E-Ticarette Açık Rıza Alışveriş Şartı Yapılır mı? KVKK Rehberi 2026

Kısa cevap: E-ticarette alışverişin kurulması ve ifası için gerçekten gerekli kişisel veriler, KVKK m.5’te başka bir işleme şartı varsa ayrıca açık rızaya bağlanmaz. Siparişin alınması, ödeme, teslimat, fatura, cayma/iade ve sözleşmesel yükümlülüklerin yerine getirilmesi için zorunlu olmayan pazarlama, reklam, kişiselleştirme veya benzeri veri işleme faaliyetleri bakımından ise açık rızanın alışverişin zorunlu şartı hâline getirilmesi özgür iradeyi sakatlar. Aydınlatma metni, KVKK açık rızası ve 6563 sayılı Kanun kapsamındaki ticari elektronik ileti onayı birbirinden ayrı işlemlerdir.

E-Ticarette Açık Rıza Alışverişin Şartı Yapılabilir mi?

KVKK’da açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan irade beyanıdır. Bir kişi alışveriş yapmak için pazarlama, reklam veya işlevsel olarak zorunlu olmayan başka veri işleme faaliyetlerine mecburen “evet” demek zorunda bırakılırsa rızanın özgür irade unsuru tartışmalı hâle gelir. Kişisel Verileri Koruma Kurumu’nun “Hizmetin Açık Rıza Şartına Bağlanması” kararında, sözleşmenin kurulması veya ifası için KVKK m.5/2-c gibi başka bir veri işleme şartı mevcutken ayrıca açık rıza alınmasının ilgili kişiyi yanıltabileceği; açık rızanın üyelik veya hizmet koşulu hâline getirilmesinin de rızayı sakatlayacağı belirtilmiştir.

Bu nedenle e-ticaret sitesinin doğru sorusu “her şey için tek onay kutusu koyabilir miyim?” değil, her veri işleme faaliyetinin amacını ve hukuki sebebini ayrı belirlemektir. Sipariş için gerekli veri, fraud önleme, yasal fatura, müşteri hizmeti, reklam profillemesi, ticari ileti ve zorunlu olmayan çerezler farklı hukuki faaliyetlerdir. Hepsini tek “KVKK ve kampanyaları kabul ediyorum” kutusuna bağlamak şeffaflık ve özgür rıza ilkeleriyle bağdaşmaz.

Alışveriş İçin Zorunlu Kişisel Verilerde Açık Rıza Gerekir mi?

Bir malın internetten satılması için ad-soyad, teslimat adresi, iletişim bilgisi, sipariş içeriği ve ödeme durumunun işlenmesi sözleşmenin kurulması veya ifası için gerekli olduğu ölçüde KVKK m.5/2-c hukuki sebebine dayanır. Fatura düzenlenmesi, muhasebe, vergi ve tüketici mevzuatından doğan zorunlu işlemler ise KVKK m.5/2-ç kapsamındaki hukuki yükümlülüğün yerine getirilmesi sebebine dayanır. Bu işlemler için ayrıca açık rıza alınması, açık rızayı sözleşmenin zorunlu şartı hâline getirme sonucunu doğurmamalıdır.

Başka bir işleme şartı mevcutsa şirketin sırf “daha güvenli olsun” düşüncesiyle ayrıca açık rıza istemesi doğru değildir. Kişinin rızayı geri çekmesi hâlinde sözleşme için gerekli verinin işlenmeye devam etmesi gerekiyorsa, zaten esas hukuki sebebin açık rıza olmadığı anlaşılır. Bu sebeple sipariş ekranında zorunlu veri ile rızaya bağlı veri açıkça ayrılmalıdır.

Veri minimizasyonu da önemlidir. Bir tişört siparişinde medeni hâl, doğum yeri, meslek, aile üyeleri veya sağlık verisi istemek sözleşmenin ifasıyla açıklanamaz. “Formda alan var” olması gereklilik yaratmaz. E-ticaret işletmesi her form alanı için gerçekten neden ihtiyaç duyulduğunu belgelemelidir.

Reklam ve Pazarlama İçin Açık Rıza Nasıl Alınmalı?

Satın alma işleminin tamamlanması için zorunlu olmayan reklam hedefleme, kullanıcı davranışının uzun süre izlenmesi, kişiselleştirilmiş kampanya profili veya üçüncü taraf reklam ağına veri aktarımı bakımından açık rıza dışındaki hukuki sebepler somut olarak değerlendirilmelidir. Başka işleme şartı bulunmuyorsa açık rıza alınır. Ancak bu rıza, “alışverişi tamamla” düğmesinin zorunlu bir parçası hâline getirilemez.

Kurulun 2024/1361 sayılı kararında tek seferlik bilgi alma hizmetinin reklam, promosyon ve kampanya amacıyla daha geniş veri kullanımına ve ticari iletiye bağlanmasının açık rızanın özgür irade unsurunu sakatladığı değerlendirilmiştir. Kurul ayrıca pazarlama rızasının hizmetin ön şartı olarak zorunlu tutulmaması gerektiğini açıkça belirtmiştir. E-ticarette de aynı ilke geçerlidir: müşteri ürünü satın alabilmeli, pazarlama rızasını ise ayrı ve isteğe bağlı şekilde verebilmelidir.

Aydınlatma Metni ile Açık Rıza Aynı Şey Değildir

KVKK m.10 uyarınca veri sorumlusu, kişisel veriyi elde ederken ilgili kişiyi aydınlatmak zorundadır. Aydınlatma; veri sorumlusunun kimliği, işleme amacı, aktarım, toplama yöntemi ve hukuki sebep ile m.11 haklarını içerir. Aydınlatma kişinin onayına bağlı bir izin değildir. “Aydınlatma metnini kabul ediyorum” şeklinde zorunlu onay kutusu, hukuki işlevleri karıştırabilir.

Açık rıza ise yalnız rızaya dayalı işleme faaliyeti için alınır. Aydınlatma metninin altına tek “okudum, kabul ediyorum, kampanya SMS’i almak istiyorum, verilerim yurt dışına aktarılsın” kutusu koymak belirli konu unsurunu zedeler. Ayrı amaçlar ayrı seçimlerle sunulmalıdır.

Okundu teyidi ile rıza farklıdır: Aydınlatmanın yapıldığını ispatlamak için kullanılan bir “okudum” kaydı, tek başına pazarlama açık rızası değildir. Kurulun 2023/1041 sayılı kararında, aydınlatma metninin okunduğunu teyit ettiren uygulama somut olayda hukuka aykırı bulunmamıştır. Bu kayıt üzerinden reklam, profilleme veya aktarım rızası alınmış sayılamaz; kutunun metni ve gerçek işlevi birlikte değerlendirilir.

KVKK Açık Rızası ile Ticari Elektronik İleti Onayı Farklı mıdır?

Evet. Pazarlama SMS’i, e-posta veya arama gönderilmesi 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik kapsamında ayrıca değerlendirilir. Ticari ileti onayı ile kişisel verinin pazarlama amacıyla işlenmesine ilişkin KVKK hukuki sebebi birbirine yakın görünse de aynı işlem değildir.

Şirketin tek bir kullanıcı arayüzünde iki düzenlemeyi birlikte yönetmesi mümkündür; ancak kullanıcı neye onay verdiğini açıkça anlamalıdır. Örneğin “kampanya SMS’i ve e-posta almak istiyorum” seçimi ticari ileti boyutunu; bu ileti için kullanılan telefon/e-posta ve davranış verisinin işlenmesi KVKK boyutunu taşır. Onay geri alındığında ileti gönderimi durdurulmalı, KVKK bakımından rızaya dayalı pazarlama faaliyeti de ileriye dönük sonlandırılmalıdır.

Zorunlu Olmayan Çerezler de Alışveriş Şartı Yapılabilir mi?

Kurulun 2024/1361 kararında “kesinlikle gerekli” olmayan analitik, işlevsel veya reklam/pazarlama çerezleri bakımından başka işleme şartı yoksa açık rıza alınması ve varsayılan ayarın kapalı olduğu opt-in mekanizması kurulması gerektiği vurgulanmıştır. Kullanıcı siteye girer girmez tüm reklam çerezlerinin otomatik çalışması ve “devam ederek kabul etmiş sayılırsınız” yaklaşımı geçerli açık rıza sağlamaz.

Sepetin korunması, oturum güvenliği veya kullanıcının açıkça istediği bilgi toplum hizmetinin teknik olarak sunulması için zorunlu çerezler “kesinlikle gerekli çerez” niteliğindedir. Bunlarda uygun başka hukuki sebep varsa açık rıza aranmayabilir. Site tasarımında “hepsini kabul et” kadar görünür “zorunlu olmayanları reddet” veya ayrıntılı tercih yönetimi bulunmalıdır.

Sadakat Kartı, Üyelik ve İndirimde Rıza Hangi Şartlarda Geçerlidir?

Bir e-ticaret işletmesi üyelik sistemi kurabilir; ancak temel ürün satışını reklam profillemesi rızasına bağlamamalıdır. Üyelere fiyat avantajı sağlanması somut olayda ayrıca değerlendirilir. Eğer indirim yalnız kapsamlı pazarlama profili ve ticari ileti rızası verenlere sunuluyor, rıza vermeyen kullanıcı fiilen makul bir alternatiften mahrum kalıyorsa özgür irade tartışması doğar.

Kurulun 2023/1041 sayılı kararında alternatif satış kanalının varlığı somut olay değerlendirmesinde önem taşımıştır. Bu karar “indirim karşılığı rıza her zaman geçerlidir” şeklinde okunmamalıdır. Kullanıcının gerçek seçim imkânı, fiyat farkının niteliği, veri işlemenin kapsamı ve hizmete erişimde oluşturulan baskı birlikte incelenir.

Profilleme ve Kişiselleştirme Nasıl Ayrılmalı?

Sipariş geçmişinden “bu müşteri bebek ürünleri alıyor”, “yüksek gelir segmenti”, “gece alışveriş yapıyor” gibi pazarlama profilleri çıkarılması, siparişin tesliminden ayrı bir veri işleme amacıdır. Bu tür profilleme için veri sorumlusu ayrı hukuki sebep belirlemeli ve KVKK m.4’teki amaçla bağlılık, sınırlılık ve ölçülülük ilkelerine uymalıdır.

Basit öneri algoritması ile kişiyi üçüncü taraf reklam ağıyla takip eden kapsamlı davranış profili aynı risk seviyesinde değildir. Kullanılan veri seti, saklama süresi, otomatik kararın etkisi ve üçüncü taraf paylaşımı ayrı değerlendirilmelidir. Rızaya dayalıysa kullanıcı rızayı geri çektiğinde profil ileriye dönük reklam amacıyla kullanılmamalıdır.

E-Ticaret Müşteri Verisi Grup Şirketleriyle Paylaşılabilir mi?

Aynı holding veya şirketler grubunda bulunmak, kişisel veri aktarımını otomatik serbest hâle getirmez. Ayrı tüzel kişilikler arasında veri aktarımı KVKK m.8 kapsamında değerlendirilir. Kullanıcı A şirketinden ürün aldığında verilerinin B şirketinin pazarlama faaliyeti için kullanılacağı kendiliğinden varsayılamaz.

Grup içi merkezi CRM kullanılıyorsa veri sorumlusu/veri işleyen rolleri, erişim yetkileri ve aktarım hukuki sebebi açıkça belirlenmelidir. Müşteri, hangi şirketin hangi amaçla verisini kullandığını anlayabilmelidir. “İştiraklerimiz ve iş ortaklarımızla paylaşılır” şeklindeki sınırsız ifade aydınlatma bakımından yetersiz kalabilir.

Yurt Dışı E-Ticaret Altyapısına Veri Aktarımı

Yabancı bulut hizmeti, CRM, e-posta pazarlama platformu, analitik servis veya ödeme sağlayıcı kullanılıyorsa kişisel veri yurt dışına aktarılabilir. 2024’te KVKK m.9’da değişen sistem çerçevesinde yeterlilik kararı, uygun güvenceler veya arızi hâller değerlendirilmelidir. Güncel standart sözleşme veya bağlayıcı şirket kuralları mekanizmaları varsa usulüne uygun kurulmalıdır.

Eski “her yurt dışı aktarımı için kullanıcıdan açık rıza alalım” yaklaşımı tek başına güncel m.9 sisteminin yerine geçmez. Veri sorumlusu hangi hizmet sağlayıcının hangi ülkede veri işlediğini, alt işleyenleri ve aktarım mekanizmasını bilmelidir. Aydınlatma metni de gerçeği yansıtmalıdır.

Açık Rıza Geri Alınırsa Alışveriş Hesabı Kapatılır mı?

Rızanın geri alınması ileriye dönük sonuç doğurur. Pazarlama rızası geri çekildi diye müşterinin geçmiş sipariş kayıtları, kanuni saklama yükümlülüğü veya sözleşmesel hakların korunması için gerekli veriler otomatik silinmez. Bu veriler başka hukuki sebebe dayanıyorsa ilgili süre boyunca saklanabilir.

Buna karşılık yalnız açık rızaya dayalı reklam profili, kampanya analizi veya zorunlu olmayan çerez faaliyeti geri alma sonrasında durdurulmalıdır. Kullanıcının rıza vermemesi veya geri çekmesi nedeniyle temel alışveriş hizmetinin engellenmesi, rızanın özgür iradesiyle bağdaşmayabilir.

Doğru E-Ticaret Onay Ekranı Nasıl Tasarlanır?

1. Sipariş için zorunlu alanlar minimum tutulur.
2. Aydınlatma metni kolay erişilebilir ve açık hazırlanır; “rıza” gibi sunulmaz.
3. Pazarlama açık rızası ayrı ve varsayılan boş kutu olur.
4. Ticari ileti onayı ayrı/şeffaf biçimde yönetilir ve İYS süreçleriyle uyumlandırılır.
5. Zorunlu olmayan çerezler varsayılan kapalıdır.
6. Farklı amaçlar tek toplu rızada birleştirilmez.
7. Rıza vermeyen kullanıcı temel alışverişi tamamlayabilir.
8. Rıza kayıtları tarih, metin sürümü ve kanal bazında tutulur.
9. Rıza geri alma mekanizması verme kadar kolay olur.
10. Grup/yurt dışı aktarım süreçleri ayrı hukuki zeminde kurulur.

Hatalı Onay Ekranlarına Örnekler

Hatalı örnek 1: “KVKK, kullanıcı sözleşmesi, reklam, SMS ve çerezleri kabul etmiyorsanız satın alamazsınız.” Bu yapı sözleşme için zorunlu işlemler ile isteğe bağlı pazarlama faaliyetlerini tek pakete dönüştürür.

Hatalı örnek 2: Pazarlama kutusunun önceden işaretli olması. Açık rıza aktif iradi davranış gerektirir; sessizlik veya varsayılan seçim geçerli rıza oluşturmaz.

Hatalı örnek 3: “Aydınlatma metnini onaylıyorum” kutusunu zorunlu rıza gibi kullanmak. Aydınlatma yükümlülüğü veri sorumlusunun yükümlülüğüdür; ilgili kişinin rızasına bağlı değildir.

Hatalı örnek 4: Rıza vermeyen müşteriye teknik olarak satın alma düğmesini kapatmak veya önemli ek ücret yüklemek. Özgür irade değerlendirmesinde fiilî seçenek ve baskı dikkate alınır.

Müşteri Hangi Hakları Kullanabilir?

Müşteri KVKK m.11 ve 13 kapsamında kişisel verisinin işlenip işlenmediğini öğrenme, amaç ve aktarımları sorma, düzeltme, şartları varsa silme/yok etme, otomatik analiz sonucuna itiraz etme ve hukuka aykırı işleme nedeniyle zararın giderilmesini talep etme hakkına sahiptir. Başvuru veri sorumlusuna yapılır ve en geç otuz gün içinde cevaplanır.

Ticari elektronik ileti bakımından ayrıca İYS üzerinden izin yönetimi ve TİSS üzerinden şikâyet yolları bulunur. KVKK başvurusu ile ticari ileti şikâyeti aynı kurum ve prosedür değildir. Aynı olay hem kişisel veri işleme kurallarını hem ticari elektronik ileti kurallarını ihlal ediyorsa KVKK başvurusu ile İYS/TİSS süreci birlikte işletilir.

Veri sorumlusuna başvuru ve Kurula şikâyet süreleri

Önce veri sorumlusuna usulüne uygun başvuru yapılır. Başvuru reddedilirse, cevap yetersizse veya süresinde cevap verilmezse Kurula şikâyet yolu değerlendirilir. Kurulun 2019/9 sayılı süre kararı şu ayrımı yapar:

Başvurunun ulaştığı tarihi, verilen cevabı ve cevabın öğrenildiği günü saklayın. Siparişin engellendiği ekran, zorunlu onay kutusunun metni, tarihli görüntü ve ilgili yazışmalar iddiayı somutlaştırır. Bu belgelerde uyuşmazlıkla ilgisiz üçüncü kişi verilerine yer vermeyin. KVKK başvurusu, ürün bedelinin iadesi gibi ayrı tüketici talebinin yerine geçmez.

Türkiye Geneli ve Mersin Uygulaması

E-ticaret sitesi Mersin merkezli olsa, müşterisi İstanbul’da veya başka şehirde bulunsa KVKK ve 6563 kuralları Türkiye genelinde uygulanır. Yurt dışındaki teknoloji sağlayıcı kullanılıyorsa yurt dışı veri aktarım sistemi ayrıca değerlendirilir. İşletmenin fiziksel merkezinin Mersin’de olması pazarlama rızasını alışveriş şartı hâline getirme yetkisi vermez.

Bakırcı & Keskin Hukuk Bürosu’nun İstanbul ve Mersin’de fiziksel ofisleri bulunmaktadır. E-ticaret, KVKK, çerez, ticari ileti ve sözleşme süreçlerinin hukuki denetimi Türkiye genelinde İstanbul ve Mersin ofislerinden koordine edilir. Onay ekranları ve aydınlatma/rıza metinleri gerçek veri akışıyla birlikte incelenmelidir.

Sık Sorulan Sorular

Alışveriş için KVKK açık rızası zorunlu mu?

Hayır. Sözleşmenin kurulması/ifası veya hukuki yükümlülük gibi başka KVKK m.5 işleme şartı varsa ayrıca açık rıza aranmaz.

Pazarlama rızası vermeden ürün satın alınabilir mi?

Temel satış hizmeti pazarlama rızasına zorunlu bağlanmamalıdır. Pazarlama amacı için ayrı hukuki sebep ve özgür seçim gerekir.

Aydınlatma metnini “kabul etmek” gerekir mi?

Aydınlatma veri sorumlusunun m.10 yükümlülüğüdür. Metnin okunduğunun teyit edilmesi açık rıza vermekle aynı şey değildir; bu teyit üzerinden pazarlama veya başka işleme amaçlarına rıza verilmiş sayılamaz.

SMS izni ile KVKK rızası aynı mı?

Hayır. Ticari ileti 6563 ve ilgili Yönetmelik; kişisel veri işleme ise KVKK kapsamında değerlendirilir.

Çerezleri reddedersem alışveriş engellenebilir mi?

Kesinlikle gerekli olmayan çerezlere rıza vermemek, teknik olarak zorunlu olmadığı hâlde temel alışverişi engelleme gerekçesi olmamalıdır.

Pazarlama Kutusunun Önceden İşaretlenmesi Geçerli midir?

Geçerli açık rıza aktif irade gerektirir; varsayılan işaretli kutu uygun değildir.

Rızamı geri çekince sipariş kayıtlarım silinir mi?

Rızaya dayalı pazarlama durur; ancak sözleşme, vergi veya hakların korunması gibi başka hukuki sebeplere dayanan kayıtlar gerekli süre boyunca tutulabilir.

Grup şirketleri verimi kullanabilir mi?

Ayrı tüzel kişilere aktarım KVKK m.8’e tabidir; sırf aynı grup içinde olmak serbest aktarım sağlamaz.

Yurt dışı e-posta pazarlama servisi kullanılabilir mi?

Kullanılabilir ancak KVKK m.9’daki güncel yurt dışı aktarım mekanizması kurulmalıdır.

Rıza vermeyen müşteriye daha yüksek fiyat uygulanabilir mi?

Somut yapı özgür irade, gerçek alternatif ve ölçülülük bakımından değerlendirilir. Pazarlama rızasını fiilen satın alma şartı hâline getiren fiyatlama risklidir.

Resmî Kaynaklar ve İlgili Rehberler

• KVKK – Hizmetin Açık Rıza Şartına Bağlanması
• KVKK Kurulu 2024/1361
• 6698 sayılı Kanun
• İnternetten alınan üründe cayma hakkı

Rıza Kayıtları Denetimde Nasıl İspatlanır?

E-ticaret işletmesi yalnız “kullanıcı onayladı” kaydı tutmakla yetinmemelidir. Hangi metin sürümünün gösterildiği, hangi amaç için hangi kutunun seçildiği, onayın tarih-saat bilgisi ve rızanın daha sonra geri alınıp alınmadığı ilişkilendirilebilir biçimde kaydedilmelidir. Böylece sipariş için zorunlu veri işleme ile isteğe bağlı pazarlama tercihi sonradan birbirinden ayrılabilir.

Onay ekranı değiştirildiğinde eski metin sürümleri de saklanmalı; geçmişte verilmiş bir rızaya yeni ve daha geniş amaçlar sonradan eklenmemelidir. Yeni amaç ortaya çıkarsa hukuki sebep yeniden belirlenir ve gerekiyorsa yeni, belirli ve özgür rıza alınır.

İlgili Hukuki Rehberler

• Aydınlatma metni ile açık rıza ayrımı
• İzinsiz ticari SMS ve arama şikâyeti
• İnternetten alınan üründe cayma hakkı