KVKK Aydınlatma Metni ve Açık Rıza Ayrı mı Olmalı? 2026/347 İlke Kararı

İnternet sitelerinde, mobil uygulamalarda, üyelik formlarında, çalışan belgelerinde ve müşteri sözleşmelerinde uzun yıllardır karşılaşılan “Aydınlatma ve Açık Rıza Metni” başlıklı tek belge uygulaması 2026 yılında Kurulun açık ilke kararıyla yeniden gündeme geldi. Kurul, incelemelerinde aydınlatma ile açık rızanın tek metinde birleştirildiğini, aydınlatma metninin “okudum ve kabul ediyorum” kutusuna bağlandığını, açık rızaya gerek olmayan işlemlerin de rıza şartına bağlandığını ve muğlak hukuki sebepler kullanıldığını tespit etti.

2026/347 sayılı İlke Kararı, bu iki kurumun amaç ve hukuki niteliğini birbirinden kesin biçimde ayırır. Aydınlatma, veri sorumlusunun KVKK m.10 kapsamındaki yükümlülüğüdür. Açık rıza ise KVKK m.3’te tanımlanan bir irade beyanıdır ve her veri işleme faaliyetinde alınması gereken standart onay değildir. Şirketlerin form, sözleşme, çerez, pazarlama, çalışan ve kamera süreçlerini bu ayrım doğrultusunda yeniden kontrol etmesi gerekir.

• 2026/347 sayılı İlke Kararı ne diyor?
• Aydınlatma yükümlülüğünün dayanağı nedir?
• Açık rıza nedir?
• Neden iki metin ayrı olmalıdır?
• “Okudum ve kabul ediyorum” neden sorunludur?
• Her veri işleme için açık rıza gerekir mi?
• Muğlak hukuki sebep yazılabilir mi?
• Aydınlatma ne zaman yapılmalıdır?
• Çerez ve pazarlama süreçlerinde ayrım nasıl kurulur?
• Çalışan ve aday metinleri nasıl düzenlenir?
• İspat ve kayıt nasıl tutulur?

1. 2026/347 Sayılı İlke Kararı Ne Düzenliyor?

Kişisel Verileri Koruma Kurulu, 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararında veri sorumlularının aydınlatma ve açık rıza uygulamalarında sık görülen hukuka aykırılıkları tespit etti. Kararın temel sonucu, aydınlatma metinleri ile açık rıza metinlerinin ayrı ayrı düzenlenmesi gerektiğidir.

Kurul; aydınlatma metinlerinin açık rıza alınacak metin gibi sunulmasını, aydınlatmanın ilgili kişinin onayına bağlanmasını, açık rızaya ihtiyaç bulunmayan veri işleme faaliyetlerinde rıza talep edilmesini, farklı amaçların tek rıza altında toplanmasını ve hukuki sebeplerin belirsiz bırakılmasını eleştirdi.

İlke Kararı, veri sorumluları açısından genel nitelikte uyulması gereken bir uygulama standardı ortaya koymaktadır. Bu nedenle yalnız yeni metinler değil, daha önce hazırlanmış mevcut KVKK dokümanları da gözden geçirilmelidir.

2. Aydınlatma Yükümlülüğünün Kanuni Dayanağı Nedir?

Aydınlatma yükümlülüğü KVKK m.10’da düzenlenir. Veri sorumlusu veya yetkilendirdiği kişi, kişisel verilerin elde edilmesi sırasında ilgili kişilere veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile KVKK m.11’deki hakları konusunda bilgi vermelidir.

Aydınlatmanın yerine getirilmesi ilgili kişinin onayına bağlı değildir. Veri sorumlusu, veri işleme faaliyeti açık rızaya dayansa da dayanmasa da aydınlatma yapmak zorundadır. Bu nedenle aydınlatma metninin altına “kabul ediyorum” kutusu koyup aydınlatmayı bir sözleşme veya rıza metnine dönüştürmek doğru değildir.

Aydınlatmada amaç, ilgili kişinin verisinin kim tarafından, neden, nasıl ve hangi hukuki temelde işlendiğini anlamasını sağlamaktır.

3. Açık Rıza Nedir?

KVKK m.3’e göre açık rıza; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Bu üç unsurun birlikte bulunması gerekir. Genel, belirsiz ve gelecekteki tüm işlemleri kapsayan “kişisel verilerimin her türlü amaçla işlenmesini kabul ediyorum” şeklindeki ifadeler belirli konu unsurunu karşılamaz.

Açık rıza, kişinin gerçekten seçim yapabildiği durumda alınmalıdır. Hizmetin sunulması için gerekli olmayan pazarlama rızasının sözleşmenin zorunlu şartı hâline getirilmesi özgür irade bakımından sorun doğurur. Rıza vermeyen kişiye hukuken sunulabilecek temel hizmetin reddedilmesi, rızayı sakatlayabilir.

Açık rıza geri alınabilir. Geri alma, geçmişte rızaya dayalı olarak hukuka uygun yapılan işlemleri geriye dönük olarak hukuka aykırı hâle getirmez; ancak geri alma sonrasındaki işlemenin başka bir hukuki sebebi yoksa rızaya dayalı faaliyetin durdurulması gerekir.

4. Aydınlatma ve Açık Rıza Neden Ayrı Olmalıdır?

İki metnin hukuki işlevi farklıdır. Aydınlatma, veri sorumlusunun tek taraflı bilgi verme yükümlülüğüdür. Açık rıza ise ilgili kişinin irade açıklamasıdır. Aydınlatma “kabul edilmez”; ilgili kişiye yapılır. Açık rıza ise yalnız gerekli olduğunda ayrı ve özgür bir tercihle verilir.

Tek belgede “Yukarıdaki aydınlatma metnini okudum, anladım ve kişisel verilerimin işlenmesine rıza gösteriyorum” şeklindeki ifade, aydınlatmanın yapılmasını rızaya bağladığı ve hangi işleme faaliyeti için hangi hukuki sebebin kullanıldığını belirsizleştirdiği için risklidir.

Doğru yapı, aydınlatma metninin bilgi verme fonksiyonunu tek başına yerine getirmesi; açık rıza gereken ayrı amaçlar varsa bunlar için ayrıca kısa, belirli ve seçilebilir rıza metinlerinin sunulmasıdır.

5. “Okudum ve Kabul Ediyorum” Kutusu Neden Sorunlu?

Aydınlatma metni sözleşme değildir. İlgili kişinin aydınlatma yükümlülüğünün yerine gelmesi için metni “kabul etmesi” gerekmez. Kurulun İlke Kararı, aydınlatma yükümlülüğünün herhangi bir onaya bağlı olmadığını özellikle vurgular.

Dijital ortamda aydınlatmanın gösterildiğini ispatlamak için “Aydınlatma metnini okudum” türü bir kayıt mekanizması kullanılabilir; ancak bu mekanizma veri işleme için rıza gibi tasarlanmamalıdır. Kayıt, bilginin sunulduğunu ispat etmeye hizmet etmelidir.

Buton metni, tasarım ve kullanıcı akışı rıza ile aydınlatmayı birbirine karıştırmamalıdır. Özellikle tek butonla hem üyelik sözleşmesini hem aydınlatmayı hem ticari elektronik ileti iznini hem de açık rızayı onaylatmak hukuki ayrımı ortadan kaldırır.

6. Her Kişisel Veri İşleme Faaliyeti İçin Açık Rıza Gerekir mi?

Hayır. KVKK m.5/2’de açık rıza dışında çok sayıda işleme şartı düzenlenmiştir: kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, hakkın tesisi/kullanılması/korunması ve meşru menfaat gibi şartlar bunlar arasındadır.

Veri işleme faaliyeti m.5 veya m.6’daki açık rıza dışındaki bir şartla hukuka uygun biçimde yapılabiliyorsa, ayrıca “ne olur ne olmaz” anlayışıyla açık rıza almak doğru değildir. Hukuki sebep somut işlem için belirlenmeli ve aydınlatma metninde açıkça gösterilmelidir.

Açık rıza ile diğer işleme şartlarının aynı faaliyet için yedekli biçimde sıralanması da belirsizlik yaratır. Veri sorumlusu hangi faaliyetin hangi hukuki sebebe dayandığını envanterinde belirlemelidir.

7. Aydınlatmada “KVKK m.5 ve m.6 Kapsamında İşlenir” Denilebilir mi?

Kurulun 2026/347 sayılı İlke Kararı, “kişisel verileriniz Kanun’un 5 ve 6’ncı maddesinde belirtilen işleme şartları kapsamında işlenmektedir” gibi muğlak ifadeleri açıkça sorunlu uygulama örneği olarak göstermiştir.

Aydınlatma metni, ilgili kişiye somut hukuki sebebi anlatmalıdır. Örneğin fatura bilgilerinin vergi mevzuatındaki yükümlülük nedeniyle işlenmesi ile pazarlama tercihlerinin açık rızaya dayanması aynı genel cümlede eritilmemelidir.

Her veri işleme amacı için hukuki sebep mümkün olduğunca eşleştirilmelidir. Bu yaklaşım hem şeffaflığı artırır hem veri envanteriyle aydınlatma metni arasındaki uyumu sağlar.

8. Aydınlatma Ne Zaman Yapılmalıdır?

Aydınlatma, kişisel verinin elde edilmesi sırasında ve veri işleme başlamadan önce ilgili kişiye sunulmalıdır. Veri toplandıktan sonra haftalar sonra e-posta göndermek, başlangıçtaki aydınlatma yükümlülüğünü yerine getirmiş sayılmaz.

Web formunda veri girişinden önce veya veri girişi esnasında aydınlatmaya erişim sağlanmalı; telefon görüşmesinde uygun katmanlı aydınlatma kullanılmalı; fiziksel formda metin veya erişilebilir yönlendirme verilmelidir.

Dolaylı elde edilen veriler bakımından da Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ hükümleri dikkate alınmalıdır.

9. Aydınlatma Metni Çok Uzun Olabilir mi?

Kurulun 2026 İlke Kararı, çok detaylı, karmaşık ve uzun metinlerin de şeffaflık amacını zedeleyebileceğini belirtir. Hukuki metnin eksiksiz olması, anlaşılmaz olması anlamına gelmez. Metin açık, sade, belirli ve ilgili kişinin gerçekten anlayabileceği biçimde düzenlenmelidir.

Katmanlı aydınlatma yöntemi, dijital ortamlarda ana bilgilerin ilk katmanda gösterilmesi ve ayrıntıya kolay bağlantı verilmesi için kullanılabilir. Ancak zorunlu bilgiler erişilemez alt sayfalara gizlenmemelidir.

10. Çerez ve Pazarlama Süreçlerinde Ayrım Nasıl Kurulur?

İnternet sitesinde zorunlu çerezler ile analitik, reklam veya hedefleme çerezlerinin hukuki dayanakları ayrı değerlendirilmelidir. Açık rıza gereken çerezler için kullanıcıya gerçek seçim sunulmalı; “tümünü kabul et” dışında reddetme veya tercih yönetimi de erişilebilir olmalıdır.

Ticari elektronik ileti izni, 6563 sayılı Kanun ve ilgili mevzuat bakımından ayrıca değerlendirilir. KVKK açık rızası ile ticari ileti onayı farklı hukuki yükümlülüklerdir. Kullanıcı arayüzü bu izinleri tek belirsiz kutuda birleştirmemelidir.

Aydınlatma metni ise her durumda hangi verinin hangi amaç ve hukuki sebeple işlendiğini açıklamalıdır.

11. Çalışan ve İş Adayı Süreçlerinde Ne Yapılmalı?

İş ilişkilerinde birçok veri işleme faaliyeti İş Kanunu, sosyal güvenlik ve iş sağlığı mevzuatı nedeniyle açık rıza dışındaki hukuki sebeplere dayanır. İşverenin ücret, özlük ve SGK işlemlerini “çalışanın rızası” üzerinden yürütmesi doğru değildir.

Çalışan aydınlatma metninde zorunlu işleme faaliyetleri ile varsa açık rızaya bağlı isteğe bağlı faaliyetler ayrılmalıdır. İş ilişkilerindeki güç dengesizliği nedeniyle açık rızanın gerçekten özgür olup olmadığı ayrıca değerlendirilmelidir.

İş adaylarından özgeçmiş alınırken aydınlatma yapılmalı; aday havuzunda sonraki pozisyonlar için uzun süre saklama gibi ayrı amaçlarda hukuki sebep özel olarak belirlenmelidir.

12. Kamera ve Biyometrik Veri Süreçleri

Kamera sistemi kurulurken aydınlatma yükümlülüğü, kamera bulunduğunu gösteren işaret ile ayrıntılı metne erişimi sağlayan katmanlı yapı üzerinden yerine getirilebilir. Kamera kaydının hukuki sebebi ve amacı açıkça belirtilmelidir.

Biyometrik veri özel nitelikli kişisel veridir. Parmak izi veya yüz tanıma gibi uygulamalarda KVKK m.6’daki güncel işleme şartları ve gerekli ek tedbirler ayrıca değerlendirilmelidir. Her çalışan veya müşteriden standart açık rıza almak, ölçülülük ve özgür irade sorununu çözmez.

13. İspat ve Kayıt Nasıl Tutulmalıdır?

Veri sorumlusu, aydınlatmanın hangi tarihte hangi metinle yapıldığını ve açık rıza gerekiyorsa rızanın hangi ayrı irade beyanıyla alındığını ispatlayabilmelidir. Web sistemlerinde metin versiyonu, zaman damgası ve tercih kaydı; fiziksel süreçlerde form versiyonu ve teslim kaydı tutulabilir.

Rıza geri çekildiğinde tarih ve işlem kaydı saklanmalı; ilgili sistemlerde rızaya bağlı faaliyet durdurulmalıdır. Rıza geçmişini gösteren kayıt, aynı zamanda kişinin tercihlerine uyulduğunu ispatlar.

14. Uyum İçin Kontrol Listesi

• Aydınlatma metinlerini açık rıza metinlerinden ayırın.
• Aydınlatma için “kabul” şartı kullanmayın.
• Her veri işleme amacı için somut hukuki sebebi belirleyin.
• “m.5 ve m.6 kapsamındadır” gibi genel ifadeleri kaldırın.
• Açık rızayı yalnız gerçekten gerekli faaliyetlerde kullanın.
• Birbirinden bağımsız amaçları ayrı rıza seçeneklerine bölün.
• Reddetmenin temel hizmeti gereksiz yere engellemediğini kontrol edin.
• Rızayı geri çekme mekanizması kurun.
• Aydınlatmayı veri toplama öncesinde yapın.
• Metin versiyonu ve ispat kayıtlarını saklayın.

15. Site İçindeki İlgili Rehberler

KVKK uygulamaları için Kişisel Veriler Hukuku, güvenlik tedbirleri için Siber Güvenlik Hukuku, sözleşme ve üyelik metinleri için Ticaret ve Sözleşmeler Hukuku, genel uygulama için Hukuk Rehberleri incelenebilir.

16. Resmî Kaynaklar

• KVKK – 18.02.2026 tarihli 2026/347 sayılı İlke Kararı Duyurusu
• KVKK – Aydınlatma Tebliği
• 6698 sayılı KVKK

17. Sık Sorulan Sorular

Aydınlatma ve açık rıza tek metinde olabilir mi?

2026/347 sayılı İlke Kararı uyarınca ayrı ayrı düzenlenmelidir.

Aydınlatma için onay almak gerekir mi?

Hayır. Aydınlatma veri sorumlusunun yükümlülüğüdür ve ilgili kişinin onayına bağlı değildir.

Her veri işleme için açık rıza gerekir mi?

Hayır. KVKK m.5 ve m.6’daki diğer işleme şartları mevcutsa açık rıza zorunlu değildir.

“Okudum ve kabul ediyorum” yazılabilir mi?

Aydınlatmanın kabul şartına bağlanması doğru değildir. Aydınlatmanın sunulduğunu ispat için ayrı kayıt tasarlanabilir.

Açık rıza geri alınabilir mi?

Evet. Geri almadan sonraki rızaya dayalı işlemler başka hukuki sebep yoksa durdurulmalıdır.

Hukuki sebep olarak sadece “KVKK m.5 ve m.6” yazmak yeterli mi?

Hayır. Kurul bu tür muğlak ifadeleri hukuka aykırı uygulama örneği olarak göstermiştir.

Çalışandan her işlem için rıza alınmalı mı?

Hayır. İş ve sosyal güvenlik mevzuatından doğan zorunlu işlemler çoğu zaman rıza dışındaki hukuki sebeplere dayanır.

Aydınlatma ne zaman yapılır?

Veri işleme başlamadan ve kişisel veri elde edilirken yapılmalıdır.

Metin çok uzun olabilir mi?

Metin eksiksiz ama açık ve sade olmalıdır. Kurul gereksiz karmaşık ve çok uzun metinleri de sorunlu görmektedir.

Pazarlama izni ile KVKK rızası aynı mı?

Hayır. Ticari elektronik ileti mevzuatı ile KVKK yükümlülükleri ayrı hukuki düzenlemelerdir.

18. Uygulamada İzlenecek Net Yol

Şirket, tüm kişisel veri işleme faaliyetlerini amaç ve hukuki sebep bazında envanterlemeli; aydınlatma metinlerini bu envanterle eşleştirmelidir. Açık rızaya gerçekten ihtiyaç bulunan faaliyetler belirlenmeli ve bunlar için aydınlatmadan ayrı, özgür seçim sunan rıza metinleri hazırlanmalıdır.

Bakırcı & Keskin Hukuk Bürosu, aydınlatma metni, açık rıza, çerez, çalışan ve müşteri KVKK süreçlerini güncel Kurul kararlarına göre incelemektedir. Türkiye genelindeki çalışmalar Mersin’deki tek fiziksel ofisten koordine edilir.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →