Kısa cevap: Kişisel Verileri Koruma Kurulu, 18 Şubat 2026 tarihli ve 2026/347 sayılı İlke Kararı ile aydınlatma metni ile açık rıza metninin tek bir metin hâlinde sunulmasını hukuka aykırı ilan etti. Karar 24 Mart 2026 tarihli Resmî Gazete'de yayımlandı.
Bu, 2026'da veri sorumlularını en geniş çapta ilgilendiren düzenleme. Sebebi basit: piyasadaki metinlerin büyük çoğunluğu tam olarak kararın yasakladığı biçimde yazılmış durumda. "Aydınlatma metnini okudum, kabul ediyorum" cümlesini taşıyan her form bugün itibarıyla gözden geçirilmeyi gerektiriyor.
Not: Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.
Kararın dayandığı ayrım
Karar yeni bir yükümlülük icat etmiyor; Kanun'da zaten var olan bir ayrımın uygulamada silindiğini tespit ediyor.
Aydınlatma (m. 10) veri sorumlusunun tek taraflı bir yükümlülüğüdür. İlgili kişi bilgilendirilir. Bilgilendirmenin geçerliliği ilgili kişinin onayına bağlı değildir — kabul etse de etmese de veri sorumlusu aydınlatmak zorundadır.
Açık rıza (m. 3/1-a) ise ilgili kişinin iradi bir beyanıdır. Özgür iradeyle açıklanmalı, belirli bir konuya ilişkin olmalı ve bilgilendirmeye dayanmalıdır. Verilmemesi mümkün olmalıdır.
İkisi aynı kutuya sıkıştırıldığında ortaya çıkan sonuç şudur: bilgilendirme bir onay şartına dönüşür, rıza ise "hizmeti kullanmak için tıklanması gereken kutu" hâline gelir. Her ikisi de kendi hukuki niteliğini kaybeder. Kurul'un müdahalesi buna.
Kurul'un hukuka aykırı saydığı beş uygulama
Kamuoyu duyurusu, uygulamada sık rastlanan şu pratikleri açıkça sayıyor:
- İç içe geçmiş tek metin. Açık rıza metni ile aydınlatma metninin "iç içe geçmiş şekilde tek bir metin hâlinde" sunulması.
- Aydınlatmaya onay istenmesi. Aydınlatma yapıldığına dair ilgili kişilerden onay veya rıza talep edilmesi. Klasik örneği: "Aydınlatma metnini okudum, kabul ediyorum."
- Kopyala-yapıştır metinler. Başka bir veri sorumlusunun metinlerinin "birebir aynısının" kullanılması.
- Muğlak dil. "Açık, anlaşılır ve sade bir dil" kullanılmaması; eksik, muğlak veya yanıltıcı ifadeler.
- Aşırı uzun metinler. Gereğinden uzun, detaylı ve karmaşık metinler hazırlanması.
Beşinci maddeyi hafife almayın. Uzunluk burada bir üslup tercihi değil, uyum kriteri olarak sayılmış: okunamayan bir metin bilgilendirme işlevini yerine getirmez.
Kurul'un istediği yedi tedbir
Duyuru, veri sorumlularının alması gereken tedbirleri sıralıyor:
| # | Gereklilik |
|---|---|
| 1 | Aydınlatma, veri işlemeye başlamadan önce yerine getirilir — rıza şartı olsun olmasın |
| 2 | Açık rızaya dayalı işlemede iki metin farklı başlıklar altında ayrı ayrı düzenlenir |
| 3 | Aynı sayfadaysalar alt alta ve iki metin için ayrı beyanlarla sunulur |
| 4 | Diğer işleme şartlarına dayanan faaliyette açık rıza metni hiç sunulmaz |
| 5 | İlgili kişiden yalnızca okunduğuna ve bilgi edinildiğine dair geri bildirim alınır |
| 6 | Metinler kopyalanmaz; her veri sorumlusu kendi organizasyonuna göre düzenler |
| 7 | Net ifadeler kullanılır; hakların sayımında "Kanun'un 11'inci maddesi kapsamındaki haklarınız" gibi özet yöntem tercih edilir |
Dördüncü madde en çok gözden kaçanı. Bordro bildirimi, fatura düzenleme, SGK bildirgesi gibi kanuni yükümlülüğe dayanan işlemeler için açık rıza istemek yalnızca gereksiz değil, kararın açıkça karşı çıktığı bir uygulama. Gereksiz rıza istemek rızayı da geçersizleştirir: kişi "vermezsem ne olur?" diye düşünemediği bir yerde özgür iradeden söz edilemez.
Yanlış ve doğru: somut karşılaştırma
Yanlış (tek metin, tek onay):
Kişisel verileriniz ... amaçlarla işlenmektedir. ... Bu kapsamda kişisel verilerinizin işlenmesini kabul ediyor musunuz?
[ ]Aydınlatma metnini okudum, kabul ediyorum.
Burada üç hata var: bilgilendirme onaya bağlanmış, rıza ayrı bir beyan olarak alınmamış, ve tek kutu iki farklı hukuki işlemi birden temsil ediyor.
Doğru (iki metin, iki beyan):
1. Aydınlatma Metni Veri sorumlusunun kimliği, amaçlar, hukuki sebepler, aktarım, haklar...
[ ]Aydınlatma metnini okudum ve bilgi edindim.
2. Açık Rıza Metni Ticari elektronik ileti gönderilmesi amacıyla ad-soyad ve iletişim bilgilerimin işlenmesine:
[ ]Rıza veriyorum[ ]Rıza vermiyorum
İkinci blokta dikkat edilecek üç nokta: kapsam yalnızca rızaya gerçekten ihtiyaç duyan amaçla sınırlı, veriler o amaç için gereken asgari kümeye indirilmiş, ve olumsuz seçenek de görünür durumda.
Hangi metinlerinizi gözden geçirmelisiniz?
Kararın etkisi yalnızca web sitesindeki formla sınırlı değil. Şu kanalların hepsi kapsamda:
- Web sitesi üyelik ve iletişim formları
- E-ticaret sipariş akışı ve üyelik sözleşmeleri
- İş başvurusu ve aday çalışan formları
- Matbu (kâğıt) müşteri kayıt formları
- Çağrı merkezi anons ve onay metinleri
- Mobil uygulama kayıt ekranları
- Ziyaretçi defterleri ve kamera bilgilendirmeleri
Matbu formlar en çok unutulanı. Basılı bir formda "alt alta ve iki ayrı beyan" gerekliliği çoğu zaman formun yeniden tasarlanması demektir.
6 maddelik uyum kontrolü
Aşağıdaki soruların tamamına "evet" diyebiliyorsanız metinleriniz karara uygun demektir:
- Aydınlatma metni ve açık rıza metni ayrı başlıklı, ayrı belgeler mi?
- Aydınlatma için istenen geri bildirim "kabul ediyorum" değil, "okudum ve bilgi edindim" mi?
- Açık rıza için ayrı bir beyan alanı var mı ve "rıza vermiyorum" seçeneği görünür mü?
- Rızanın kapsamı gerçekten rıza gerektiren amaçlarla mı sınırlı (pazarlama, ETK gibi)?
- Kanuni yükümlülüğe dayanan işlemeler için rıza istenmiyor mu?
- Metinler sizin faaliyetinizi mi anlatıyor, yoksa başka bir şirketten mi alınmış?
Dördüncü ve beşinci madde birlikte okunmalı: bunlar aynı hatanın iki yüzü. Rıza kapsamını genişletmek "daha güvenli" değil, daha riskli.
Yaptırım tarafı
Duyuru, belirtilen hususlara uyulmadığının tespiti hâlinde Kanun'un 18'inci maddesi gereği işlem tesis edileceğini belirtiyor. 18. madde idari para cezalarını düzenler; tutar bantları için KVKK cezaları yazısına bakabilirsiniz.
Pratik risk şurada: aydınlatma metni bir şikâyet veya resen inceleme sırasında Kurul'un ilk baktığı belgedir. İç içe geçmiş tek metin, incelemenin ilk dakikasında görülür.
Sık sorulan sorular
Eski onayları yeniden almam gerekiyor mu?
Karar geçmişe yürüme konusunda bir hüküm getirmiyor. Ancak tek metinle ve tek onayla alınmış bir "rıza"nın, rızanın geçerlilik şartlarını (özgür irade, belirlilik, bilgilendirilmişlik) taşıdığını savunmak zordur. Rızaya dayanarak sürdürdüğünüz işlemeler varsa — özellikle ticari elektronik ileti — rızayı yeni yapıya uygun biçimde tazelemek en güvenli yol.
Aynı sayfada gösteremez miyim?
Gösterebilirsiniz. Karar aynı sayfayı yasaklamıyor; iç içe geçmeyi ve tek beyanı yasaklıyor. Aynı sayfada alt alta, görsel olarak ayrılmış ve iki ayrı onay alanıyla sunmak açıkça kabul edilen yöntem.
Hiç açık rızaya dayanmıyorsam ne yapmalıyım?
Yalnızca aydınlatma metni sunun. Açık rıza metnini "her ihtimale karşı" eklemek kararın dördüncü tedbirine aykırı.
Çerez politikası da bu kapsamda mı?
Çerezlerde aydınlatma ile rıza ayrımı zaten ayrı bir katman. Bu karar doğrudan çerez bannerlarını düzenlemiyor, ancak mantığı aynı: bilgilendirme onaya bağlanamaz ve zorunlu olmayan çerezler için reddetme seçeneği gerçek olmalıdır. Ayrıntı: KVKK çerez politikası.
Kaynaklar
- Kurul'un 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararına ilişkin kamuoyu duyurusu — Kişisel Verileri Koruma Kurumu
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
- Kişisel Verileri Koruma Kurumu
Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.
Metinlerinizi yeni yapıya taşımak: KVKK Otomat aydınlatma metni ile açık rıza metnini ayrı belgeler olarak üretir; rıza kapsamını yalnızca rıza gerektiren amaçlarla sınırlar ve "rıza veriyorum / vermiyorum" seçeneklerini ekler. Metin yazımı için: aydınlatma metni nasıl hazırlanır · açık rıza metni nasıl yazılır. Dosyayı sizin adınıza hazırlamamızı isterseniz: KVKK uyum hizmeti.
