Kişisel Verileri Koruma Kurulu: Veri Sorumluları Tarafından Açık Rıza Metni ile Aydınlatma Metninin Ayrı Düzenlenmesine İlişkin İlke Kararı

Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından alınan 18/02/2026 tarihli ve 2026/347 sayılı İlke Kararı (“İlke Kararı”) 24 Mart 2026 tarihli ve 33203 sayılı Resmî Gazete’de yayımlanmıştır.

Söz konusu İlke Kararı’nda özetle aşağıdaki tespit ve değerlendirmelere yer verilmiştir:

Açık rıza metni ile aydınlatma metninin hukuki niteliklerinin farklı olduğu; bu nedenle söz konusu metinlerin aynı içerikte, iç içe veya tek bir onay mekanizması ile sunulmasının hukuka aykırı olduğu belirtilmiştir.
Aydınlatma yükümlülüğünün, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) 10’uncu maddesi uyarınca ilgili kişilerin bilgilendirilmesine yönelik olduğu; bu kapsamda veri sorumlusunun kimliği, veri işleme amaçları, veri aktarım alıcıları, veri toplama yöntemi ve hukuki sebep ile ilgili kişinin haklarına ilişkin bilgilerin açıkça sunulması gerektiği ifade edilmiştir.
Aydınlatma metninin amacının onay almak olmadığı; bu nedenle metin sonunda “okudum ve kabul ediyorum “okudum ve onaylıyorum” veya “açık rıza veriyorum” gibi ibarelerin kullanılmaması gerektiği, bunun yerine “okudum ve anladım” benzeri ifadelerin tercih edilmesinin uygun olacağı belirtilmiştir.
Açık rızanın, Kanun’un 3’üncü maddesi uyarınca belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza olduğu; bu nedenle yalnızca gerekli hallerde başvurulması gereken bir veri işleme şartı olduğu vurgulanmıştır.
Açık rıza metninin, veri işleme faaliyetinin açık rızaya dayanması gereken durumlarda ayrı bir metin olarak hazırlanması gerektiği; ilgili kişinin hangi işleme faaliyetlerine rıza verdiğini açıkça anlayabilmesi ve dilediği zaman rızasını geri alabilmesinin sağlanması gerektiği ifade edilmiştir.
Aydınlatma yükümlülüğünün yerine getirildiğinin ve açık rızanın usulüne uygun şekilde alındığının ispat yükünün veri sorumlusuna ait olduğu belirtilmiştir.
Kişisel veri işleme faaliyetinin açık rızaya dayanması halinde, aydınlatma metni ile açık rıza metninin ayrı ayrı düzenlenmesi; aynı sayfada yer alsalar dahi farklı başlıklar altında ve her biri için ayrı beyan alınacak şekilde sunulması gerektiği ifade edilmiştir.
Kişisel veri işleme faaliyetinin açık rıza dışındaki hukuki sebeplere dayanması halinde ise ilgili kişilere ayrıca açık rıza metni sunulmaması, yalnızca aydınlatma yükümlülüğünün yerine getirilmesi gerektiği belirtilmiştir.
Uygulamada sıkça karşılaşılan hukuka aykırılıklar arasında; açık rıza ve aydınlatma metinlerinin tek metinde sunulması, aydınlatma yapıldığına dair ilgili kişilerden onay veya rıza talep edilmesi, başka veri sorumlularına ait metinlerin aynen kullanılması, muğlak ve yanıltıcı ifadeler kullanılması ile gereksiz derecede uzun ve karmaşık metinlerin tercih edilmesi hususlarına yer verilmiştir.
Aydınlatma metinlerinde işlenen kişisel veriler, veri kategorileri, işleme amaçları ve hukuki sebeplerin açık, anlaşılır ve sade bir dil ile belirtilmesi gerektiği vurgulanmıştır.
Kanun’un 12’nci maddesi uyarınca veri sorumlularının kişisel verilerin hukuka uygun işlenmesini teminen gerekli teknik ve idari tedbirleri almakla yükümlü olduğu; söz konusu yükümlülüklere aykırı hareket edilmesi halinde Kanun’un 18’inci maddesi kapsamında idari yaptırım uygulanabileceği belirtilmiştir.
Açık rıza metni ile aydınlatma metninin iç içe sunulmasının, Kişisel Verileri Koruma Kurumuna intikal eden ihbar ve şikâyetlerde en sık karşılaşılan hukuka aykırılıklardan biri olduğu ifade edilmiştir.

İlke Kararı’nın tam metnine buradan ulaşabilirsiniz.