Aydınlatma metni mi, açık rıza mı? KOBİ'ler için net ayrım

Kısa cevap: aydınlatma, kişisel veri topladığınız her durumda yapmanız gereken bir bilgilendirmedir ve kişiden onay beklemez. Açık rıza ise KVKK'daki işleme şartlarından yalnızca biridir. Sözleşme, hukuki yükümlülük ya da meşru menfaat gibi başka bir şart varsa ayrıca rıza istemezsiniz. Kişisel Verileri Koruma Kurulu, 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı'nda iki metnin ayrı ayrı düzenlenmesi gerektiğini ve başka bir şarta dayanan işlemede açık rıza metni sunulmaması gerektiğini açıkça belirtti.

Aydınlatma yükümlülüğü: her durumda ve onaysız

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) md. 10'a göre veri sorumlusu, kişisel verileri elde ederken ilgili kişiyi bilgilendirmek zorundadır. Bu yükümlülüğün ayrıntıları, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'de düzenlenir.

Tebliğ md. 5'te KOBİ'ler için en önemli dört kural şunlardır:

• Aydınlatma, açık rızaya ya da Kanundaki diğer şartlardan birine dayanılan her durumda yapılır (md. 5/1-a).
• Kişinin talep etmesine bağlı değildir (md. 5/1-d).
• Aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır (md. 5/1-e).
• İşleme açık rızaya dayanıyorsa aydınlatma ve açık rıza alma işlemleri ayrı ayrı yerine getirilir (md. 5/1-f).

Veriyi kişinin kendisinden değil de başka bir kaynaktan aldıysanız Tebliğ md. 6 devreye girer: aydınlatma, elde etmeden itibaren makul bir süre içinde, veriyi iletişim için kullanacaksanız ilk iletişimde, aktaracaksanız en geç ilk aktarımda yapılır.

Açık rıza: bir işleme şartı, varsayılan değil

KVKK md. 3 açık rızayı "belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza" olarak tanımlar. Md. 5/1'e göre kişisel veriler kural olarak açık rıza olmadan işlenemez. Ancak md. 5/2, rıza aranmadan işlemeye izin veren şartları sayar:

• (a) Kanunlarda açıkça öngörülmesi,
• (b) Fiili imkânsızlık nedeniyle rızasını açıklayamayan kişinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• (c) Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olarak sözleşme taraflarının verilerinin işlenmesinin gerekli olması,
• (ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• (d) İlgili kişinin kendisi tarafından alenileştirilmiş olması,
• (e) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• (f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için zorunlu olması.

Rıza gerçekten gerekiyorsa konusu belirli olmalıdır. Kurum, "her türlü veri işleme faaliyeti" gibi konusu belirsiz beyanları "battaniye rıza" olarak niteler ve hukuken geçersiz sayar. Verilen rıza her zaman geri alınabilir; geri alma ileriye dönük sonuç doğurur ve o andan itibaren rızaya dayalı işlemler durdurulmalıdır.

KOBİ'lerin en sık yaptığı iki hata

1. Her şey için rıza istemek

Sözleşme kurmak, fatura kesmek ya da siparişi teslim etmek için rıza almak "güvenli taraf" gibi görünür. Kurul'un yaklaşımı bunun tersidir. Kurum'un "Hizmetin Açık Rıza Şartına Bağlanması" başlıklı karar özetine göre, başka bir işleme şartı varken açık rıza almak ilgili kişiyi yanıltmak ve yanlış yönlendirmek anlamına gelir ve hakkın kötüye kullanılması sayılır. Hizmeti rızaya bağlamak da rızayı sakatlar. 2026/347 sayılı İlke Kararı aynı çizgidedir: diğer şartlara dayanan işlemede yalnızca aydınlatma yapılır, ayrıca açık rıza metni sunulmaz.

İşin pratik bir yanı da var. Rızaya dayandığınızı söylediğiniz bir işlemde kişi rızasını geri alırsa o işlemi durdurmanız gerekir. Fatura kayıtlarını "rızaya" bağlamak, sizi saklamak zorunda olduğunuz bir kaydı silmeniz gerekiyormuş gibi tutarsız bir duruma sokar.

2. Aydınlatma ile rızayı tek metinde birleştirmek

Kurul, 2026/347 sayılı kararda iki metnin iç içe sunulmasını ihbar ve şikâyetlerde en sık karşılaşılan hukuka aykırılıklardan biri olarak gösterdi. Kararın beklediği düzen şöyle:

• Rızaya dayalı bir işleme varsa aydınlatma metni ve açık rıza metni, farklı başlıklar altında iki ayrı metindir.
• İki metin aynı sayfadaysa alt alta yer alır ve her biri için ayrı beyan alınır.
• Aydınlatma metni için "okudum, kabul ediyorum" ya da "okudum, onaylıyorum" yerine yalnızca okunduğuna ve anlaşıldığına dair bir geri bildirim alınır. Kararın ekindeki örnek şablonda bu ifade "okudum ve anladım" şeklindedir.
• Başka bir şirketin metni birebir kopyalanmaz; metin kendi faaliyetinize göre yazılır.
• Metin kısa ve sade tutulur. Kurul, md. 11'in tamamını aktarmak yerine "Kanun'un 11'inci maddesi kapsamındaki haklarınız" demeyi örnek gösterir.

Karar, bu hususlara uyulmamasını md. 12 kapsamındaki tedbir yükümlülüğüyle ilişkilendirir ve tespit halinde md. 18 uyarınca işlem yapılacağını duyurur.

Aydınlatma metninde neler olmalı?

KVKK md. 10 ve Tebliğ md. 4'e göre asgari içerik şudur:

• Veri sorumlusunun ve varsa temsilcisinin kimliği,
• Kişisel verilerin hangi amaçla işleneceği,
• Kimlere ve hangi amaçla aktarılabileceği,
• Veri toplamanın yöntemi ve hukuki sebebi,
• İlgili kişinin md. 11'deki hakları.

Tebliğ md. 5 buna ölçütler ekler: amaç belirli, açık ve meşru olmalı; genel ve muğlak ifadeler kullanılmamalı; hukuki sebep açıkça yazılmalı. "Hukuki sebep", md. 5 ve 6'daki şartlardan hangisine dayandığınızdır ve işleme amacıyla aynı şey değildir. 2026/347 sayılı karar, "kişisel verileriniz Kanun'un 5 ve 6'ncı maddesinde belirtilen işleme şartları kapsamında işlenmektedir" türünden bir cümleyi muğlak ifade örneği olarak verir. Kurum'un 2020 tarihli kamuoyu duyurusu da genel nitelikli gizlilik politikalarının aydınlatma metni yerine kullanılmamasını ister.

Örnek bir metin görmek isterseniz Collobr'un kendi KVKK aydınlatma metnine göz atabilirsiniz.

Üç tipik süreçte uygulama

Aşağıdaki örnekler genel bir çerçevedir. Hangi şartın sizin sürecinize uyduğu, verinin türüne ve amacına göre değişir.

Web sitesi iletişim formu

Ziyaretçi teklif ya da bilgi istemek için adını, e-postasını ve mesajını bırakıyor. Talebe dönüş yapmak çoğu durumda sözleşmenin kurulmasıyla doğrudan ilgili bir işlemdir (md. 5/2-c); bazı durumlarda meşru menfaat (f) de değerlendirilebilir. Yapmanız gerekenler:

• Formun yanında kısa bir aydınlatma ve ayrıntılı metne bağlantı koyun. Katmanlı yöntem kullanıyorsanız ilk katmanda en azından veri sorumlusunun kimliği ve işleme amacı yer almalıdır.
• Aydınlatma için zorunlu bir "kabul ediyorum" kutusu koymayın.
• Aynı formda bülten aboneliği de istiyorsanız bunu ayrı ve önceden işaretlenmemiş bir seçenek yapın. Hem açık rıza hem de ticari ileti onayı olumlu bir irade beyanı gerektirir.

CRM'deki müşteri ve aday kayıtları

Müşterinin iletişim bilgileri, teklif ve sipariş geçmişi, sözleşmenin kurulması ve ifası için işlenir (c). Fatura ve muhasebe kayıtları ise mevzuattan doğan saklama yükümlülükleri kapsamındadır (ç). Bu kayıtlar için rıza istemek, yukarıda anlatılan ilk hatadır.

CRM'e bir iş ortağının yönlendirmesi ya da paylaşılan bir liste gibi başka bir kaynaktan kişi eklediğinizde veri kişinin kendisinden gelmemiştir. Bu durumda Tebliğ md. 6 uyarınca en geç ilk iletişimde aydınlatma yapmanız gerekir. Ekipte kimin hangi kaydı gördüğünü sınırlamak da md. 12'deki veri güvenliği tedbirlerinin bir parçasıdır.

E-posta ile pazarlama

Kampanya e-postası, SMS ya da arama gibi ticari elektronik iletiler KVKK'nın yanında ayrı bir rejime tabidir: 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik.

• Kanun md. 6/1: ticari elektronik iletiler ancak alıcının önceden onayı alınarak gönderilir. Alıcı iletişim bilgisini kendisiyle iletişime geçilmesi için verdiyse, aldığı mal veya hizmetteki değişiklik, kullanım ve bakıma ilişkin iletiler için ayrıca onay aranmaz.
• Kanun md. 6/2: esnaf ve tacirlere önceden onay alınmadan ileti gönderilebilir.
• Kanun md. 8: alıcı dilediği zaman gerekçe göstermeden reddedebilir; ret talebi ulaştıktan sonra üç iş günü içinde gönderim durdurulur.
• Yönetmelik md. 5: ticari elektronik ileti göndermek isteyenler İleti Yönetim Sistemi'ne (İYS) kaydolur ve İYS üzerinde onayı bulunmayan alıcılara ileti gönderilemez. Onay gerektirmeyen durumlar Yönetmelik md. 6'da ayrıca düzenlenmiştir.

Ticari ileti onayı, KVKK'daki aydınlatma yükümlülüğünü ortadan kaldırmaz; iletişim verisini hangi amaçla işlediğinizi aydınlatma metninde yine anlatırsınız. Pazarlama amaçlı işlemenin KVKK bakımından hangi şarta dayanacağı ise sürece göre değişir. Emin değilseniz bir hukukçuya danışın.

Kısa kontrol listesi

• Her veri toplama noktası (form, sözleşme, CRM girişi, telefon görüşmesi) için işleme amacını ve md. 5 ya da md. 6 kapsamındaki hukuki sebebi yazdınız mı?
• Başka bir şarta dayanan işlemler için gereksiz rıza metinlerini kaldırdınız mı?
• Aydınlatma ve açık rıza metinleri ayrı başlıklarda ve ayrı beyanlarla mı sunuluyor?
• Aydınlatma için yalnızca okunduğuna ve anlaşıldığına dair bir geri bildirim mi alıyorsunuz?
• Aydınlatmanın yapıldığını ispatlayabiliyor musunuz (form kaydı, tarih, metnin o günkü sürümü)?
• Ticari ileti onaylarınız İYS'de kayıtlı mı?

Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.