KVKK 2026: Aydınlatma ve Açık Rıza Ayrı Belge

Kısa cevap: Kişisel Verileri Koruma Kurulunun 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararına göre, aydınlatma metni ile açık rıza metni ayrı belgeler olarak hazırlanmalıdır; tek kutucukta birleştirilen "okudum, kabul ediyorum" uygulamaları risklidir. Aydınlatma bir yükümlülük, açık rıza ise ayrı bir hukuki sebeptir ve yalnızca başka sebep yoksa alınmalıdır.

Kişisel Verileri Koruma Kurulunun 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı uyarınca, aydınlatma metni ile açık rıza metninin ayrı belgeler olarak hazırlanması gerekmektedir. Tek bir kutucukta birleştirilen "okudum, kabul ediyorum" uygulamaları bu ilke karşısında risklidir.

Hızlı cevap: 2026'da uyum için yapılacaklar

Aydınlatma metni ve açık rıza metni ayrı belge olarak hazırlanmalıdır.
Aydınlatma bir yükümlülüktür; açık rıza ise bir hukuki sebeptir. İkisi aynı şey değildir.
Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış olmalıdır.
"Tüm işlemler için" verilen genel ve battaniye rıza geçerli kabul edilmez.
Açık rıza, hizmetin ön şartı hâline getirilmemelidir.
Yapay zekâ kullanımında önce diğer hukuki sebepler değerlendirilmeli; açık rıza son çare olarak gündeme gelmelidir.

Bu yazı genel bilgilendirmedir. Uyum çalışması, veri işleme faaliyetinizin gerçek envanterine göre yapılmalıdır.

Aydınlatma ile açık rıza neden karıştırılıyor?

Aydınlatma metni ve açık rıza metni ikisi de veri sahibine gösterilen belgeler olduğu için uygulamada sıklıkla tek bir ekranda ve tek bir onay kutusunda birleştiriliyor. Oysa ikisinin hukuki işlevi farklıdır: aydınlatma veri sorumlusunun her hâlde yerine getirmesi gereken bir yükümlülük, açık rıza ise yalnızca başka hukuki sebep yokken başvurulan ve geri alınabilen bir işleme şartıdır. Aşağıdaki tablo bu farkı karşılaştırır.

Konu	Aydınlatma	Açık rıza
Niteliği	Veri sorumlusunun yükümlülüğü	Bir işleme şartı (hukuki sebep)
Her hâlde gerekli mi?	Evet	Hayır, yalnız başka sebep yoksa
İçeriği	Kim, hangi veriyi, hangi amaçla, kime aktarıyor, hangi haklar var	Belirli bir işleme için onay
Geri alınabilir mi?	Konu değil	Evet, geri alınabilir

Aydınlatma yapılmadan alınan rıza geçerli olmaz; çünkü rızanın "bilgilendirmeye dayanması" gerekir. Ancak bunun çözümü ikisini birleştirmek değil, sırayla ve ayrı belgelerle sunmaktır.

İlke kararı pratikte neyi değiştiriyor?

Kurulun ilke kararı doğrultusunda, aydınlatma ve rızayı tek ekranda topladığı için gözden geçirilmesi gereken beş tipik yapı vardır: tek onay kutusuyla ilerleyen web formları, sözleşme metnine gömülü rıza cümleleri, işe alım ve müşteri kayıt formlarındaki birleşik metinler, çağrı merkezi anonsları ve mobil uygulama kurulumundaki toplu kabul ekranları. Her birinde çözüm aynıdır: aydınlatmayı önce sunup rızayı ayrı belgeyle almak.

Tek onay kutusuyla hem aydınlatmayı hem rızayı kapsayan web formları,
Sözleşme metninin içine gömülmüş rıza cümleleri,
İşe alım ve müşteri kayıt formlarındaki birleşik metinler,
Çağrı merkezi anonslarında tek bir onay ifadesi,
Mobil uygulama kurulum akışlarındaki toplu kabul ekranları.

Her birinde yapılacak iş aynıdır: aydınlatmayı önce sun, rızayı ayrı bir belge ve ayrı bir işaretleme olarak al, rıza gerekmiyorsa hiç isteme.

Kurul'un benzer başvurularda hangi uygulamaları ihlal saydığını görmek için somut senaryonuzu kişisel veri eklemeden yazıp emsal karar aramasını kullanabilirsiniz.

Rıza gerçekten gerekli mi? Önce bunu sorun

En sık yapılan hata, hukuki sebebi olan bir işleme için gereksiz yere rıza almaktır. Rıza alındığında veri sahibi bunu geri çekebilir; geri çekilince işleme dayanağı ortadan kalkar. Sözleşmenin ifası veya hukuki yükümlülük gibi başka bir sebep varken rıza almak, veri sorumlusunu kendi eliyle zayıf konuma sokar.

Karar sırası:

İşleme hangi amaca hizmet ediyor?
Bu amaç için sözleşmenin ifası, hukuki yükümlülük, meşru menfaat gibi bir sebep var mı?
Varsa rıza istemeyin, aydınlatmayı yapın.
Yoksa rızayı ayrı belgeyle, belirli ve özgür iradeye dayalı olarak alın.
Özel nitelikli kişisel veri söz konusuysa ek şartları ayrıca değerlendirin.

Yapay zekâ kullanan bürolar ve şirketler için ek başlıklar

Kurulun üretken yapay zekâya ilişkin rehberi, yapay zekâ uygulamalarında kişisel veri işlenirken uyulacak esasları açıklamaktadır. Bir hukuk bürosu veya şirket, dosya içeriğini bir yapay zekâ aracına verdiğinde şu soruları cevaplayabilmelidir:

Veri hangi ülkede işleniyor ve saklanıyor?
Girilen içerik model eğitimi için kullanılıyor mu?
Saklama süresi ve silme mekanizması nedir?
Aktarım varsa hangi şart karşılanıyor?
Çıktının doğruluğu kim tarafından denetleniyor?

Avukatlar bakımından buna bir de meslek sırrı boyutu eklenir; ayrıntı için avukatlar için yapay zekâ, KVKK ve meslek sırrı yazısına bakın. Dosyayı araca vermeden önce anonimleştirme için yapay zekâ için hukuki dosya anonimleştirme rehberini kullanın.

Uyum kontrol listesi

Adım	Sorulacak soru
Envanter	Hangi veriyi, hangi amaçla, hangi sebeple işliyorum?
Ayrıştırma	Aydınlatma ve rıza metinleri ayrı belge mi?
Kapsam	Rıza belirli bir işleme mi ait, yoksa battaniye mi?
Özgürlük	Rıza vermeyen kişi hizmetten mahrum kalıyor mu?
Kayıt	Rızanın ne zaman, hangi metinle alındığı kayıt altında mı?
Geri alma	Geri çekme kolay ve işlevsel mi?
Aktarım	Yurt dışı aktarım varsa şartı karşılanıyor mu?

Kayıt tutma çoğu zaman ihmal edilir. Bir denetimde "rıza aldık" demek yetmez; hangi tarihte, hangi metin sürümüyle alındığının gösterilebilmesi gerekir. Bu nedenle metinlerin sürüm numarası ve yürürlük tarihi taşıması önerilir.

Uyum kontrol listesindeki maddelerden birinde tartışma çıkarsa, benzer KVKK uyuşmazlıklarını emsal karar aramasıyla araştırabilirsiniz.

Sık sorulan sorular

Aydınlatma metni ve açık rıza metni tek belgede olabilir mi?

Hayır, Kurulun 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı doğrultusunda aydınlatma metni ile açık rıza metninin ayrı belgeler olarak hazırlanması gerekir. Tek metin ve tek onay kutusu üzerinden ilerleyen "okudum, kabul ediyorum" tipi uygulamalar bu ilke karşısında risklidir ve gözden geçirilmelidir. Aydınlatma her hâlde sunulmalı, açık rıza ise ayrıca ve belirli bir işlem için istenmelidir.

Her veri işleme için açık rıza almak gerekir mi?

Hayır, açık rıza kanunda sayılan işleme şartlarından yalnızca biridir ve her veri işleme faaliyeti için zorunlu değildir. Sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat gibi başka bir şart zaten varsa rıza aranmaz; önce bu sebeplerin var olup olmadığı kontrol edilmelidir. Gereksiz yere rıza almak, geri çekilebilir olması nedeniyle veri sorumlusunun aleyhine sonuç doğurabilir ve işleme dayanağını zayıflatır.

Hizmeti almak için rıza şartı konulabilir mi?

Hayır, hizmeti almanın ön şartı olarak açık rıza istenemez; çünkü açık rızanın belirli, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış olması gerekir. Rıza vermemenin hizmetten yararlanmayı engellemesi, iradeyi baskı altına aldığı için rızayı sakatlayan bir unsur olarak değerlendirilir. Sözleşmenin ifası için gerçekten gerekli olan bir işleme zaten başka bir hukuki sebebe dayanabilir ve rıza aranmaz.

Verilen açık rıza geri alınabilir mi?

Evet, açık rızanın en belirgin özelliklerinden biri geri alınabilir olmasıdır ve veri sahibi verdiği rızayı istediği zaman geri çekebilir. Geri alma hâlinde, yalnızca o rızaya dayanan işlemeler bakımından hukuki sebep ortadan kalkar ve ilgili işlemenin durdurulması gündeme gelir; sözleşmenin ifası gibi başka bir hukuki sebebe dayanan işlemeler bundan etkilenmez. Bu nedenle geri alma kolay ve işlevsel bir mekanizmayla sunulmalıdır.

Resmî kaynaklar

Bu içerik genel bilgilendirme amaçlıdır; hukuki tavsiye değildir. Uyum çalışmasını kendi veri envanteriniz üzerinden ve bir avukatla yürütün.

KVKK 2026: Aydınlatma ve Açık Rıza Metinleri Ayrı Belge Olmalı

Hızlı Özet (AEO)