Bir siteye üye olurken, mağazada kart doldururken veya bir formu imzalarken karşınıza çıkan "KVKK metnini okudum, onaylıyorum" kutucuğu. Çoğu kişi ne olduğunu bilmeden işaretliyor.
Bu yazı iki tarafa da hitap ediyor: kutucuğu işaretleyen kişiye ve kutucuğu koyan işletmeye. Kanunun kendisini hiç okumadıysanız başlangıç noktası: KVKK nedir?
Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.
Kısa cevap
Pratikte "KVKK onayı" adı altında iki farklı şey karıştırılıyor:
| Aydınlatma | Açık rıza | |
|---|---|---|
| Ne yapar? | Sizi bilgilendirir | Sizden izin alır |
| Zorunlu mu? | İşletme için her hâlde zorunlu | Yalnızca belirli işlemler için |
| Onay gerekir mi? | Hayır, okumanız yeterlidir | Evet, aktif onayınız gerekir |
| Geri alınabilir mi? | Konu değil | Evet, her zaman |
Yani "aydınlatma metnini okudum" ifadesi bir onay değil, bilgilendirildiğinizin teyididir. Asıl onay, açık rıza kutucuğudur — ve o da yalnızca gerçekten rıza gerektiren işlemler için istenmelidir.
Hangi durumda onayınız gerekir?
Kanun'un 5. maddesine göre bazı hâllerde işletme rızanız olmadan verinizi işleyebilir:
- Sözleşmenin ifası (sipariş verdiniz, adresinizi işlemek zorundalar)
- Yasal yükümlülük (fatura düzenlemek, SGK bildirimi)
- Meşru menfaat (işyeri güvenlik kamerası)
- Kanunda açıkça öngörülmesi (otelde kimlik bildirimi)
Bu hâllerde sizden rıza istenmesi gerekmez — hatta istenmesi yanlıştır.
Rıza gerçekten gereken tipik durum: ticari elektronik ileti. Yani kampanya e-postası, indirim SMS'i, bülten. Bir de pazarlama amaçlı profilleme ve zorunlu olmayan ek hizmetler.
"Onaylamazsam hizmet alamaz mıyım?"
Hayır — ve bu, en önemli maddedir. Açık rızanın geçerli olması için özgür iradeyle verilmiş olması gerekir. Rıza, hizmetin şartı hâline getirilemez.
Uygulamada bunun anlamı: bir e-ticaret sitesi size "pazarlama izni vermezsen üye olamazsın" diyemez. Sipariş verebilmeniz için gereken veriler zaten sözleşme kapsamındadır.
Onayı geri alabilir misiniz?
Evet, istediğiniz zaman. İşletme, rızaya dayanan işlemeyi durdurmak zorundadır. Geri alma geçmişe etkili değildir; o ana kadar yapılan işlemler geçerli kalır.
Pratikte: bültenin altındaki "abonelikten çık" bağlantısı veya işletmenin KVKK e-posta adresine yazacağınız bir talep yeterlidir. Talebiniz en geç 30 gün içinde sonuçlandırılmalıdır.
Kurul bu şikâyetlerde ne karar verdi?
"Onay vermezsem hizmet alamıyorum" en sık yapılan şikâyetlerden biri ve Kurul bunu tekrar tekrar hukuka aykırı buldu. Derlediğimiz 313 karar özetinden dördü doğrudan bu duruma bakıyor:
| Karar | Ne olmuş? | Sonuç |
|---|---|---|
| 2023/692 | Özel sağlık kuruluşu, sağlık hizmetini açık rıza şartına bağlamış | 300.000 TL |
| 2024/1361 | İletişim formunda pazarlama rızası hizmetin ön şartı yapılmış | 265.000 TL |
| 2026/1183 | Geçerli rıza olmadan reklam SMS'i ve arama yapılmış | 1.000.000 TL |
| 2022/1358 | Sitede çerezler için aydınlatma ve rıza metni hiç sunulmamış | 300.000 TL |
Bu kararların size anlattığı şey basit: kutucuğu işaretlememek bir hak, ceza değil. Hizmetin kendisi için gerekli olmayan bir veri işleme size dayatılamaz.
Onayınızı geri almak: adım adım
Rızayı geri almak bir izin değil, bir haktır ve gerekçe göstermeniz gerekmez.
- Yazılı olarak talep edin. E-posta yeterlidir; tarihini ve içeriğini saklayın. Şirketin KEP adresi veya sistemde kayıtlı e-postanız üzerinden gönderirseniz ispat daha güçlü olur.
- Neyi geri aldığınızı belirtin. "Ticari elektronik ileti rızamı geri alıyorum" gibi net yazın; "hesabımı kapatın" farklı bir taleptir.
- 30 günü bekleyin. Veri sorumlusu, talebinize en geç 30 gün içinde cevap vermek zorundadır.
- Cevap gelmezse veya yetersizse Kurul'a şikâyet edin. Şikâyet için önce veri sorumlusuna başvurmuş olmanız gerekir; başvuru yapmadan doğrudan şikâyet reddedilir. Adım adım: veri sorumlusuna başvuru nasıl yapılır.
Ticari elektronik iletiler için ayrıca İYS (İleti Yönetim Sistemi) üzerinden onayınızı topluca kapatabilirsiniz; bu, KVKK rızasından ayrı ve tamamlayıcı bir kanaldır.
Geri alma geçmişe etkili değildir: o ana kadar hukuka uygun yapılmış işlemeler geçerli kalır. Ama o andan sonra rızaya dayanan işlemenin durması gerekir.
Karşılaştığınız kutucuk geçerli mi? 5 soruluk test
Altıncı bir soru 2026'da eklendi: kutucuk hem “aydınlatmayı okudum” hem “rıza veriyorum” anlamına geliyorsa, Kurul'un 2026/347 sayılı İlke Kararı gereği bu sunum biçimi hukuka aykırıdır — neden ve doğrusu nasıl.
| Soru | "Hayır" ise |
|---|---|
| Kutucuk boş mu geliyor (önceden işaretli değil)? | Rıza özgür iradeyle verilmiş sayılmaz |
| Aydınlatma metni onaydan önce gösteriliyor mu? | Rıza bilgilendirmeye dayanmıyor |
| Pazarlama izni, üyelik/hizmet onayından ayrı bir kutucuk mu? | Paket rıza; belirli olma şartı sağlanmıyor |
| İşaretlemezseniz hizmeti yine de alabiliyor musunuz? | Rıza hizmet şartına bağlanmış |
| Geri alma yolu metinde yazıyor mu? | Bilgilendirme eksik |
Beş sorudan birine bile "hayır" diyorsanız, o rıza hukuken tartışmalıdır — ve bunu veri sorumlusuna yazılı olarak bildirmek sizin hakkınızdır.
Kutucuğu işaretlemeden önce bakılacak 4 şey
- Tek kutucukta her şey toplanmış mı? "Aydınlatmayı okudum + pazarlama izni veriyorum + verilerim yurt dışına aktarılabilir" tek satırda birleştirilmişse bu hatalı bir uygulamadır.
- Kutucuk önceden işaretli mi? Ön işaretli kutucuk, özgür irade şartını zedeler.
- Verilerim kimlere aktarılıyor? Metinde alıcı grupları yazmalı.
- Ne kadar süre saklanıyor? "Süresiz" ifadesi Kanun'un ilkelerine aykırıdır.
İşletme tarafındaysanız
Kutucuğu koyan taraf sizseniz üç kural yeter:
- Aydınlatma ve rızayı ayırın. İki ayrı metin, iki ayrı işlem.
- Doğru dayanağı seçin. Sözleşme veya yasal yükümlülük varsa rıza istemeyin; rızaya bağlamak, kişi rızasını çektiğinde işlemeyi durdurma yükümlülüğü doğurur.
- Rızanın kaydını tutun. Hangi metnin, hangi sürümünün, hangi tarih-saatte onaylandığı loglanmalıdır. İspat yükü sizdedir.
Ayrıntı: Açık rıza metni nasıl yazılır · Aydınlatma metni nasıl hazırlanır.
Sık sorulan sorular
KVKK onayı vermek zorunda mıyım?
Hayır. Açık rıza tanım gereği isteğe bağlıdır ve hizmetin şartı yapılamaz. Ancak sözleşme veya yasal yükümlülük kapsamındaki veri işleme, rızanızdan bağımsız olarak devam eder.
Onay vermezsem siteye üye olamaz mıyım?
Üyelik için gereken veriler sözleşmenin ifası kapsamındadır; pazarlama izni vermemeniz üyeliğinizi engellememelidir. Aksi bir uygulamayla karşılaşırsanız önce işletmeye başvurabilir, sonuç alamazsanız Kurul'a şikâyette bulunabilirsiniz.
Telefonda "onaylıyor musunuz?" diye soruyorlar, geçerli mi?
Kanun şekil şartı aramaz; ancak ispat yükü işletmededir. Ses kaydı veya sonrasında gönderilen yazılı teyit yaygın uygulamadır.
Çocuğum için verilen onay geçerli mi?
Reşit olmayanlar bakımından veli/vasi onayı ve ek özen gerekir. Çocuklara yönelik hizmetlerde işletmenin hukuki destek alması beklenir.
Onayımı geri aldım ama hâlâ mesaj geliyor
Önce işletmeye yazılı başvurun (30 gün süre). Sonuç alamazsanız Kişisel Verileri Koruma Kurumu'na şikâyet edebilirsiniz. Ayrıca ticari elektronik iletiler için İYS (İleti Yönetim Sistemi) üzerinden de red hakkınız vardır.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
- Kişisel Verileri Koruma Kurumu
- Kurul kararı 2023/692 — karar özeti
- Kurul kararı 2024/1361 — karar özeti
- Kurul kararı 2026/1183 — karar özeti
- Kurul kararı 2022/1358 — karar özeti
Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.
İşletmeyseniz: KVKK Otomat sihirbazı hangi süreçte rıza gerekip gerekmediğini sorar ve rıza metnini ayrı belge olarak üretir — gereksiz rıza istemenizi engeller.
