Açık Rıza ile Aydınlatma Yükümlülüğü Arasındaki Fark (2026)

Yazarlar: Av. Mert Güneş & Av. Melis Güneş — Güneş Partners kurucu ortakları Son güncelleme: Mayıs 2026

TL;DR — Bu Yazının Özeti

• Aydınlatma tek taraflı bir bilgilendirmedir; her koşulda zorunludur. Açık rıza ise iki taraflı bir irade beyanıdır; yalnızca diğer hukuki dayanaklardan hiçbiri uygulanamadığında gereklidir.
• İkisini karıştırmak, KVKK uyumunu temelden zayıflatan en yaygın hatadır.
• Kurul'un 2026/347 sayılı İlke Kararı (24 Mart 2026) ile aydınlatma ve açık rıza metinlerinin ayrı belgeler olarak düzenlenmesi zorunlu hale gelmiştir.
• Hizmet şartına bağlanan açık rıza geçersizdir. "Hizmetten yararlanmak için onay verin" modeli, KVKK'nın özgür irade şartını ihlal eder.
• Amazon'un €746 milyon ve WhatsApp'ın €225 milyon GDPR cezaları, açık rıza ve aydınlatma ihlallerinin uluslararası boyutunu somut biçimde gösterir.
• 2026 yılında aydınlatma ihlali cezası 85.437 TL – 1.709.200 TL, veri güvenliği (geçersiz rızaya dayalı işleme dahil) ihlali cezası 256.357 TL – 17.092.242 TL arasındadır.

Neden Bu Kadar Karıştırılıyor?

Türkiye'deki KVKK uygulamasında aydınlatma ve açık rıza kavramları o kadar sık karıştırılır ki pek çok şirket ikisini aynı şey sanarak hareket eder. Bunun pratik sonucu şudur: şirket müşterisine tek bir belge sunar, altına "okudum, anladım, onaylıyorum" kutucuğu koyar ve hem aydınlatma hem rıza yükümlülüğünü yerine getirdiğini düşünür.

Oysa bu iki kavram farklı hukuki nitelikler taşır, farklı amaçlara hizmet eder ve farklı kurallara tabidir. Karıştırılmaları, her iki yükümlülüğün de geçersiz sayılmasına yol açabilir.

Açık Rıza Nedir?

Açık rıza, KVKK'nın 3. maddesinde şu şekilde tanımlanır: "Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza."

Bu tanımda üç zorunlu unsur vardır.

Açık rıza nedir? İlgili kişinin kişisel verilerinin belirli bir amaçla işlenmesine, bilgilendirme yapıldıktan sonra, özgür iradesiyle verdiği onay beyanıdır. Rıza verilmemesi halinde ilgili kişi herhangi bir dezavantajla karşılaşmamalıdır.

Unsur 1: Belirli Bir Konuya İlişkin Olma

Rıza, genel ve kapsayıcı biçimde alınamaz. "Tüm kişisel verilerimin işlenmesine onay veriyorum" ifadesi geçersizdir. Her işleme amacı ayrı ayrı belirtilmeli ve ilgili kişi her biri için ayrıca onay verebilmelidir.

Unsur 2: Bilgilendirilmeye Dayanma

Rıza, aydınlatma yapıldıktan sonra alınmalıdır. Kişi neye onay verdiğini bilmeden verdiği rıza geçerli değildir. Bu nedenle kronolojik sıra şöyledir: önce aydınlatma, sonra rıza.

Unsur 3: Özgür İradeyle Açıklanma

Rıza, herhangi bir baskı, zorlama veya dezavantaj tehdidi olmaksızın verilmelidir. Bu unsur, pratikte en çok ihlal edilen ve en ağır sonuçlar doğuran unsurdur.

Aydınlatma Yükümlülüğü Nedir?

Aydınlatma, veri sorumlusunun kişisel veri topladığı her durumda ilgili kişiye yapması gereken tek taraflı bilgilendirmedir. KVKK'nın 10. maddesinde düzenlenmiştir.

Aydınlatmanın açık rızadan temel farkı şudur: aydınlatma bir onay mekanizması değildir. İlgili kişinin "kabul ediyorum" veya "onaylıyorum" demesi gerekmez. Veri sorumlusu bilgiyi sunar; ilgili kişi bilgilenmiş olur. Bu kadar.

İki Kavramın Karşılaştırması

Açık Rıza Her Zaman Gerekli mi?

Hayır. KVKK'nın 5. maddesi, kişisel veri işleme için altı farklı hukuki dayanak sayar. Açık rıza bunlardan yalnızca biridir.

Kanunda açıkça öngörülmüş olması, sözleşmenin kurulması veya ifası için zorunlu olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi veya korunması için zorunlu olması ve ilgili kişinin temel haklarına zarar vermemek kaydıyla veri sorumlusunun meşru menfaati — bu altı dayanaktan biri mevcutsa açık rıza almaya gerek yoktur.

Açık rıza, ancak ve ancak bu altı dayanaktan hiçbiri uygulanamadığında devreye giren son çare niteliğindedir.

Neden Bu Ayrım Önemli?

Pek çok şirket, hukuki dayanağı zaten olan bir veri işleme faaliyeti için gereksiz yere açık rıza almaktadır. Bu durum iki risk doğurur.

Risk 1: İlgili kişi rızasını geri aldığında şirket veri işlemeyi durdurmak zorunda kalır — oysa sözleşme veya meşru menfaat gibi başka bir dayanakla işleme zaten meşru olabilirdi.

Risk 2: Gereksiz rıza mekanizması ilgili kişinin "acaba rıza vermesem ne olur?" sorusunu tetikler ve şikayetlere yol açabilir.

Hizmet Şartı Tuzağı: Açık Rıza Dayatması

KVKK uyumunda en yaygın ve en tehlikeli ihlal kalıplarından biri hizmet şartına bağlanan rızadır.

Bu Tuzak Nasıl İşliyor?

Senaryo şöyledir: bir e-ticaret sitesi üyelik formunda "Kişisel verilerimin işlenmesine onay veriyorum" kutucuğunu varsayılan olarak işaretli bırakır veya bu kutucuğu işaretlemeden üyeliği tamamlamayı imkânsız kılar. Müşteri ya onay verir ya da hizmetten yararlanamaz.

Bu model, KVKK'nın açık rıza tanımındaki özgür irade unsurunu doğrudan ihlal eder.

Kurul Bu Konuda Ne Diyor?

Kurul, çeşitli kararlarında bu tuzağı açıkça hukuka aykırı bulmuştur. Kurul'un tutumu şöyle özetlenebilir: hizmetin sunulmasının ön koşulu olarak rıza talep edilmesi, rızanın özgür iradeyle verilmediğini gösterir ve bu rızaya dayanan tüm veri işleme faaliyetleri hukuka aykırı hale gelir.

Bu yaklaşım yalnızca Türkiye'ye özgü değildir. Avrupa Veri Koruma Kurulu (EDPB) da Rehber 05/2020'de aynı ilkeyi net biçimde ifade etmiştir: rıza, hizmetin sunulması şartına bağlanamaz.

Hizmet Şartı Tuzağının Yaygın Biçimleri

Varsayılan olarak işaretli kutucuk: Onay kutusu önceden tıklanmış biçimde sunulur; ilgili kişi fark etmeden onay vermiş kabul edilir. Bu yöntem KVKK kapsamında geçersizdir.

Tek kutucukla toplu onay: Aydınlatma, açık rıza ve İYS onayı tek bir "kabul ediyorum" kutucuğuyla toplanır. İlgili kişi neye onay verdiğini ayırt edemez.

Onaysız devam edememe: "Devam" butonu, onay kutucuğu işaretlenmeden tıklanamaz. Hizmet almak isteyen kişi onay vermek zorunda bırakılır.

Geri alma mekanizmasının kasıtlı olarak zorlaştırılması: Rıza vermek tek tık iken geri almak için müşteri hizmetlerini aramak, dilekçe göndermek veya ayarlar menüsünde 5-6 kademe ilerlemek gerekir.

Uluslararası Emsal Kararlar: Amazon ve WhatsApp

Bu konunun ne kadar ciddi sonuçlar doğurabileceğini iki büyük GDPR cezası somut biçimde göstermektedir.

Amazon — €746 Milyon (2021)

Lüksemburg Veri Koruma Komisyonu (CNDP), Amazon'a reklam hedeflemede geçerli rıza almadığı gerekçesiyle GDPR tarihinin en yüksek ikinci cezasını kesti. Amazon, kullanıcıların kişisel verilerini davranışsal reklam amacıyla işlerken yeterli hukuki dayanak oluşturmamış ve rıza mekanizmalarını şeffaf biçimde sunmamıştı.

WhatsApp — €225 Milyon (2021)

İrlanda Veri Koruma Komisyonu (DPC), WhatsApp'ın gizlilik politikasında şeffaflık yükümlülüğünü ihlal ettiğine karar verdi. WhatsApp, 2021 başında güncellenen kullanım koşullarında kullanıcılara "ya kabul edin ya da uygulamayı kullanamayın" seçeneği sunmuştu. Kurul, bu yaklaşımı hem aydınlatma eksikliği hem de özgür iradenin engellenmesi olarak değerlendirdi.

Bu iki karar, hizmet şartına bağlanan rıza modelinin uluslararası hukuk düzeninde de kabul görmediğini ve yüz milyonlarca avroluk cezalarla sonuçlanabildiğini ortaya koymaktadır.

2026/347 Sayılı İlke Kararı: Ayrı Belge Zorunluluğu

Kişisel Verileri Koruma Kurulu'nun 18 Şubat 2026 tarihli ve 2026/347 sayılı İlke Kararı, 24 Mart 2026'da Resmi Gazete'de yayımlanarak yürürlüğe girdi. Karar şu kuralı getirdi: aydınlatma metni ve açık rıza metni ayrı ayrı düzenlenmek zorundadır.

Bu kararın gerekçesinde Kurul, iki belgenin birleştirilmesinin ilgili kişinin neye bilgilendirildiğini, neye onay verdiğini ayırt etmesini engellediğini vurgulamıştır.

Pratikte Ne Değişiyor?

Karardan önce pek çok şirket tek bir A4 sayfasında hem aydınlatma metnini hem de "yukarıda yer alan bilgilendirmeyi okudum ve verilerimin işlenmesine onay veriyorum" cümlesini birlikte sunuyordu. Bu uygulama artık açıkça hukuka aykırıdır.

Doğru yapı şöyledir: ilgili kişiye önce aydınlatma metni sunulur (Belge 1). Ardından, eğer açık rızaya dayalı bir veri işleme faaliyeti varsa, ayrı bir belge veya ayrı bir ekranda rıza beyanı istenir (Belge 2). İki belgenin fiziksel olarak veya dijital ortamda birbirinden net biçimde ayrılmış olması zorunludur.

Doğru Uygulama: Adım Adım Kontrol Listesi

Aydınlatma ve açık rıza sürecinizin doğru kurulup kurulmadığını şu sorularla kontrol edebilirsiniz.

Aydınlatma için:

• ☐ Her veri toplama noktasında (web sitesi, form, uygulama, fiziksel mekân) aydınlatma metni var mı?
• ☐ Metin, 8 zorunlu unsuru eksiksiz içeriyor mu?
• ☐ Metin okunabilir büyüklükte, erişilebilir konumda ve anlaşılır dilde mi?
• ☐ Açık rıza metninden ayrı bir belge olarak mı düzenlenmiş?

Açık rıza için:

• ☐ Rıza alınması gereken veri işleme faaliyetleri doğru tespit edildi mi? (Diğer hukuki dayanaklar değerlendirildi mi?)
• ☐ Rıza, hizmetin sunulması ön koşuluna bağlanmıyor mu?
• ☐ Her işleme amacı için ayrı onay seçeneği var mı?
• ☐ Kutucuk varsayılan olarak boş mu? (Önceden tıklı değil mi?)
• ☐ Rızanın geri alınması, verilmesi kadar kolay mı?
• ☐ Rıza kaydı (tarih, saat, kanal, IP) saklanıyor mu?

Sonuç

Açık rıza ve aydınlatma arasındaki fark, KVKK uyumunun en temel kavramsal ayrımıdır. İkisini karıştırmak yalnızca teknik bir hata değil; şirketinizin tüm veri işleme faaliyetlerinin hukuki temelini sarsan yapısal bir sorundur.

2026/347 sayılı İlke Kararı bu farkı resmi olarak da kalıcı bir kurala dönüştürmüştür. Hizmet şartına bağlanan rıza modelleri ise hem Kurul kararları hem de uluslararası emsal cezalarla kesin biçimde hukuka aykırı kabul edilmektedir.

Şirketinizin aydınlatma ve rıza mekanizmalarını güncel mevzuata uygun biçimde yapılandırmak, hem ceza riskini hem de müşteri güvenini doğrudan etkileyen kritik bir adımdır. Güneş Partners olarak bu süreçte yanınızdayız.

Bu İçerik Hakkında

Bu içerik, Güneş Partners kurucu ortakları Av. Mert Güneş ve Av. Melis Güneş tarafından, 6698 sayılı KVKK m. 3, m. 5, m. 10, Aydınlatma Tebliği, Kişisel Verileri Koruma Kurulu'nun 2026/347 sayılı İlke Kararı, EDPB Rehber 05/2020, İrlanda DPC ve Lüksemburg CNDP kararları temelinde hazırlanmıştır. KVKK uyum süreçlerinde profesyonel destek için gunespartners.com adresini ziyaret edebilirsiniz.