I. Giriş
İnternet sitesi üyelikleri, mobil uygulamalar, çalışan ve aday çalışan formları, sadakat programları, müşteri kayıtları ve pazarlama süreçlerinde aydınlatma ile açık rızanın tek bir metin veya onay kutusu altında birleştirilmesi sık karşılaşılan bir uygulamadır. Kişisel Verileri Koruma Kurulu, 18 Şubat 2026 tarihli ve 2026/347 sayılı İlke Kararı ile bu uygulamada tekrar eden aykırılıkları bir arada değerlendirmiş; karar 24 Mart 2026 tarihli ve 33203 sayılı Resmî Gazete’de yayımlanmıştır.
Aydınlatma ile açık rızanın ayrılması 2026 yılında ilk defa getirilen bir yükümlülük değildir. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, açık rızaya dayalı işleme faaliyetlerinde iki sürecin ayrı ayrı yürütülmesini 2018 yılından beri öngörmektedir. Kurulun 2018/90 sayılı kararı da aydınlatmanın okunduğuna ilişkin geri bildirim ile açık rızanın verildiğini ispatlayan mekanizmaların ayrıştırılması gerektiğini belirtmiştir. 2026/347 sayılı İlke Kararı da, bu yaklaşımı somut formlarla bütünleştirmiş ve uyumsuzluğu Kanun’un 12’nci ve 18’inci maddeleriyle açık biçimde ilişkilendirmiştir.
II. Aydınlatma Yükümlülüğü İle Açık Rızanın Farklı Hukuki İşlevleri
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 10’uncu maddesindeki aydınlatma yükümlülüğü, kişisel verisi işlenecek kişinin veri sorumlusu, işleme amaçları, aktarım, veri toplama yöntemi ve hukuki sebep ile ilgili kişi hakları hakkında bilgilendirilmesini sağlar. Bu yükümlülük, işleme faaliyetinin açık rızaya veya Kanun’daki başka bir işleme şartına dayanmasından bağımsızdır. İlgili kişinin talebi ya da onayı beklenmeden, kişisel veri işlenmeye başlamadan önce yerine getirilmelidir.
Açık rıza ise kişisel verilerin hukuka uygun işlenmesini sağlayabilecek şartlardan biridir; bütün işleme faaliyetleri için alınması gereken genel bir izin değildir. Geçerli bir açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olması gerekir. Bu nedenle açık rıza, veri sorumlusunun zaten başka bir hukuki sebebe dayanarak gerçekleştirdiği zorunlu işlemleri topluca “onaylatan” bir metne dönüştürülemez.
İki kavramın aynı kutucukta birleştirilmesi, ilgili kişinin hangi beyanı verdiğini belirsizleştirir. Kişi, yalnızca kendisine bilgi verildiğini mi teyit etmekte, yoksa belirli bir isteğe bağlı işleme faaliyetine rıza mı göstermektedir? Hizmetin sunulması için gerekli olmayan bir işleme faaliyeti, zorunlu üyelik veya sözleşme adımına bağlandığında rızanın özgür iradeye dayanıp dayanmadığı da ayrıca tartışmalı hâle gelir. Sağlıklı bir uyum yapısı, önce her işleme faaliyeti için doğru hukuki sebebi belirler; yalnızca gerçekten açık rızaya dayanan faaliyetleri ayrı bir irade beyanına bağlar.
III. İlke Kararının Form ve Dijital Akışlara Etkisi
2026/347 sayılı İlke Kararı, kişisel veri işleme faaliyeti açık rızaya dayanıyorsa aydınlatma metni ile açık rıza metninin farklı başlıklar altında ayrı metinler olarak düzenlenmesini öngörmektedir. Her iki metnin aynı sayfada veya ekranda bulunması mümkündür; ancak alt alta yer alsalar dahi ayrı başlıklar ve her metin için ayrı beyan mekanizmaları kullanılmalıdır. Tek/ortak bir “okudum, anladım ve kabul ediyorum” kutusu, bu ayrımı sağlamaz.
İşleme faaliyeti Kanun’daki başka bir işleme şartına dayanıyorsa ilgili kişiye ayrıca açık rıza metni sunulmamalıdır. Örneğin bir siparişin kurulması veya ifası için zorunlu veriler ile isteğe bağlı pazarlama iletişimi aynı hukuki zeminde değerlendirilmez. İlk işlem için aydınlatma yapılırken, pazarlama amacı gerçekten açık rızaya dayanıyorsa bu amaç için ayrı, belirli ve isteğe bağlı bir beyan tasarlanması gerekir. Her veri toplama noktasına rıza kutusu eklemek, uyumu güçlendirmek yerine tam aksine hukuki sebep haritasını belirsizleştirebilir.
Aydınlatma bakımından istenebilecek geri bildirim de doğru adlandırılmalıdır. Veri sorumlusu, metnin okunduğuna ve bilgi edinildiğine ilişkin bir kayıt oluşturabilir; fakat aydınlatma metnindeki açıklamaların “onaylanmasını” veya bu açıklamalara “rıza verilmesini” talep edemez. Kâğıt formlarda imza alanının, dijital akışlarda ise buton ve kutucukların etiketi bu farkı yansıtmalıdır. Aydınlatmanın gerçekleştiğini gösteren kayıt ile açık rızayı gösteren olumlu beyan, hem görünür arayüzde hem de arka plandaki kayıtlarda ayrı tutulmalıdır.
İlke Kararı, başka bir veri sorumlusuna ait metnin faaliyete uyarlanmadan kullanılmasını da açık bir risk olarak tanımlamaktadır. Metinler, veri sorumlusunun gerçek organizasyonuna, veri kategorilerine, amaçlarına, hukuki sebeplerine ve aktarım yapılarına dayanmalıdır. Muğlak kanun atıfları, gerçekleşmeyen yurt dışı aktarımlarını varmış gibi gösteren ifadeler veya bütün işleme faaliyetlerini kapsadığı varsayılan uzun politika metinleri doğru bir aydınlatmanın yerini tutmaz. Açıklık ve sadelik, hukuki içeriğin eksiltilmesi değil; gerekli bilginin somut işleme faaliyetiyle sınırlı ve anlaşılır biçimde sunulması anlamına gelir.
IV. Belgelendirme, İspat ve Uyum Mimarisi
Form ve ekranların revizyonu, mevcut metinlerde başlık değişikliği yapılmasından önce veri akışının haritalandırılmasıyla başlamalıdır. Hangi verilerin hangi noktada toplandığı, her amacın hangi işleme şartına dayandığı, verilerin kimlere hangi amaçlarla aktarıldığı ve hangi sistemlere kaydedildiği belirlenmeden hazırlanan metinler, görünüşte ayrılmış olsalar bile fiilî süreçle uyuşmayabilir. Aynı şirket içindeki insan kaynakları, müşteri hizmetleri, pazarlama ve ürün süreçleri de tek bir genel metin altında eritilmemelidir.
Katmanlı aydınlatma, özellikle mobil ekranlarda temel bilginin ilk aşamada görünür olduğu ve ayrıntılı metne kolay erişim sağlandığı durumlarda kullanılabilir. Buna karşılık ilgili kişiyi genel bir gizlilik politikasına yönlendirmek, işleme faaliyetine özgü aydınlatmanın yerini her zaman tutmaz. Metnin toplama anında erişilebilir olması ve bağlantı, açılır pencere veya kâğıt ek gibi kullanılan yöntemin kişinin bilgiye fiilen ulaşmasını zorlaştırmaması gerekir.
Aydınlatmanın yerine getirildiğini ve açık rızanın geçerli biçimde alındığını ispat yükü veri sorumlusuna aittir. Bu nedenle kullanılan metnin sürümü, kişiye sunulduğu tarih ve kanal ile varsa açık rıza beyanının kapsamı ayrı kayıtlar üzerinden izlenebilmelidir. Dijital sistemlerde aynı zaman damgasının iki farklı hukuki olayı tek kayda dönüştürmesi önlenmeli; kâğıt süreçlerinde de aydınlatma alındısı ile rıza beyanı birbirinden ayırt edilebilmelidir. İspat amacıyla tutulan kayıtların kapsamı da ölçülü olmalı ve gereksiz yeni kişisel veri üretmemelidir.
Açık rızanın geri alınması, yalnızca metinsel bir hak olarak bırakılmamalıdır. Geri alma beyanının ilgili sisteme iletilmesi ve bu beyanın ulaştığı andan itibaren rızaya dayalı gelecekteki işlemlerin durdurulması gerekir. Başka bir hukuki sebebe dayanan işleme veya kanuni saklama yükümlülüğü varsa bunlar ayrıca değerlendirilir. Pazarlama sistemi, müşteri ilişkileri yönetimi, insan kaynakları platformu ve dış hizmet sağlayıcılar arasında bu ayrımı uygulayacak bir yönlendirme kurulmadığında, formdaki doğru ifade operasyonel uyumu tek başına sağlayamaz.
V. Sektörel Uygulama ve Yabancı Şirketler
E-ticaret ve dijital hizmetlerde hesap açılması, siparişin yürütülmesi, ödeme, teslimat ve zorunlu güvenlik kontrolleri ile isteğe bağlı pazarlama veya profilleme faaliyetleri aynı onay mekanizmasına bağlanmamalıdır. Kullanıcının gerekli işlemler hakkında aydınlatılması ile isteğe bağlı bir amaç için açık rıza vermesi farklı adımlar olarak tasarlanmalıdır. Rızanın verilmemesi, rızaya bağlı olmayan temel hizmetin sunulmasını kendiliğinden engellememelidir.
Sadakat programları ve mağaza formlarında da telefon numarası veya üyelik bilgisinin indirim, hesap yönetimi, analiz ve ticari ileti gibi birden fazla amaç için kullanılabildiği görülmektedir. Her amacın hukuki sebebi ayrı değerlendirilmeden tek bir geniş rıza alınması, belirli konuya ilişkin olma şartını zayıflatır. Müşteriye sunulan kısa ekran ile arka plandaki müşteri ilişkileri ve pazarlama sistemlerinin aynı amaç ayrımını koruması gerekir.
Benzer şekilde insan kaynakları ve işe alım süreçlerinde de aydınlatmanın okunduğuna ilişkin imza ile çalışan veya adaydan talep edilen açık rıza aynı belgeye sıkıştırılmamalıdır. Sağlık verisi içeren süreçlerde ise işlenen verinin niteliği, erişim ihtiyacı ve uygulanabilir işleme şartları ayrıca hassasiyet taşır. Bu alanlarda standart bir formun çoğaltılması, farklı veri kategorileri ve amaçlar arasındaki hukuki ayrımı görünmez hâle getirebilir.
Türkiye’de faaliyet gösteren yabancı gruplar bakımından küresel veya GDPR odaklı şablonların doğrudan çevrilmesi yeterli olmayabilir. Türkiye’deki veri sorumlusunun kimliği, yerel ve grup içi veri akışları, gerçek aktarım yapısı, kullanılan KVKK işleme şartı ve Türkçe kullanıcı deneyimi birlikte değerlendirilmelidir. Grup politikası ile yerel form arasında çelişki bulunması, hem bilgilendirmenin doğruluğunu hem de verilen rızanın kapsamını etkileyebilir. Türkiye akışının ayrıca tanımlanması, yalnızca metin çevirisinden daha güvenilir bir uyum zemini oluşturur.
VI. Genel Değerlendirme
Kurul, 2026/347 sayılı İlke Kararı’nda belirtilen hususları kişisel verilerin hukuka uygun işlenmesini sağlamak üzere Kanun’un 12’nci maddesinin birinci fıkrası kapsamında alınması gereken idari ve teknik tedbirler arasında değerlendirmiştir. Bu hususlara aykırılığın tespiti hâlinde Kanun’un 18’inci maddesi uyarınca işlem tesis edilebileceğini de açıkça belirtmiştir. Dolayısıyla konu yalnızca form tasarımı veya ifade tercihi olarak ele alınmamalıdır.
Metinleri iki başlık altında göstermek gerekli olmakla birlikte tek başına yeterli değildir. İşleme amaçları, veri kategorileri ve hukuki sebepler doğru belirlenmemiş; arayüzdeki seçimler arka plandaki sistemlere yansıtılmamış veya geri alma mekanizması işletilemiyorsa şekli ayrım gerçek bir uyum sağlamaz. Hukuk, ürün, insan kaynakları, pazarlama, bilgi teknolojileri ve operasyon ekiplerinin aynı veri akışı üzerinden çalışması bu nedenle önem taşır.
2026/347 sayılı İlke Kararı sonrasında öncelikli mesele, mevcut bütün formlara yeni rıza kutuları eklemek değil; hangi işlemenin gerçekten açık rızaya dayandığını yeniden doğrulamak ve aydınlatma, irade beyanı, ispat kaydı ile sistem davranışını bu ayrım etrafında tutarlı hâle getirmektir.
