KVKK 2026: Aydınlatma ve Açık Rıza Metinleri Ayrı Belge Olmalı

Kişisel Verileri Koruma Kurulunun 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı uyarınca, aydınlatma metni ile açık rıza metninin ayrı belgeler olarak hazırlanması gerekmektedir. Tek bir kutucukta birleştirilen "okudum, kabul ediyorum" uygulamaları bu ilke karşısında risklidir.

Hızlı cevap: 2026'da uyum için yapılacaklar

• Aydınlatma metni ve açık rıza metni ayrı belge olarak hazırlanmalıdır.
• Aydınlatma bir yükümlülüktür; açık rıza ise bir hukuki sebeptir. İkisi aynı şey değildir.
• Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış olmalıdır.
• "Tüm işlemler için" verilen genel ve battaniye rıza geçerli kabul edilmez.
• Açık rıza, hizmetin ön şartı hâline getirilmemelidir.
• Yapay zekâ kullanımında önce diğer hukuki sebepler değerlendirilmeli; açık rıza son çare olarak gündeme gelmelidir.

Bu yazı genel bilgilendirmedir. Uyum çalışması, veri işleme faaliyetinizin gerçek envanterine göre yapılmalıdır.

Aydınlatma ile açık rıza neden karıştırılıyor?

İkisi de veri sahibine gösterilen metinler olduğu için uygulamada tek bir ekranda birleştiriliyor. Oysa hukuki işlevleri farklıdır:

Konu	Aydınlatma	Açık rıza
Niteliği	Veri sorumlusunun yükümlülüğü	Bir işleme şartı (hukuki sebep)
Her hâlde gerekli mi?	Evet	Hayır, yalnız başka sebep yoksa
İçeriği	Kim, hangi veriyi, hangi amaçla, kime aktarıyor, hangi haklar var	Belirli bir işleme için onay
Geri alınabilir mi?	Konu değil	Evet, geri alınabilir

Aydınlatma yapılmadan alınan rıza geçerli olmaz; çünkü rızanın "bilgilendirmeye dayanması" gerekir. Ancak bunun çözümü ikisini birleştirmek değil, sırayla ve ayrı belgelerle sunmaktır.

İlke kararı pratikte neyi değiştiriyor?

Kurulun ilke kararı doğrultusunda gözden geçirilmesi gereken tipik yapılar:

1. Tek onay kutusuyla hem aydınlatmayı hem rızayı kapsayan web formları,
2. Sözleşme metninin içine gömülmüş rıza cümleleri,
3. İşe alım ve müşteri kayıt formlarındaki birleşik metinler,
4. Çağrı merkezi anonslarında tek bir onay ifadesi,
5. Mobil uygulama kurulum akışlarındaki toplu kabul ekranları.

Her birinde yapılacak iş aynıdır: aydınlatmayı önce sun, rızayı ayrı bir belge ve ayrı bir işaretleme olarak al, rıza gerekmiyorsa hiç isteme.

Rıza gerçekten gerekli mi? Önce bunu sorun

En sık yapılan hata, hukuki sebebi olan bir işleme için gereksiz yere rıza almaktır. Rıza alındığında veri sahibi bunu geri çekebilir; geri çekilince işleme dayanağı ortadan kalkar. Sözleşmenin ifası veya hukuki yükümlülük gibi başka bir sebep varken rıza almak, veri sorumlusunu kendi eliyle zayıf konuma sokar.

Karar sırası:

1. İşleme hangi amaca hizmet ediyor?
2. Bu amaç için sözleşmenin ifası, hukuki yükümlülük, meşru menfaat gibi bir sebep var mı?
3. Varsa rıza istemeyin, aydınlatmayı yapın.
4. Yoksa rızayı ayrı belgeyle, belirli ve özgür iradeye dayalı olarak alın.
5. Özel nitelikli kişisel veri söz konusuysa ek şartları ayrıca değerlendirin.

Yapay zekâ kullanan bürolar ve şirketler için ek başlıklar

Kurulun üretken yapay zekâya ilişkin rehberi, yapay zekâ uygulamalarında kişisel veri işlenirken uyulacak esasları açıklamaktadır. Bir hukuk bürosu veya şirket, dosya içeriğini bir yapay zekâ aracına verdiğinde şu soruları cevaplayabilmelidir:

• Veri hangi ülkede işleniyor ve saklanıyor?
• Girilen içerik model eğitimi için kullanılıyor mu?
• Saklama süresi ve silme mekanizması nedir?
• Aktarım varsa hangi şart karşılanıyor?
• Çıktının doğruluğu kim tarafından denetleniyor?

Avukatlar bakımından buna bir de meslek sırrı boyutu eklenir; ayrıntı için avukatlar için yapay zekâ, KVKK ve meslek sırrı yazısına bakın. Dosyayı araca vermeden önce anonimleştirme için yapay zekâ için hukuki dosya anonimleştirme rehberini kullanın.

Uyum kontrol listesi

Adım	Sorulacak soru
Envanter	Hangi veriyi, hangi amaçla, hangi sebeple işliyorum?
Ayrıştırma	Aydınlatma ve rıza metinleri ayrı belge mi?
Kapsam	Rıza belirli bir işleme mi ait, yoksa battaniye mi?
Özgürlük	Rıza vermeyen kişi hizmetten mahrum kalıyor mu?
Kayıt	Rızanın ne zaman, hangi metinle alındığı kayıt altında mı?
Geri alma	Geri çekme kolay ve işlevsel mi?
Aktarım	Yurt dışı aktarım varsa şartı karşılanıyor mu?

Kayıt tutma çoğu zaman ihmal edilir. Bir denetimde "rıza aldık" demek yetmez; hangi tarihte, hangi metin sürümüyle alındığının gösterilebilmesi gerekir. Bu nedenle metinlerin sürüm numarası ve yürürlük tarihi taşıması önerilir.

Sık sorulan sorular

Aydınlatma metni ve açık rıza metni tek belgede olabilir mi?

Kurulun 2026 tarihli ilke kararı doğrultusunda bu iki metnin ayrı belgeler olarak hazırlanması gerekir. Tek metin ve tek onay kutusu üzerinden ilerleyen uygulamalar gözden geçirilmelidir.

Her veri işleme için açık rıza almak gerekir mi?

Hayır. Açık rıza, kanunda sayılan işleme şartlarından yalnızca biridir. Sözleşmenin ifası veya hukuki yükümlülük gibi başka bir şart varsa rıza aranmaz; gereksiz rıza almak veri sorumlusunun aleyhine sonuç doğurabilir.

Hizmeti almak için rıza şartı konulabilir mi?

Açık rızanın özgür iradeyle açıklanmış olması gerekir. Rıza vermemenin hizmetten yararlanmayı engellemesi, rızayı sakatlayan bir unsur olarak değerlendirilir.

Verilen açık rıza geri alınabilir mi?

Evet. Veri sahibi açık rızasını geri alabilir. Geri alma hâlinde, yalnızca rızaya dayanan işlemeler bakımından hukuki sebep ortadan kalkar ve işlemenin durdurulması gündeme gelir.

Resmî kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• Kişisel Verileri Koruma Kurumu
• KVKK — ilke kararları
• KVKK — rehberler

Bu içerik genel bilgilendirme amaçlıdır; hukuki tavsiye değildir. Uyum çalışmasını kendi veri envanteriniz üzerinden ve bir avukatla yürütün.