesi gerekmektedir.

·        Aydınlatma yükümlülüğü, kişisel veri işleme faaliyetinin hukuki sebebinden bağımsız olarak her durumda veri işleme faaliyetine başlamadan önce yerine getirilmelidir.

·        Açık rızaya dayalı veri işleme faaliyetlerinde, aydınlatma metni ile açık rıza metni farklı başlıklar altında ve ayrı metinler olarak hazırlanmalıdır. Her iki metin aynı sayfada sunulacaksa, metinlerin birbirinden açık şekilde ayrılması ve ayrı beyanlar içermesi gerekmektedir.

·        Açık rıza gerekmeyen hallerde yalnızca aydınlatma yükümlülüğünün yerine getirilmesi yeterli olup, ayrıca açık rıza alınmamalıdır.

·        Aydınlatma metinlerinde ilgili kişilerden onay veya rıza alınmamalı; yalnızca metnin okunduğu ve anlaşıldığına ilişkin beyan alınmalıdır.

·        Aydınlatma ve açık rıza metinlerinde sade, açık ve anlaşılır bir dil kullanılmalı; yanıltıcı, eksik veya genel ifadelerden kaçınılmalıdır.

·        Başka veri sorumluları tarafından hazırlanan metinlerin aynen kullanılmaması, her veri sorumlusunun kendi faaliyetlerine uygun metinler hazırlaması gerekmektedir.

·        Çok uzun, karmaşık ve gereksiz detay içeren metinlerden kaçınılmalı ve kişisel veri işleme amaçları ve hukuki sebepleri açık ve net şekilde belirtilmelidir.

III. Sonuç

Kurul’un bu İlke Kararı, açık rıza ile aydınlatma yükümlülüğünün doğru yerine getirilmesi bakımından önemli bir dönüm noktası niteliğindedir. Belirlenen yükümlülüklere aykırı hareket eden veri sorumluları hakkında Kanun’un 18. maddesi uyarınca idari yaptırımların tesis edileceği kamuoyuna duyurulmuştur.

Kararın Tam Metni: Kişisel Verileri Koruma Kurulu’nun 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı