KVKK Kapsamında Aydınlatma Yükümlülüğü ve Açık Rıza: 2026 Güncel Rehber

Kısa Tanım

Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca veri sorumluları, kişisel veri işleme faaliyetlerine başlamadan önce ilgili kişileri aydınlatmak ve belirli durumlarda açık rıza almakla yükümlüdür. Bu makale, 6698 sayılı Kanun'un 10. maddesindeki aydınlatma yükümlülüğü ile 5. maddesindeki açık rıza şartlarını, 2026 yılında yayımlanan güncel Kurul kararları ve idari para cezaları bağlamında detaylı olarak incelemektedir.

Detaylı Açıklama

Aydınlatma Yükümlülüğü (KVKK m.10)

Veri sorumlusu, kişisel verileri işlerken ilgili kişiyi aydınlatmakla yükümlüdür. Bu yükümlülük, veri işleme faaliyetinin her aşamasında geçerlidir ve ilgili kişinin bilgilendirilmesini amaçlar. Aydınlatma yükümlülüğünün yerine getirilmesi için veri sorumlusunun şu hususları ilgili kişiye bildirmesi gerekir:

* Veri sorumlusunun kimliği ve iletişim bilgileri

* Kişisel verilerin hangi amaçla işleneceği

* İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği

* Kişisel veri toplamanın yöntemi ve hukuki sebebi

* İlgili kişinin hakları (KVKK m.11'de sayılan haklar)

Aydınlatma yükümlülüğü, açık rıza alınması gereken durumlarda dahi ayrıca yerine getirilmelidir. Yani aydınlatma metni ile açık rıza metni birbirinden bağımsız belgelerdir.

Açık Rıza (KVKK m.5/1)

Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. KVKK'nın 5. maddesinin 1. fıkrası, kişisel verilerin açık rıza olmaksızın işlenemeyeceğini hükme bağlamıştır. Ancak 2. fıkrada sayılan istisnai durumlarda açık rıza aranmaz. Bu istisnalar şunlardır:

* Kanunlarda açıkça öngörülmesi

* Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan kişinin hayatını veya beden bütünlüğünü korumak için zorunlu olması

* Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması

* Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması

* İlgili kişinin kendisi tarafından alenileştirilmiş olması

* Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması

* İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması

Açık rıza, ancak bu istisnaların bulunmadığı durumlarda aranır. Örneğin, bir e-ticaret sitesinin üyelik sözleşmesi kapsamında kişisel verileri işlemesi sözleşmenin ifasına dayanıyorsa açık rıza gerekmez; ancak üyeye kampanya e-postası göndermek gibi pazarlama faaliyetleri için açık rıza şarttır.

2026/347 Sayılı İlke Kararı: Aydınlatma ve Açık Rıza Metinlerinin Ayrılması

Kişisel Verileri Koruma Kurulu'nun 18 Şubat 2026 tarihli ve 2026/347 sayılı İlke Kararı, 24 Mart 2026 tarihinde Resmi Gazete'de yayımlanarak yürürlüğe girmiştir. Bu karar, aydınlatma metni ile açık rıza metninin ayrı başlıklar altında düzenlenmesi gerektiğini hükme bağlamıştır. Karara göre:

* Aydınlatma metni, veri işleme faaliyetine ilişkin bilgilendirmeyi içermeli ve açık rıza metninden bağımsız olmalıdır.

* Açık rıza metni, yalnızca ilgili kişinin rızasını açıklamaya yönelik olmalı ve aydınlatma metnine atıfta bulunmalıdır.

* Bu ayrım, ilgili kişinin bilgilendirilmiş onam vermesini sağlamak ve "battaniye rıza" uygulamalarını engellemek amacıyla yapılmıştır.

Bu karar, özellikle dijital platformlarda sıkça karşılaşılan tek bir metin içinde hem aydınlatma hem de rıza beyanının yer aldığı uygulamalara son vermiştir. Veri sorumlularının, 2026 yılı itibarıyla bu karara uyum sağlaması zorunludur.

Açık Rızanın Geçerlilik Şartları

Açık rızanın geçerli olabilmesi için şu unsurların bulunması gerekir:

* Belirli bir konuya ilişkin olma: Rıza, işlenecek verilerin ve işleme amacının açıkça belirlendiği bir konuya yönelik olmalıdır. Genel ve kapsayıcı ifadelerle alınan rıza geçersizdir.

* Bilgilendirilmeye dayanma: İlgili kişi, veri işleme faaliyeti hakkında önceden bilgilendirilmelidir. Bu bilgilendirme, aydınlatma yükümlülüğü çerçevesinde yapılır.

* Özgür iradeyle açıklanma: Rıza, baskı, yanıltma veya zorlama altında alınmamalıdır. Örneğin, bir hizmetten yararlanmanın ön koşulu olarak rıza dayatılması, özgür iradeyi ortadan kaldırır.

* Açıklanmış olma: Rıza, sözlü, yazılı veya elektronik ortamda açıkça beyan edilmelidir. Zımni rıza geçerli değildir.

Ayrıca, açık rıza alınırken "battaniye rıza" (tüm veri işleme faaliyetlerini kapsayan genel rıza) yasaktır. Her bir işleme amacı için ayrı ve spesifik rıza alınmalıdır.

Dijital Platformlarda Açık Rıza ve Aydınlatma

Dijital platformlarda (web siteleri, mobil uygulamalar, sosyal medya) açık rıza ve aydınlatma yükümlülüğü özel önem taşır. Çerez politikaları, üyelik sözleşmeleri ve pazarlama iletişimleri bu kapsamda değerlendirilir. 2026 yılı itibarıyla:

* Çerezler için açık rıza, aktif bir kullanıcı onayı (örneğin, bir butona tıklama) ile alınmalıdır. Önceden işaretlenmiş kutucuklar geçersizdir.

* Aydınlatma metni, kullanıcıya ilk ziyarette açık ve anlaşılır bir şekilde sunulmalıdır.

* Açık rıza metni, aydınlatma metninden ayrı olarak, kullanıcının onayını almak üzere tasarlanmalıdır.

Kurul'un 2026/347 sayılı kararı, bu ayrımın dijital ortamlarda da uygulanmasını zorunlu kılmaktadır.

İdari Para Cezaları ve Yaptırımlar

KVKK'nın 18. maddesi uyarınca, aydınlatma yükümlülüğünü yerine getirmeyen veya açık rıza almaksızın veri işleyen veri sorumlularına idari para cezası verilir. 2026 yılı itibarıyla güncellenen ceza tutarları şu şekildedir:

* Aydınlatma yükümlülüğünün ihlali: 57.914 TL ile 1.158.240 TL arasında idari para cezası

* Açık rıza alınmaksızın veri işleme: 173.736 TL ile 3.474.720 TL arasında idari para cezası

Bu cezalar, veri sorumlusunun yıllık cirosuna göre belirlenir. Ayrıca, ihlalin ağırlığı ve tekrarı cezayı artırıcı faktörlerdir.

Yasal Süreç

Veri sorumlularının KVKK uyum sürecinde izlemesi gereken adımlar şunlardır:

1. Veri envanteri çıkarılması: İşlenen tüm kişisel verilerin tespit edilmesi.

2. Aydınlatma metinlerinin hazırlanması: KVKK m.10'a uygun, açık ve anlaşılır metinlerin oluşturulması.

3. Açık rıza metinlerinin ayrı düzenlenmesi: 2026/347 sayılı karara uygun olarak aydınlatma metninden bağımsız rıza metinlerinin hazırlanması.

4. Teknik ve idari tedbirlerin alınması: Veri güvenliğini sağlamak için gerekli önlemlerin uygulanması.

5. Periyodik denetim ve güncelleme: Mevzuat değişiklikleri ve Kurul kararları doğrultusunda süreçlerin güncellenmesi.

Sonuç

KVKK kapsamında aydınlatma yükümlülüğü ve açık rıza, kişisel verilerin korunmasının temel taşlarıdır. 2026 yılında yayımlanan 2026/347 sayılı İlke Kararı, bu iki kavramın ayrı değerlendirilmesi gerektiğini açıkça ortaya koymuştur. Veri sorumlularının, güncel mevzuata ve Kurul kararlarına uyum sağlaması, hem idari para cezalarından kaçınmak hem de ilgili kişilerin güvenini kazanmak açısından büyük önem taşımaktadır.

Sıkça Sorulan Sorular

1. Aydınlatma metni ile açık rıza metni arasındaki fark nedir?

Aydınlatma metni, veri sorumlusunun ilgili kişiyi bilgilendirme yükümlülüğünü yerine getirdiği belgedir; veri işleme faaliyetinin amacı, kapsamı ve haklar gibi bilgileri içerir. Açık rıza metni ise ilgili kişinin bu bilgilendirmeye dayanarak veri işlenmesine onay verdiğini gösteren ayrı bir belgedir. 2026/347 sayılı Kurul kararı, bu iki metnin mutlaka ayrı başlıklar altında düzenlenmesini zorunlu kılmıştır.

2. Açık rıza hangi durumlarda geçersiz sayılır?

Açık rıza; belirli bir konuya ilişkin değilse, bilgilendirilmeye dayanmıyorsa, özgür iradeyle açıklanmamışsa veya açıkça beyan edilmemişse geçersizdir. Örneğin, bir hizmetten yararlanmanın ön koşulu olarak dayatılan rıza, özgür iradeyi ortadan kaldırdığı için geçersizdir. Ayrıca, tüm veri işleme faaliyetlerini kapsayan genel (battaniye) rıza da geçersizdir.

3. 2026/347 sayılı İlke Kararı'nın getirdiği yenilikler nelerdir?

Bu karar, aydınlatma metni ile açık rıza metninin ayrı düzenlenmesini zorunlu kılmıştır. Ayrıca, açık rıza metninin yalnızca rıza beyanına odaklanması ve aydınlatma metnine atıfta bulunması gerektiğini belirtmiştir. Bu düzenleme, ilgili kişinin bilgilendirilmiş onam vermesini güvence altına almayı amaçlamaktadır.