Aydınlatma Yükümlülüğü ile Açık Rıza Arasındaki Fark

Bir şirketin web sitesine üye olurken, bir hastanede randevu alırken, bir iş sözleşmesi imzalarken karşımıza çıkan "kişisel verilerimin işlenmesine onay veriyorum" kutucuğu, Türkiye'deki veri koruma uygulamasının en tanıdık görüntüsüdür. Çoğu veri sorumlusu için bu kutucuk, Kişisel Verilerin Korunması Kanununa uyumun kendisidir. Oysa Kanun rızayı kural değil, işleme şartlarından yalnızca biri olarak düzenler; aydınlatma ise rızadan bağımsız, her durumda yerine getirilmesi gereken ayrı bir yükümlülüktür. Kişisel Verileri Koruma Kurulu'nun 18.02.2026 tarihli ve 2026/347 sayılı ilke kararı bu karışıklığı doğrudan hedef alır ve açık rıza metni ile aydınlatma metninin iç içe geçmiş biçimde sunulmasını, Kuruma gelen ihbar ve şikayetlerde en sık karşılaşılan hukuka aykırılıklardan biri olarak niteler.

Bölüm IIAydınlatma yükümlülüğü bilgi vermektir, izin istemek değil

Kanunun 10. maddesine göre kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere veri sorumlusunun ve varsa temsilcisinin kimliğini, kişisel verilerin hangi amaçla işleneceğini, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceğini, kişisel veri toplamanın yöntemini ve hukuki sebebini ve 11. maddede sayılan diğer hakları bildirmek zorundadır. Bu yükümlülüğün usulünü Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ belirler.

Tebliğ'in 5. maddesi bu yükümlülüğün karakterini birkaç cümleyle çizer. Açık rızaya veya Kanundaki diğer işleme şartlarına bağlı olarak kişisel veri işlendiği her durumda aydınlatma yükümlülüğü yerine getirilmelidir. Aydınlatma, ilgili kişinin talebine bağlı değildir; yani veri sorumlusu kimse sormadan bilgilendirmek zorundadır. Aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır. Kişisel veri işleme amacı değiştiğinde, işlemeden önce bu amaç için aydınlatma ayrıca yapılmalıdır. Veri işleme amacı belirli, açık ve meşru olmalı, genel nitelikte ve muğlak ifadelere yer verilmemelidir; gündeme gelmesi muhtemel başka amaçlar için verilerin işlenebileceği kanaatini uyandıran ifadeler kullanılmamalıdır. Hukuki sebep açıkça belirtilmelidir ve burada kastedilen, verinin Kanunun 5 ve 6. maddelerindeki işleme şartlarından hangisine dayanılarak işlendiğidir. Veriler ilgili kişiden elde edilmiyorsa Tebliğ'in 6. maddesine göre aydınlatma makul süre içinde, ilgili kişiyle iletişim kurulacaksa ilk iletişimde, aktarım yapılacaksa en geç ilk aktarım anında yapılmalıdır.

Bu hükümlerden çıkan sonuç şudur; aydınlatma, bir bilgilendirme borcudur. Kişinin neye onay verdiğiyle ilgisi yoktur. Aydınlatma metnini okumuş bir kişi, bu metindeki işlemelere onay vermek zorunda değildir.

Bölüm IIIAçık rıza, özgür irade ve belirli konuda verilmiş olmalıdır

Açık rıza ise Kanunun 3. maddesinin birinci fıkrasının (a) bendinde belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanır. Tanımda üç unsur vardır: belirlilik, bilgilendirilmişlik ve özgür irade. Belirlilik, "tüm kişisel verilerimin her amaçla işlenmesine" gibi genel bir onayın açık rıza sayılamayacağı anlamına gelir. Bilgilendirilmişlik, rızanın ancak aydınlatma yapıldıktan sonra anlam kazanabileceğini gösterir. Özgür irade ise rıza vermemenin kişi için olumsuz bir sonuç doğurmaması demektir.

Kanunun 5. maddesinin birinci fıkrası kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceğini söyler; ikinci fıkra ise rıza aranmaksızın işlemenin mümkün olduğu halleri sayar: kanunlarda açıkça öngörülmesi, fiili imkansızlık nedeniyle rızasını açıklayamayacak olan kişinin yaşamının veya beden bütünlüğünün korunması için zorunlu olması, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması kaydıyla sözleşme taraflarının verilerinin işlenmesinin gerekli olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için zorunlu olması. Yani Kanunda açık rıza dışında yedi ayrı işleme şartı vardır ve çoğu günlük işlem bunlardan birine dayanır. Çalışanın maaşını ödemek için banka hesap numarasını kaydeden işverenin, müşterisine fatura düzenlemek için adresini işleyen esnafın açık rızaya ihtiyacı yoktur; bu işlemeler sözleşmenin ifası ve hukuki yükümlülük şartlarına dayanır. Özel nitelikli kişisel veriler için Kanunun 6. maddesinin üçüncü fıkrası, 2 Mart 2024 tarihli 7499 sayılı Kanunla yeniden düzenlenmiş şekliyle, açık rıza dahil sekiz ayrı şart sayar.

Bölüm IVNeden her şeye rıza aldırmak hata?

Her şeye rıza aldırmanın birkaç ayrı zararı vardır. İlki, veri işlemenin gerçek hukuki sebebini gizlemesidir. Sözleşmenin ifası veya hukuki yükümlülük gibi bir şarta dayanan işlemeyi rızaya bağlayan veri sorumlusu, kişiye yanlış bir seçim yanılsaması sunar: kişi onay vermezse işleme duracakmış gibi görünür, oysa veri sorumlusu işlemeyi başka şarta dayanarak sürdürecektir. Kurul, 02.05.2023 tarihli ve 2023/692 sayılı kararında bir özel sağlık kuruluşunun randevu formunda tanıtım amaçlı onayı zorunlu tutmasını incelerken tam bu noktaya dikkat çekti: hizmete erişimin tanıtım amaçlı bir onaya bağlanması rızanın özgür iradeyle verilmesini engeller; randevu için gerekli verilerin zaten başka işleme şartlarına dayanabileceği halde açık rızanın istenmesi de dürüstlük ilkesine aykırıdır. Kurul veri sorumlusuna 300.000 TL idari para cezası verdi ve aydınlatma metnindeki onay veriyorum ifadesinin çıkarılarak yalnızca metnin okunduğunu gösteren bir kutucuğun konulmasını istedi.

İkinci zarar, rızanın geçersiz sayılması riskidir. Çalışan ile işveren arasındaki ilişkide rıza özgür iradeye dayanmadığında bu rıza işlemeyi meşrulaştırmaz. Kurul, 20.05.2020 tarihli ve 2020/404 sayılı kararında çalışanlardan geniş kapsamlı bir muvafakatname imzalatan ve parmak izi alan işverenin uygulamasını inceledi. Aydınlatma ayrı bir metin olarak sunulmamış, açık rıza metniyle birleştirilmişti; metni imzalamayan çalışanların özlük dosyasının eksik sayılması ve listelerinin dolaşıma sokulması da rıza göstermeme imkanının etkin sunulmadığını gösteriyordu. Kurul rızanın geçerli sayılamayacağına karar verdi ve aydınlatma yükümlülüğünün ihlali nedeniyle 50.000 TL, açık rıza olmaksızın veri işleme, ölçülülük ilkesine aykırılık ve güvenlik yükümlülüğünün ihlali nedeniyle 200.000 TL idari para cezası uyguladı.

Üçüncü zarar, aydınlatma ile rızanın tek kutucukta birleştirilmesinin ispat sorunu yaratmasıdır. Kurul, 26.07.2018 tarihli ve 2018/90 sayılı kararında iş başvurularını bir çevrim içi platform üzerinden alan bir şirket grubunu inceledi. Üyelik sırasında tek bir kutucuk hem aydınlatma metninin okunduğunu onaylıyor hem açık rıza veriyordu. Kurul, Tebliğ'in 5. maddesinin (f) bendi uyarınca aydınlatma yükümlülüğü ile açık rızanın ayrı ayrı yerine getirilmesi gerektiğini, aydınlatmanın bilgilendirme, açık rızanın ise veri sorumlusuna hukuki dayanak sağlama amacı taşıdığını, bir kişinin aydınlatma metnini okuyup rıza vermeyi reddedebileceğini belirtti ve şirketten iki mekanizmayı ayırmasını, aydınlatmanın okunduğunu ve rızanın verildiğini ayrı ayrı ispat edebilmesini istedi.

Bölüm V2026/347 sayılı ilke kararı ne söylüyor?

Kurul'un 18.02.2026 tarihli ve 2026/347 sayılı ilke kararı bu uygulamayı sistematik hale getirdi. Kurum'un 24 Mart 2026 tarihli duyurusuna göre karar, açık rıza ve aydınlatma metinlerinin ayrı ayrı düzenlenmesi gerektiğini ortaya koyuyor ve şu uygulamaları hukuka aykırı sayıyor: iki metnin iç içe geçmiş biçimde tek metin olarak sunulması, aydınlatmanın yapıldığına dair onay talep edilmesi, başka bir veri sorumlusunun metinlerinin uyarlanmadan kullanılması, açık ve sade olmayan, yanıltıcı veya eksik ifadelere yer verilmesi (örneğin yurt dışı aktarım olmadığı halde aktarım izlenimi veren ifadeler) ve çok uzun, karmaşık metinler.

Karar, olması gerekeni de tarif eder. Aydınlatma, işlemenin dayanağı ne olursa olsun veri işlemeye başlamadan önce yapılmalıdır. Açık rızaya dayalı işlemelerde aydınlatma ve açık rıza metinleri ayrı başlıklar altında ayrı metinler olarak düzenlenmeli, aynı sayfada yer alacaklarsa alt alta bulunmalı ve ayrı beyanlar içermelidir. Açık rıza dışında bir işleme şartına dayanılıyorsa yalnızca aydınlatma yapılmalı, ayrıca açık rıza metni sunulmamalıdır. İlgili kişilerden yalnızca aydınlatma metninin okunduğuna dair geri bildirim alınmalı, aydınlatma içeriğine onay istenmemelidir. Metinler veri sorumlusunun kendi faaliyetine uygun hazırlanmalı, Kanunun tüm maddeleri metne alınmamalı, 11. maddedeki haklara kısa bir atıf yeterli sayılmalı ve işlenen kişisel veri kategorileri, amaç ve hukuki sebep açıkça belirtilmelidir. Kurum duyuruda bu hususları Kanunun 12. maddesinin birinci fıkrası kapsamındaki idari ve teknik tedbirler olarak niteler ve aykırılık tespit edilirse 18. madde uyarınca işlem yapılacağını bildirir. Duyuru metninde bir uyum süresi belirtilmemiştir; ilke kararının Resmi Gazete'deki tam metnini kontrol etmek gerekir.

Bölüm VIYaptırım ne?

Aydınlatma yükümlülüğünü yerine getirmeyenlere Kanunun 18. maddesinin birinci fıkrasının (a) bendi uyarınca, veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenlere (b) bendi uyarınca idari para cezası verilir. Kurum'un 31.12.2025 tarihli tablosuna göre 2026 yılı için yeniden değerleme oranı yüzde 25,49 uygulanarak belirlenen tutarlar şöyledir: aydınlatma yükümlülüğü ihlalinde 85.437 TL ile 1.709.200 TL arası, veri güvenliği yükümlülüklerinin ihlalinde 256.357 TL ile 17.092.242 TL arası. Yukarıda anılan Kurul kararları verildiğinde geçerli olan tarifeler bugünkünden çok daha düşüktü; örneğin 2026 tarifesinde yalnızca veri güvenliği ihlalinin alt sınırı bile, 2020/404 sayılı kararda uygulanan 200.000 TL'nin üzerindedir.

Bölüm VIIDoğru kurgu nasıl olmalı?

Önce veri sorumlusu işlediği her veri için hangi işleme şartına dayandığını belirlemelidir. Sözleşmenin ifası, hukuki yükümlülük, meşru menfaat gibi bir şart varsa tek yapılacak iş, Tebliğ'e uygun, anlaşılır ve somut bir aydınlatma metnini ilgili kişiye sunmak ve gerekirse metnin okunduğuna dair bir geri bildirim almaktır. Açık rıza yalnızca gerçekten başka bir şarta dayanmayan, isteğe bağlı işlemeler için istenmelidir: örneğin hizmetle doğrudan ilgisi olmayan pazarlama iletişimi ya da isteğe bağlı bir kişiselleştirme. Bu işlemeler için rıza ayrı bir metinde, belirli bir konu için, kişinin reddedebileceği ve reddetmenin hizmete erişimi etkilemeyeceği bir şekilde sunulmalıdır.

Bölüm VIIISonuç

Aydınlatma yükümlülüğü Kanunun 10. maddesinden doğan ve işlemenin dayanağı ne olursa olsun yerine getirilmesi gereken bir bilgilendirme borcudur; açık rıza ise Kanunun 5. ve 6. maddelerindeki işleme şartlarından yalnızca biridir ve belirli, bilgilendirilmeye dayanan ve özgür iradeyle verilmiş olmalıdır. Her şeye rıza aldırmak, gerçek hukuki sebebi gizler, rızanın geçersiz sayılması riskini doğurur ve iki mekanizmanın tek kutucukta birleştirilmesi halinde ispatı imkansızlaştırır. Kurul'un 2018/90, 2020/404 ve 2023/692 sayılı kararları ile 18.02.2026 tarihli 2026/347 sayılı ilke kararı bu yönde tutarlı bir çizgi izlemektedir. Aydınlatma ve rıza ayrı metinlerde olmalı, rıza dışında bir şarta dayanılıyorsa yalnızca aydınlatma yapılmalı, hizmet rızaya bağlanmamalıdır. Aykırılığın bedeli 2026 tarifesine göre aydınlatma ihlalinde 85.437 TL ile 1.709.200 TL, veri güvenliği ihlalinde 256.357 TL ile 17.092.242 TL arasındadır.