Açık rıza ile aydınlatma metni arasındaki fark şudur: aydınlatma, kişisel veri işleyen her kurumun istisnasız yerine getirdiği bir bilgilendirme yükümlülüğüdür ve kişiden onay beklemez. Açık rıza ise yalnızca Kanun'daki diğer hukuki sebeplerden hiçbiri yoksa aranan, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilen onaydır. Birini diğerinin yerine kullanmak iki ayrı hatadır.
Formlarda gerçekte ne oluyor?
Bir web sitesinin iletişim formuna, bir iş başvurusu sayfasına ya da bayi kayıt ekranına bakın. Çoğunda gönder düğmesinin hemen üstünde tek bir onay kutusu durur: "KVKK aydınlatma metnini okudum, kişisel verilerimin işlenmesine açık rıza veriyorum." Kutu işaretlenmeden form gönderilmez. Aynı mantık kâğıt üzerinde de sürer; işe giren personele aydınlatma ve açık rızayı bir arada içeren tek sayfalık bir belge imzalatılır.
Bu tasarım iki şeyi karıştırır. Birincisi, aydınlatma "okudum, onaylıyorum" diye kabul edilen bir sözleşme değildir; kişiye bilgi vermektir. İkincisi, zorunlu tutulan bir onay kutusu açık rıza sayılmaz; çünkü kişi reddettiğinde hizmeti alamıyorsa ortada özgür irade yoktur. Sonuçta kurum hem gereksiz bir rıza toplar hem de o rızanın geçerliliğini tartışmaya açar.
Sorunun kökü genellikle belge değil, sistemdir. Formu yazan yazılımcı hukuki metni bir yerden kopyalar, onay kutusunu zorunlu alan yapar ve rızanın hangi sürümle, ne zaman verildiğini hiçbir yerde saklamaz. Kurumun genel KVKK uyum süreci kâğıt üzerinde tamamlanmış görünse de formların arkasındaki veritabanı bu ayrımı tanımaz.
Açık rıza ile aydınlatma metni farkı: açık rıza nedir, aydınlatma metni nedir?
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) iki kavramı farklı maddelerde düzenler (KVKK — 6698 sayılı Kanun metni). Aydınlatma yükümlülüğü 10. maddededir: veri sorumlusu, veriyi elde ederken kişiye kimliğini, işleme amacını, verinin kimlere hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini, 11. maddedeki haklarını bildirmek zorundadır. Bu yükümlülük, hangi hukuki sebebe dayanırsanız dayanın geçerlidir.
Açık rıza ise 5. maddedeki işleme şartlarından yalnızca biridir. Aynı maddenin ikinci fıkrası, rıza aranmadan işleme yapılabilecek durumları sayar: kanunlarda açıkça öngörülmesi, fiili imkânsızlık nedeniyle kişinin ya da başkasının hayatının veya beden bütünlüğünün korunması, sözleşmenin kurulması veya ifası, hukuki yükümlülük, kişinin kendisinin alenileştirmesi, bir hakkın tesisi ya da korunması ve kişinin temel haklarına zarar vermemek kaydıyla meşru menfaat. Madde 5/1'in rızayı genel kural gibi formüle etmesi, başka bir dayanak daha uygunken bile rıza istenmesinin nedenlerinden biridir. Oysa bu sebeplerden biri varsa açık rıza istemek gereksizdir; hatta kişiye, reddederse işlemenin duracağı gibi yanlış bir izlenim verir.
Özel nitelikli verilerde (sağlık, biyometrik veri, ceza mahkûmiyeti gibi) şartlar 6. maddede ayrıca ve daha sıkı düzenlenir; bu madde 7499 sayılı Kanun'la değişti ve yeni hükümler 1 Haziran 2024'te yürürlüğe girdi. Yurt dışına aktarımda da aynı değişiklikle açık rıza artık istisnai bir yol hâline geldi; ayrıntıları KVKK'da yurt dışına veri aktarımı yazımızda anlattık.
| Ölçüt | Aydınlatma metni | Açık rıza |
|---|---|---|
| Hukuki niteliği | Bilgilendirme yükümlülüğü (KVKK md. 10) | İşleme şartlarından biri (KVKK md. 5/1, 6) |
| Ne zaman gerekir? | Her kişisel veri işlemede | Yalnızca başka hukuki sebep yoksa |
| Kişinin onayı | Aranmaz; okudum kutusu gerekmez | Aranır; olumlu bir eylemle verilir |
| Kapsam | Tüm işleme faaliyetleri, amaçlar ve aktarımlar | Tek ve belirli bir konu |
| Geri alınabilir mi? | Konu değil; bilgi verilmiş olur | Her zaman geri alınabilir, sonrası için işleme durur |
| Hizmete bağlanabilir mi? | Evet, herkese verilir | Hayır; reddetmek hizmeti engellememeli |
| Kanıt | Hangi metnin, hangi kanaldan sunulduğu | Kim, ne zaman, hangi metin sürümüyle onayladı |
Karıştırmanın maliyeti
Karışıklık soyut bir hukuk tartışması değil; şikâyet istatistiklerine doğrudan yansıyor. KVKK 2025 Yılı Faaliyet Raporu verisine göre Kurum'a 2025'te 12.512 ihbar ve şikâyet ulaştı; bunların 6.506'sı (%52) verilerin hukuka aykırı işlenmesiyle ilgiliydi. Hukuka aykırı işlemenin tipik nedeni, işleme için geçerli bir hukuki sebebin bulunmaması ya da dayanılan rızanın geçersiz çıkmasıdır.
KVKK 2025 Yılı Faaliyet Raporu'na göre yalnızca aydınlatma yükümlülüğünün yerine getirilmemesi gerekçesiyle yapılan şikâyet sayısı 60'ta kaldı; buna karşın izinsiz SMS ve arama şikâyetleri 1.394'e (%11) ulaştı. (KVKK 2025 Yılı Faaliyet Raporu)
Bu tablo önemli bir şey söylüyor: kişiler eksik bir metinden çok, rıza vermediklerini düşündükleri bir işlemden rahatsız oluyor. Aynı raporda üçüncü kişilerle hukuka aykırı paylaşım 2.838 şikâyetle (%22) ikinci sırada; aydınlatma metninde yazmayan bir aktarım da çoğu zaman bu başlığa düşer. Yani iyi yazılmış bir aydınlatma metni ile doğru seçilmiş bir hukuki sebep, şikâyetin iki ana kaynağını birlikte kurutur.
Maliyet yalnızca idari yaptırım değildir. Geçersiz rızaya dayanan bir pazarlama listesi baştan temizlenmek zorunda kalır, rızası geri alınan bir veri için işleme durdurulur ve rızanın hangi metinle alındığı kanıtlanamazsa savunma zayıflar. Bu yüzden önerimiz, rızayı en son başvurulan dayanak olarak görmek ve alındığı her durumda kanıtını sistemde tutmaktır.
Formlarınızı doğru kurmak için 7 adım
Aşağıdaki sıra, web formu, mobil uygulama, iş başvurusu ve bayi portalı için aynı şekilde uygulanabilir. Her adım bir öncekinin çıktısını kullanır.
- İşleme faaliyetlerini listeleyin. Her formun topladığı alanları, amacı ve verinin gittiği sistemi (CRM, İK, e-ticaret, e-posta pazarlama aracı) yazın. Bu liste kurum geneli kişisel veri envanterinin bir parçasıdır.
- Her amaç için hukuki sebebi eşleştirin. Teklif talebine yanıt vermek sözleşme öncesi işlemedir; faturalama hukuki yükümlülüktür; binaya girişte ziyaretçi kaydı tutmak çoğu durumda meşru menfaate dayanabilir. Açık rızayı yalnızca eşleşme bulunmayan amaçlara bırakın.
- Aydınlatma metnini kişi grubuna göre yazın. Müşteri, aday, çalışan, ziyaretçi ve tedarikçi için ayrı, sade metinler hazırlayın. Metin, Kanun'un saydığı başlıkların tamamını karşılamalı ve formun yanında, veri alınmadan önce görülebilmelidir.
- Aydınlatmayı onay kutusundan ayırın. "Okudum" kutusu yerine metne açık bir bağlantı ve kısa bir özet koyun. İki işlemi ayrı tutmak kavramsal olarak da doğrudur: aydınlatma bilgi vermektir, rıza ise ayrı bir irade beyanıdır.
- Rızayı konu bazında ve isteğe bağlı alın. Her rıza konusu için ayrı, önceden işaretlenmemiş bir kutu kullanın. Kutu boş bırakıldığında form yine gönderilebilmeli, temel hizmet verilmeye devam etmelidir.
- Kanıtı saklayın. Onayın tarihini, saatini, kanalını ve metin sürümünü veritabanında tutun. Metin değiştiğinde eski sürümü silmeyin; hangi kişinin hangi sürümü gördüğü ileride sorulabilir.
- Geri almayı onay kadar kolay yapın. Hesap sayfasında, e-postanın altında ya da müşteri hizmetlerinde rızayı geri çekmenin yolunu gösterin. Geri alınan rıza, bağlı tüm sistemlerde işlemeyi durdurmalıdır.
Rızanın ya da işlemenin bittiği kayıtların ne kadar süre tutulacağı ayrı bir karardır; bunu kişisel veri saklama ve imha politikası belirler. Kayıt yükümlülüğünüz varsa aynı hukuki sebepleri VERBİS kaydı bildiriminize de yansıtın.
Sık karıştırılan üç durum
Çalışan verisi. İşe giriş belgelerinde açık rıza istemek yaygındır, ama bordro, SGK bildirimi ve iş sağlığı kayıtları kanuni yükümlülüğe dayanır. İş ilişkisindeki güç dengesizliği nedeniyle çalışandan alınan rızanın özgür olduğunu göstermek de zordur; hangi çalışan verisinin hangi dayanakla işlendiğini KVKK'da çalışan kişisel verileri yazımızda ayrıntılı ele aldık. Kurul'un parmak izli mesai takibine ilişkin yaklaşımı bunun somut örneği; ayrıntısı biyometrik PDKS ve KVKK yazımızda.
Pazarlama iletileri. SMS, e-posta ve arama ile tanıtım göndermek, KVKK'dan ayrı olarak 6563 sayılı Elektronik Ticaret Kanunu'na tabidir: kural olarak önceden ticari elektronik ileti onayı alınması ve bu onayların İleti Yönetim Sistemi'ne (İYS) kaydedilmesi gerekir (esnaf ve tacirlere gönderilen iletiler gibi istisnalar ayrıca değerlendirilmelidir). KVKK açık rızası bu onayın yerini tutmaz, bu onay da KVKK aydınlatmasının yerini tutmaz. Müşteri verisini birleştiren sistemlerde bu izinlerin kanal bazında ayrı tutulması gerektiğini müşteri veri platformu (CDP) yazımızda anlattık.
Güvenlik kamerası ve sohbet kanalları. Güvenlik amaçlı kamera kaydı çoğu durumda rıza değil meşru menfaat ya da hukuki yükümlülükle işlenir; aydınlatma ise girişteki levha ve tam metinle yapılır (kamera kaydı ve KVKK). Müşteri mesajlarını yanıtlayan bir WhatsApp chatbot kurduğunuzda da aynı ayrım geçerlidir: sipariş sorusuna yanıt vermek ile kampanya göndermek farklı dayanaklara oturur.
Digital Bridge'de bu işi nasıl yapıyoruz?
Açık rıza ve aydınlatma meselesi hem hukuki metin hem yazılım işidir; biz ikisini aynı ekipte ele alıyoruz. KVKK uyum danışmanlığı kapsamında önce boşluk analizi yapıyoruz: formlarınızı, sözleşmelerinizi ve verinin aktığı sistemleri inceleyip hangi amaç için hangi hukuki sebebin kullanıldığını tek tabloda çıkarıyoruz. Gereksiz rıza kutularını kaldırma, eksik aydınlatmayı tamamlama ve rıza gereken yerleri netleştirme önerileri bu tablodan doğar.
Ardından metni sisteme işliyoruz. Özel web yazılımları ve mevcut portallarınız için sürümlü aydınlatma metni, konu bazlı rıza kaydı, geri alma akışı ve kanıt raporu geliştiriyoruz. Rıza durumu CRM ve müşteri ilişkileri sisteminize, B2B e-ticaret sitenize ve e-posta gönderim aracınıza aynı kaynaktan dağıtılır; böylece geri alınan bir izin bir sistemde kalıp diğerinde işlenmeye devam etmez.
Çalışan tarafında İK, bordro ve personel yönetimi süreçlerinizdeki işe giriş belgelerini hukuki sebeplere göre yeniden düzenliyor, çalışan aydınlatma metnini tek yerden yönetilebilir hâle getiriyoruz. Metnin kendisi ve imzalı işe giriş belgeleri için kendi ürünümüz SmartFiles dosya yönetimi uygun bir yerdir: aynı adla yüklenen her metin yeni sürüm olarak saklanır, hangi sürümün ne zaman ve kim tarafından yüklendiği görünür; son hâl sıralı onaya gönderilebilir ve yasal saklama kilidi konan belge silinemez. Genellikle en çok kullanılan bir iki formla pilot yapıyor, akış doğrulandıktan sonra kalan kanallara yayıyoruz.
Uyumun bir parçası da temel güvenlik düzenidir; rıza kayıtları da kişisel veridir ve korunmalıdır. Genel güvenlik tablonuzu görmek için KOBİ siber güvenlik kontrol listesi iyi bir başlangıçtır. Yapay zeka destekli müşteri araçları kullanıyorsanız hukuki sebep sorularını yapay zeka ve KVKK rehberimiz yanıtlıyor; kategorinin tüm yazılarına Siber Güvenlik ve KVKK rehberleri sayfasından ulaşabilirsiniz.
Sonraki adım: formlarınızı birlikte gözden geçirelim
En hızlı başlangıç, kurumunuzun en çok veri toplayan üç formunu ve çalışan işe giriş setini bir tabloya dökmektir: hangi alan, hangi amaç, hangi hukuki sebep, rıza gerekiyor mu, kanıt nerede. Bu tablo çoğu zaman gereksiz rızaların ve eksik aydınlatmaların yerini ilk bakışta gösterir.
Bu tabloyu birlikte çıkarmak ve metinleri sistemlerinize işlemek için iletişim sayfamızdan bize yazın ya da 0 (552) 380 25 25 numarasını arayın. İhtiyaç analizinin ardından kapsamı, aşamaları ve bedeli içeren yazılı bir teklif hazırlıyoruz.