KVKK İlke Kararı ile Aydınlatma Metinlerinde Sadeleşme

Kişisel Verileri Koruma Kurulu (“Kurul”), 24 Mart 2026 tarihli Resmi Gazete‘de yayımlanan ilke kararıyla, Türk veri koruma hukukunda yıllardır yerleşik hale gelmiş bir uygulamayı kökünden değiştiren önemli bir adım attı. Karar, “Veri Sorumluları Tarafından Açık Rıza ve Aydınlatma Metinlerinin Ayrı Ayrı Düzenlenmesi Gerektiği Hakkında İlke Kararı” başlığını taşıyor ve içeriği itibarıyla yalnızca açık rıza ile aydınlatmanın ayrıştırılması meselesini değil, aydınlatma metinlerinin genel yapısına ilişkin köklü bir yaklaşım değişikliğini de barındırıyor.

Bu yazıda, ilke kararının pratik yansımalarını, özellikle KVKK m.10 kapsamındaki aydınlatma yükümlülüğü yerine getirilirken m.11’deki hakların tek tek sayılması alışkanlığının artık geride kaldığını ve bu değişikliğin veri sorumluları ile KVKK danışmanları açısından ne anlama geldiğini ele alacağız.

İlgili Kişi Haklarını Tek Tek Sayma Pratiği

Kişisel Verilerin Korunması Kanunu’nun 10. maddesi, veri sorumlusunun aydınlatma yükümlülüğünü düzenler. Bu madde uyarınca veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişiye belirli bilgileri sunmakla yükümlüdür. Bu bilgiler arasında veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere aktarılabileceği, toplamanın yöntemi ve hukuki sebebi ile Kanun’un 11. maddesinde sayılan ilgili kişi hakları yer alır.

Madde 11 ise ilgili kişinin veri sorumlusuna yöneltebileceği şu hakları sıralar; kişisel verilerin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmiş olması halinde düzeltilmesini isteme, Kanun’un 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini talep etme, düzeltme ve silme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme ve son olarak kanuna aykırı işleme sebebiyle uğranılan zararın giderilmesini talep etme.

Yıllar boyunca neredeyse tüm veri sorumluları, aydınlatma metinlerinin sonuna bu hakların tamamını alt alta, madde madde, neredeyse kanun metninin birebir tekrarı şeklinde yazdı. Hatta birçok hukukçu, bu hakları metne eklememek halinde aydınlatmanın eksik sayılacağı endişesiyle, sayfalarca süren hak listelerini standart bir uygulama haline getirdi.

Sonuç olarak piyasada dolaşan aydınlatma metinlerinin büyük çoğunluğu, okunması güç, teknik hukuk jargonuyla dolu, sayfalar uzunluğunda belgeler haline geldi. İlgili kişi perspektifinden bakıldığında, bu metinler aydınlatma amacına hizmet etmekten çok uzaklaştı. Bir e-ticaret sitesinden alışveriş yapan tüketici, bir hastane formunu imzalayan hasta veya bir iş başvurusu yapan aday, bu metinleri okumak bir yana, bu kadar uzun bir belgeyi görmek bile istemez hale geldi.

Doğrudan Maddeye Atıf Yeterlidir Anlayışı

Kurul, bugün yayımlanan ilke kararıyla bu yerleşik pratiğe açık bir mesaj vererek çok detaylı, karmaşık ve uzun metinlerin kullanılmaması gerektiğini vurguladı. Hakları tek tek sıralayıp metni uzatmak yerine, doğrudan ilgili maddeye atıf yapmayı yeterli gördü.

Bu ne demek? Artık bir aydınlatma metninin sonunda m.11 haklarını alt alta yazmak yerine, “6698 sayılı Kanun’un 11. maddesi kapsamındaki haklarınızı kullanmak için…” şeklinde bir atıf cümlesinin yeterli olduğu kabul ediliyor. Kurul, metinlerin sadeleşmesini ve anlaşılabilirlik ilkesinin ön plana çıkmasını istiyor.

Bu yaklaşım değişikliği, bir bakıma Avrupa Birliği’nin Genel Veri Koruma Tüzüğü (GDPR) kapsamındaki katmanlı aydınlatma (layered notice) pratiğine yaklaşmayı ifade ediyor. GDPR uygulamasında da veri sorumluları, ilgili kişilere ilk aşamada temel bilgileri kısa ve öz bir şekilde sunar, detaylı bilgi için ayrı bir katmana yönlendirme yapar. Bu sayede ilgili kişi, önce temel bilgiyi alır, daha fazlasını öğrenmek isterse detaya ulaşabilir.

Neden Bu Değişiklik Gerekliydi?

Bu noktada, kararın gerekçesini anlamak için birkaç gerçeği gözden geçirmekte fayda var.

Birincisi, mevcut metinler aydınlatma amacını karşılamıyordu. Aydınlatma yükümlülüğünün temelinde şeffaflık ilkesi yatar. Şeffaflık, ilgili kişinin verilerinin nasıl işlendiğini gerçekten anlaması demektir. Ancak sayfalarca hukuki terimlerle dolu bir metin, şeffaflık değil opaklık yaratır. Kurul’un bizzat yayımladığı kamuoyu duyurularında da bu tespit defalarca yapılmıştı. Aydınlatma metinlerinin genel nitelikte, muğlak ve ilgili kişi tarafından anlaşılamaz olduğu belirtilmişti.

İkincisi, m.11 haklarının tek tek sayılması gereksiz bir tekrardı. Kanun’un 10. maddesinin (ç) bendi, aydınlatma kapsamında ilgili kişiye “11. maddede sayılan hakları” hakkında bilgi verilmesini öngörür. Ancak bu, hakların kelimesi kelimesine tekrar edilmesini zorunlu kılmaz. Kanun koyucu da zaten ilgili kişinin haklarını ayrı bir maddede düzenlemiş ve bu hakların varlığından ilgili kişinin haberdar edilmesini istemiştir. Maddeye atıf yapılması, bu yükümlülüğü pekâlâ karşılamaktadır.

Üçüncüsü, uzun metinler ilgili kişinin dikkatini dağıtıyordu. Veri koruma hukukunun temel amacı bireyin korunmasıdır. Uzun ve karmaşık metinler ise bireyi korumak bir yana, onu bilgi kirliliğine maruz bırakır. Davranışsal ekonomi çalışmaları da göstermektedir ki, insanlar aşırı uzun yasal metinlerle karşılaştığında onları okumadan kabul etme eğilimindedir. Bu durum, aydınlatmanın işlevselliğini düşürmektedir.

Dördüncüsü, farklı sektörlerde aydınlatma ihtiyacı farklıdır. Bir sağlık kuruluşunun aydınlatma metni ile bir e-ticaret sitesinin aydınlatma metni aynı yapıda olamaz. Özel nitelikli kişisel veri işleyen bir sağlık kuruluşu daha detaylı bir aydınlatma yapmalıyken, basit iletişim bilgisi toplayan bir web sitesinin aydınlatması çok daha kısa ve öz olmalıdır. Hakların tek tek sayılması zorunluluğu ise tüm sektörlerde aynı kalıbı dayatıyordu.

Açık Rıza ve Aydınlatmanın Ayrıştırılması Meselesi

İlke kararının başlığı, açık rıza ve aydınlatma metinlerinin ayrı ayrı düzenlenmesi gerekliliğini de vurgulamaktadır. Bu mesele aslında yeni değildir. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’in 5. maddesinin (f) bendi, 2018 yılından bu yana açıkça belirtmektedir. Kişisel veri işleme faaliyetinin açık rıza şartına dayalı olarak gerçekleştirilmesi halinde, aydınlatma yükümlülüğü ve açık rızanın alınması işlemlerinin ayrı ayrı yerine getirilmesi gerekmektedir.

Ancak uygulamada bu ayrım yeterince gözetilmemişti. Kurul’un 2018/90 sayılı kararı da dahil olmak üzere birçok kararda, aydınlatma ve açık rızanın aynı formda, aynı kutucukla, aynı anda alındığı tespit edilmiş ve bu durumun mevzuata aykırı olduğu belirtilmişti. Pek çok veri sorumlusu, ilgili kişiden tek bir tıklama veya imza ile hem aydınlatma yapıldığını hem de açık rıza alındığını varsayıyordu.

Bu ilke kararı, söz konusu ayrımı bir kez daha ve bu sefer ilke kararı niteliğinde teyit etmektedir. Aydınlatma bir bilgilendirme işlemidir ve herhangi bir onaya tabi değildir. İlgili kişinin aydınlatma metnini kabul etmesi gibi bir kavram hukuken anlamsızdır; aydınlatma tek taraflı bir bildirimdir. Açık rıza ise ilgili kişinin belirli bir konuya ilişkin olumlu irade beyanıdır ve aydınlatmadan tamamen bağımsız bir hukuki işlemdir.

Bu ayrımın pratikte sağlanması için veri sorumlularının aydınlatma metni ile açık rıza metnini fiziksel veya dijital ortamda birbirinden net bir şekilde ayırması, farklı formlar veya en azından farklı başlıklar altında sunması, ayrı imza veya onay mekanizmaları kurması ve açık rıza verilmemesinin hizmet sunumuna engel teşkil etmemesini sağlaması gerekmektedir.

Veri Sorumluları İçin Pratik Sonuçlar

Bu ilke kararının yayımlanmasıyla birlikte veri sorumlularının ve KVKK danışmanlarının acil olarak gözden geçirmesi gereken bazı alanlar bulunmaktadır.

İlk olarak, mevcut aydınlatma metinlerinin revize edilmesi gerekmektedir. Şu anda kullanılan aydınlatma metinlerinde m.11 hakları alt alta sıralanıyorsa, bu bölüm sadeleştirilmeli ve ilgili kanun maddesine atıf yapılarak kısaltılmalıdır.

İkinci olarak, aydınlatma ve açık rıza formlarının ayrıştırılması zorunludur. Hâlâ tek form üzerinde hem aydınlatma hem de açık rıza alınıyorsa, bu uygulama derhal sonlandırılmalı ve iki ayrı süreç kurgulanmalıdır.

Üçüncü olarak, katmanlı aydınlatma modeline geçiş değerlendirilmelidir. Özellikle dijital platformlarda, web sitelerinde ve mobil uygulamalarda birinci katmanda temel bilgiler sunulup, ikinci katmanda detaylara yönlendirme yapılan modellere geçmek artık yalnızca bir tercih değil, Kurul’un beklentisi haline gelmiştir.

Dördüncü olarak, dilin sadeleştirilmesi elzemdir. Aydınlatma metinleri, hedef kitlenin anlayabileceği bir dilde yazılmalıdır. Bir alışveriş sitesinin müşterisine yönelik aydınlatma metni ile bir kurumsal iş ortağına yönelik aydınlatma metni aynı dilde yazılamaz. İlgili kişinin eğitim durumu ve beklentileri göz önünde bulundurulmalıdır.

Son olarak, ispat mekanizmalarının güncellenmesi gerekir. Aydınlatmanın yapıldığının ispatı veri sorumlusuna aittir. Metinlerin kısalması, ispatın önemsizleşmesi anlamına gelmez. Dijital ortamda zaman damgalı kayıtlar, fiziksel ortamda ise tarihli formlar tutulmaya devam edilmelidir.

Sonuç Niyetiyle Değerlendirme

Bu ilke kararı, KVKK uyum süreçlerinde danışmanlık hizmeti veren avukatlar ve uzmanlar açısından da önemli bir dönüm noktasıdır. Yıllardır avukatlar, her ihtimale karşı yaklaşımıyla mümkün olduğunca detaylı ve uzun aydınlatma metinleri hazırlama eğiliminde olmuştur. Bu yaklaşımın arkasında, eksik aydınlatma nedeniyle idari para cezası uygulanması riski yatmaktadır. KVKK m.18 uyarınca aydınlatma yükümlülüğüne aykırı hareket eden veri sorumlusuna idari para cezası uygulanabilmektedir. Ancak Kurul, bu kararıyla fazla detay yaklaşımının da sorunlu olabileceğini ortaya koymaktadır. Aşırı uzun ve karmaşık bir aydınlatma metni, şeffaflık ilkesine aykırılık teşkil edebilir. Dolayısıyla avukatlar, artık mümkün olduğunca fazla değil, gerekli olduğu kadar bilgi verme ilkesini benimsemelidir.

Kişisel Verileri Koruma Kurulu’nun 24 Mart 2026 tarihli ilke kararı, Türk veri koruma uygulamasında bir paradigma değişikliğini işaret etmektedir. Uzun, karmaşık, kalıplaşmış aydınlatma metinleri dönemi sona ermekte; yerini sade, anlaşılır ve gerçekten aydınlatma işlevi gören metinler almaktadır. Bu karar aynı zamanda, KVKK uyum sürecinin sadece bir belge hazırlama işi olmadığını, ilgili kişinin bilgilendirilmesinin bir süreç olduğunu ve bu sürecin etkinliğinin aydınlatmanın kalitesiyle doğru orantılı olduğunu bir kez daha hatırlatmaktadır.

Veri sorumluları, mevcut aydınlatma metinlerini bu yeni yaklaşım çerçevesinde gözden geçirmeli, danışmanlar ise müvekkillerini bu değişiklik konusunda bilgilendirerek gerekli revizyonları gerçekleştirmelidir. Artık önemli olan aydınlatma metninin uzunluğu değil, etkinliğidir. Hakları tek tek saymak yerine ilgili maddeye atıf yapmak; metni uzatmak yerine sadeleştirmek; karmaşıklık yerine anlaşılabilirlik Kurul’un çizdiği yeni çerçevedir.