KVKK'da en çok yanlış kullanılan kavram budur. Birçok şirket her şey için rıza ister; oysa rıza, veri işlemenin altı hukuki sebebinden yalnızca biridir — ve çoğu zaman en zayıfıdır.
Bu yazı iki soruyu cevaplıyor: rıza ne zaman gerekir ve geçerli bir rıza metni nasıl yazılır?
Önemli: Genel bilgilendirmedir, hukuki danışmanlık değildir.
Kısa cevap
Kanun'un 5. maddesine göre, aşağıdaki hâllerden biri varsa rızaya gerek yoktur:
- Kanunlarda açıkça öngörülmesi
- Sözleşmenin kurulması veya ifası için gerekli olması
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi
- İlgili kişinin kendisi tarafından alenileştirilmiş olması
- Bir hakkın tesisi/kullanılması/korunması için zorunlu olması
- Temel hak ve özgürlüklere zarar vermemek kaydıyla meşru menfaat
Bunların hiçbiri yoksa açık rıza gerekir. Tipik örnek: ticari elektronik ileti (bülten, kampanya SMS'i), pazarlama amaçlı profilleme, isteğe bağlı ek hizmetler.
Geçerli rızanın üç şartı
Kanun rızayı üç kelimeyle tanımlar: belirli bir konuya ilişkin, bilgilendirmeye dayanan, özgür iradeyle açıklanmış olmalı.
| Şart | Ne demek | İhlal örneği |
|---|---|---|
| Belirli | Tek tek amaçlar için | "Tüm işlemler için onaylıyorum" |
| Bilgilendirmeye dayanan | Önce aydınlatma yapılmış olmalı | Aydınlatma metni gösterilmeden onay kutusu |
| Özgür irade | Hizmet şartı hâline getirilemez | "Rıza vermezsen üye olamazsın" |
Rıza metni nasıl yazılır?
Metin kısa, sade ve tek konuya odaklı olmalı:
[Şirket] tarafından, aşağıda belirtilen kişisel verilerimin
[belirli amaç, ör. ticari elektronik ileti gönderilmesi] amacıyla
işlenmesine özgür irademle rıza veriyorum.
- İşlenecek veriler: ad-soyad, e-posta, telefon
- Rızamı dilediğim zaman [kanal] üzerinden geri alabileceğimi biliyorum.
- Bu rızanın hizmet şartı olmadığını biliyorum.
İsim / Tarih / İmza (veya elektronik onay kaydı)
Dijital ortamda imza yerine onay kaydı tutulur: hangi metnin, hangi sürümünün, hangi tarih-saatte onaylandığı loglanmalıdır. İspat yükü sizdedir.
Doldurulmuş açık rıza metni örnekleri
Aşağıdaki iki örnek, rızanın gerçekten gerektiği iki tipik durum için yazıldı. Köşeli parantezli alanları kendi bilgilerinizle değiştirin; her örnek tek bir amaca odaklanır ve hizmetin ön şartı değildir.
Örnek 1 — Alışveriş geçmişine göre kişiselleştirilmiş kampanya (e-ticaret)
[Şirket Unvanı] tarafından, alışveriş geçmişim ve site içi
tercihlerimin (görüntülediğim ve sepete eklediğim ürünler)
bana özel kampanya ve ürün önerisi hazırlanması amacıyla
analiz edilmesine özgür irademle açık rıza veriyorum.
- Rıza vermemem alışveriş yapmama engel değildir.
- Rızamı [hesabım > iletişim tercihleri] ekranından veya
[e-posta adresi] üzerinden dilediğim zaman geri alabilirim.
[ ] Kabul ediyorum (kutucuk önceden işaretli gelmez)
Bu rıza, ticari elektronik ileti izninin yerine geçmez: kampanyayı SMS veya e-posta ile gönderecekseniz 6563 sayılı Kanun kapsamında ayrıca ileti onayı alınır ve İYS'ye kaydedilir.
Örnek 2 — Sağlık meslek mensubu olmayan bir işletmede sağlık bilgisi (güzellik merkezi)
[İşletme Unvanı] tarafından, uygulama öncesi doldurduğum
formdaki sağlık bilgilerimin (alerji, cilt hastalığı, hamilelik
durumu, kullandığım ilaçlar) yalnızca uygulamanın bana uygun
olup olmadığının değerlendirilmesi amacıyla işlenmesine
açık rıza veriyorum.
- Bu bilgiler üçüncü kişilere aktarılmaz; [süre] sonunda imha edilir.
- Rızamı [kanal] üzerinden dilediğim zaman geri alabilirim.
Ad-Soyad / Tarih / İmza
Sağlık verisi özel nitelikli veridir. 2024 değişikliğinden sonra sağlık verisi, sır saklama yükümlülüğü altındaki kişiler tarafından sağlık hizmeti amacıyla rızasız işlenebilir; bir güzellik merkezi bu kapsama girmediği için açık rıza gerekir. Aydınlatma metni yine ayrıca verilir.
Kendi işletmenize göre doldurulabilir bir personel örneği için: personel açık rıza metni örneği. Rızanın gerekmediği müşteri işlemleri için ise aydınlatma metni örneği yeterlidir.
2024 değişikliği: rıza artık daha az yerde gerekiyor
12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun ile KVKK'nın 6. ve 9. maddeleri değişti; değişiklikler 1 Haziran 2024'te yürürlüğe girdi.
- Özel nitelikli veriler (m.6): Önceki düzende sağlık ve cinsel hayat dışındaki özel nitelikli veriler yalnızca kanunda öngörülme hâlinde rızasız işlenebiliyordu. Yeni düzende rızasız işleme hâlleri genişledi; örneğin istihdam ve sosyal güvenlik yükümlülükleri, bir hakkın tesisi veya korunması ya da kişinin kendisinin alenileştirdiği veriler.
- Yurt dışına aktarım (m.9): Yurt dışına aktarımın ana yolu artık yeterlilik kararı veya uygun güvenceler (ör. standart sözleşme). Açık rıza yalnızca arızi (ara sıra yapılan, düzenli olmayan) aktarımlar için ve olası riskler hakkında bilgilendirme yapılarak kullanılabilir. Sürekli kullandığınız yurt dışı bulut hizmeti için rıza toplamak çözüm değildir.
Ayrıntı: yurt dışına veri aktarımı.
Rıza ile aydınlatmanın farkı
| Aydınlatma | Açık rıza | |
|---|---|---|
| Ne zaman? | Her zaman zorunlu | Yalnızca rızaya dayalı işlemede |
| Amaç | Bilgilendirme | Onay alma |
| Belge | Tek yönlü metin | Karşılıklı onay kaydı |
| Geri alınabilir mi? | Konu değil | Evet, her zaman |
İkisini tek metinde birleştirmek en yaygın hatadır. Aydınlatma rehberi: aydınlatma metni nasıl hazırlanır.
2026 güncellemesi — artık tercih değil, zorunluluk. Kurul'un 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı (Resmî Gazete: 24.03.2026), aydınlatma metni ile açık rıza metninin iç içe geçmiş tek bir metin hâlinde veya tek onayla sunulmasını hukuka aykırı saymaktadır. İki metin ayrı başlıklar altında ayrı ayrı düzenlenmeli; aynı sayfadaysalar alt alta ve iki ayrı beyanla sunulmalıdır. Ayrıntılı anlatım: 2026/347 sayılı İlke Kararı ne değiştirdi.
Rızanın geri alınması
İlgili kişi rızasını geri çektiğinde, o rızaya dayanan işlemeyi durdurmanız gerekir. Bu yüzden sözleşmenin ifası için gereken verileri rızaya bağlamak tehlikelidir: müşteri rızasını çekince faturayı düzenleyemez duruma düşersiniz. Doğru dayanağı seçmek, sizi de korur.
Pratik gereklilikler:
- Geri alma kanalı en az rıza kanalı kadar kolay olmalı (e-postada tek tık ile abonelikten çıkma)
- Geri alma talebi kayıt altına alınmalı
- Geri alma geçmişe etkili değildir; o ana kadar yapılan işlemler geçerli kalır
Kurul kararlarında açık rıza: en pahalı hata "hizmet şartı"
Yayımlanmış Kurul karar özetlerinden derlediğimiz 313 kararın 135'inde açık rıza tartışılıyor — Kanun'un en çok ihlal edilen kavramı bu. Kararları okuduğunuzda tek bir kalıp öne çıkıyor: rızayı hizmetin ön şartına bağlamak.
| Karar | Tarih | Ne oldu? | Ceza |
|---|---|---|---|
| 2026/1183 | 10.06.2026 | Reklam ve pazarlama amaçlı izinsiz SMS ve arama | 1.000.000 TL |
| 2022/229 | 10.03.2022 | Site ve mobil uygulamada çerezlerle rızasız veri işleme | 800.000 TL |
| 2023/692 | 02.05.2023 | Özel sağlık kuruluşunun sağlık hizmetini açık rıza şartına bağlaması | 300.000 TL |
| 2024/1361 | 08.08.2024 | Hizmetin ön şartı olarak reklam/pazarlama rızası alınması | 265.000 TL |
| 2022/662 | 07.07.2022 | Binaya girişte el geometrisi verisinin rızasız işlenmesi | 100.000 TL |
| 2022/1357 | 23.12.2022 | Spor salonunun kan grubu verisini rızasız işlemesi | 100.000 TL |
Bu altı karardan çıkan dört ders:
1. "Kabul etmezsen hizmet yok" rızayı geçersiz kılar
2023/692 bunun en net örneği: hizmeti almak isteyen kişiye, hizmetle ilgisi olmayan işlemeler için de rıza dayatılmış. Kanun'un aradığı özgür irade burada yok. Aynı mantık 2024/1361'de de işlemiş. Pratik kural: rıza kutucuğunu işaretlemeyen kişi temel hizmeti almaya devam edebilmeli. Edemiyorsa o rıza hukuken yok hükmündedir.
2. Pazarlama izni ayrı, üyelik ayrı
En yüksek ceza (2026/1183, 1.000.000 TL) klasik senaryodan geldi: müşteri ilişkisi kurulmuş, ama pazarlama iletisi için ayrı ve geçerli bir rıza alınmamış. Üyelik sözleşmesine gömülmüş "bilgilendirme mesajlarını kabul ediyorum" cümlesi bu yükü karşılamaz. Ticari elektronik ileti için ayrıca İYS (İleti Yönetim Sistemi) kaydı da gerekir; KVKK rızası ile İYS onayı birbirinin yerine geçmez.
3. Özel nitelikli veride tolerans yok
Kan grubu (2022/1357), el geometrisi ve yüz tanıma (2022/662, 2020/167) — hepsi özel nitelikli veya biyometrik veri. Bunlarda "zaten güvenlik için gerekli" savunması kabul görmüyor. Üstelik biyometrik alternatifi olan bir amaç için (giriş-çıkış kontrolü) kartlı sistem varken biyometrik veri işlemek ölçülülük ilkesine de aykırı bulunuyor.
4. Çerez rızası, rıza sayılmıyor olabilir
2022/229 ve 2022/1358: site açılır açılmaz çerezlerin çalışması, ya da "siteyi kullanmaya devam ederek kabul etmiş sayılırsınız" kalıbı geçerli rıza değildir. Zorunlu olmayan çerezler kullanıcı aktif olarak kabul edene kadar çalışmamalıdır (çerez politikası).
Rıza gerekiyor mu? 60 saniyelik karar akışı
Sırayla sorun; ilk "evet"te durun:
- Bu işleme kanunda açıkça öngörülüyor mu? → Rıza yok.
- Sözleşmenin kurulması veya ifası için zorunlu mu (sipariş, teslimat, faturalama)? → Rıza yok.
- Hukuki yükümlülüğünüz mü (SGK bildirimi, vergi kaydı, defter saklama)? → Rıza yok.
- Kişi veriyi kendisi alenileştirmiş mi? → Rıza yok.
- Bir hakkın tesisi/korunması için zorunlu mu (dava dosyası, alacak takibi)? → Rıza yok.
- Meşru menfaatiniz var ve temel hak ve özgürlüklere zarar vermiyor mu (işyeri güvenlik kamerası, dolandırıcılık önleme)? → Rıza yok, ama denge testini yazılı yapın.
- Hiçbiri değilse → Açık rıza gerekir.
Özel nitelikli veride (sağlık, biyometrik, din, sendika, ceza mahkûmiyeti) bu akış farklı işler: kural olarak açık rıza gerekir, istisnalar Kanun'un 6. maddesinde sınırlı sayıdadır.
Rıza kaydında ne saklamalısınız?
İspat yükü sizde olduğu için kaydın kendisi belgedir. Asgari şunlar tutulmalı:
| Alan | Örnek |
|---|---|
| Rıza metninin sürümü | pazarlama-rizasi-v3 |
| Metnin tam içeriği (arşiv kopyası) | O tarihte gösterilen HTML/PDF |
| Onay tarih-saati | 2026-09-03T14:22:11+03:00 |
| Onay kanalı | Web formu / kâğıt imza / çağrı merkezi kaydı |
| Kimlik eşleşmesi | Kullanıcı kimliği veya e-posta |
| Geri alma kaydı | Tarih, kanal, işlenen aksiyon |
Metnin sürümünü saklamazsanız, iki yıl sonra "o kişi neyi onayladı?" sorusuna cevap veremezsiniz — kararlarda en sık düşülen ispat açığı budur.
Sık yapılan 5 hata
- Ön işaretli onay kutusu — özgür irade şartını bozar
- Paket rıza — "tüm amaçlar için onaylıyorum" geçersiz sayılabilir
- Rızayı hizmet şartına bağlamak — üyelik için pazarlama onayı zorunlu tutulamaz
- Kaydı tutmamak — onayı ispat edemezsiniz
- Çalışandan rıza almak — işveren-çalışan ilişkisinde özgür irade tartışmalıdır; mümkünse başka hukuki sebebe dayanın
Sık sorulan sorular
Her müşteriden açık rıza almalı mıyım?
Hayır. Sözleşme, yasal yükümlülük veya meşru menfaat varsa rıza istemeyin; gereksiz rıza hukuki konumunuzu zayıflatır.
Sözlü rıza geçerli mi?
Kanun şekil şartı aramaz, ancak ispat yükü veri sorumlusundadır. Yazılı veya elektronik kayıtlı rıza her zaman daha güvenlidir.
Çocuklardan rıza alınabilir mi?
Reşit olmayanlar bakımından veli/vasi onayı ve ek özen gerekir; çocuklara yönelik hizmetlerde mutlaka hukuki destek alın.
Rıza metnini web sitesine koymam yeterli mi?
Hayır. Rıza, ilgili kişinin aktif eylemiyle verilmelidir; sitede yayınlamak rıza almak değildir.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
- Kişisel Verileri Koruma Kurumu
- 7499 sayılı Kanun (KVKK m.6 ve m.9 değişikliği), Resmî Gazete 12.03.2024
- Kurul kararı 2026/1183 — karar özeti
- Kurul kararı 2022/229 — karar özeti
- Kurul kararı 2023/692 — karar özeti
- Kurul kararı 2022/662 — karar özeti
- Kurul kararı 2022/1357 — karar özeti
Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.
Doğru dayanağı seçin: KVKK Otomat sihirbazı her süreç için hukuki sebebi sorar ve rıza gereken işlemleri ayırır; gereksiz rıza metni üretmez. Genel çerçeve: KVKK Uyum Rehberi · Kullanıcı tarafından bakış: KVKK onayı nedir. Hangi sürecin hangi dayanağa oturduğunu birlikte çıkarmamızı isterseniz: uyum dosyası hizmeti.
