KVKK İlke Kararı: Aydınlatma ve Açık Rıza Metinlerinin Ayrıştırılması

Kişisel Verileri Koruma Kurulu (“Kurul”), 24 Mart 2026 tarihli ve 33203 sayılı Resmî Gazete’de yayımlanan “Veri Sorumluları Tarafından Açık Rıza ve Aydınlatma Metinlerinin Ayrı Ayrı Düzenlenmesi Gerektiği Hakkında İlke Kararı” (“İlke Kararı”) ile, uygulamada sıklıkla karşılaşılan bir konuya ilişkin yaklaşımını netleştirdi.

İlke Kararı, aydınlatma yükümlülüğü ile açık rıza süreçlerinin farklı hukuki niteliklere sahip olduğunu vurgulayarak bu iki sürecin ayrıştırılması gerektiğinin altını çizerken; mevcut yaklaşımı değiştirmekten ziyade uygulamadaki tereddütleri gideren bir çerçeve ortaya koyuyor.

Karar Kapsamında Öne Çıkan Başlıca Hususlar:

• Aydınlatma metni ile açık rıza metni ayrı metinler olarak ve farklı başlıklar altında düzenlenmeli, aynı ortamda sunulacak ise de ayrı alanlarda yer almalı;
• Aydınlatma metinlerinde “okudum ve kabul ediyorum/onaylıyorum” gibi hukuka uygun olmayan ifadelere yer verilmemeli;
• Açık rıza, yalnızca ilgili veri işleme faaliyetinin açık rıza şartına dayanması halinde gündeme gelmeli; diğer işleme şartları mevcut ise ayrıca rıza alınmamalı.

Kurul ayrıca, aydınlatma metinlerinin gereksiz şekilde uzun ve karmaşık olmaması gerektiğine işaret ediyor. Bu bağlamda özellikle Kişisel Verileri Koruma Kanunu’nun (“Kanun”) 11. maddesinde yer alan hakların tek tek sayılması yerine genel bir atıf yapılmasının daha uygun olduğunu belirtiyor. Bununla birlikte, aydınlatma metinlerinde işlenen kişisel verilere somut ve açık şekilde yer verilmesi gerektiğini; yalnızca kategori bazlı genel ifadelerin yeterli görülmediği de vurgulanıyor.

Son olarak Kurul, söz konusu yükümlülüklere aykırılıkların Kanun’un 12. maddesi kapsamında veri güvenliğine ilişkin yükümlülüklerin ihlali olarak değerlendirilebileceğine dikkat çekiyor.