Açık Rıza ve Aydınlatma Yükümlülüğü İhlalleri: Web Sitesi, Mobil Uygulama, Çerez ve Üyelik (2026)
Web sitesi, mobil uygulama, çerez ve üyelik süreçlerindeki ihlallerin neredeyse tamamı iki kurumun yanlış kurulmasından doğar. Aydınlatma yükümlülüğü (m.10): veri sorumlusu; kimliğini, işleme amacını, aktarım yapılacak kişileri ve amacını, toplama yöntemi ile hukuki sebebini ve m.11 haklarını, veriyi elde ederken ilgili kişiye bildirmek zorundadır ve bu yükümlülük rızaya bağlı olmayan işlemelerde de geçerlidir. Açık rıza (m.3): ancak üç unsur birlikte varsa geçerlidir: belirli bir konuya ilişkin olma, bilgilendirmeye dayanma ve özgür iradeyle açıklanma. Kurul kararlarında yerleşik ihlal kalıpları: hizmetin rıza şartına bağlanması (rıza vermeyene hizmeti kapatma), tüm işleme amaçlarını tek onaya sıkıştıran battaniye rıza, önceden işaretli kutular, aydınlatma ile rıza metninin tek belgede birleştirilmesi ve zorunlu olmayan çerezlerin rızasız çalıştırılması. Yaptırım 2026 rakamlarıyla ağırdır: aydınlatma ihlali 85.437 – 1.709.200 TL; rızasız işlemenin dahil olduğu veri güvenliği ve hukuka aykırılık ihlalleri 17.092.242 TL’ye kadar idari para cezasına konu olur.
İki Ayrı Yükümlülük: Aydınlatma ve Rıza
Uygulamadaki kafa karışıklığının kaynağı, iki farklı kurumun tek işlem sanılmasıdır. Aydınlatma (m.10); veri sorumlusunun kimliği, işleme amacı, aktarım alıcıları ve amacı, toplama yöntemi ve hukuki sebep ile m.11 haklarını, veri elde edilirken bildirme borcudur ve rıza gereksin gerekmesin her işlemede zorunludur. Açık rıza (m.3) ise yalnızca rıza hukuki sebebine dayanan işlemeler için aranan irade beyanıdır; m.5/2’deki diğer sebepler (sözleşmenin ifası, kanuni yükümlülük, meşru menfaat) varken ayrıca rıza istemek de Kurul kararlarında yanıltıcı bulunmuştur. Kaynak metinler için 6698 sayılı Kanun esastır; hakların genel haritası KVKK şikayeti nasıl yapılır ana rehberimizdedir.
Geçerli Açık Rızanın 3 Unsuru
| Unsur | Sakatlanma Örneği |
|---|---|
| Belirli konuya ilişkin olma | “Tüm işleme faaliyetlerine onay veriyorum” tipi battaniye rıza |
| Bilgilendirmeye dayanma | Aydınlatma yapılmadan veya okunamaz metinle alınan onay |
| Özgür irade | Hizmeti rızaya bağlama; önceden işaretli kutu; dengesiz güç ilişkisi |
Özgür irade unsuru, işçi-işveren gibi bağımlılık ilişkilerinde en kırılgan noktadır: çalışandan alınan rızaların geçerliliği Kurul ve yargı pratiğinde dar yorumlanır; bu kesişim KVKK ve işçi verileri ile işte kamera ve e-posta denetimi yazılarımızda işlenmiştir.
Kurul Kararlarındaki Yerleşik İhlal Kalıpları
Kalıp 1
Hizmeti rızaya bağlama
Üyeliğin, kampanyanın veya uygulamanın; pazarlama izni vermeyene kapatılması rızayı özgür olmaktan çıkarır. Zorunlu veriler sözleşme sebebine dayanır; yan amaçlar reddedilebilir olmalıdır.
Kalıp 2
Battaniye rıza ve önceden işaretli kutular
Amaç ayrımı yapmayan tek onay ve varsayılan işaretli kutular, belirli konu ve aktif irade unsurlarını sakatlar; her amaç için ayrı ve boş kutu esastır.
Kalıp 3
Aydınlatma-rıza aynı metin
İki kurumun tek belgeye sıkıştırılması hem Tebliğe hem rızanın bilgilendirme unsuruna aykırıdır; metin mimarisinin doğru kurulumu aydınlatma metni ve çerez politikası hazırlama rehberimizde anlatılmıştır.
Kalıp 4
Katmansız ve ulaşılmaz aydınlatma
Sitenin dip köşesine gömülü, güncellenmeyen ve işleme anında sunulmayan metinler aydınlatma sayılmaz; veri toplama noktasında (form, çağrı merkezi anonsu, uygulama ekranı) katmanlı bilgilendirme aranır.
Avukata Sor
Rıza ve Aydınlatma Mimarisi ve benzeri uyuşmazlıklarda durumunuzu bir avukatla değerlendirin; her dosya kendi delil durumuna göre incelenir.
Web Sitesi ve Üyelik Süreçleri
Tipik üyelik akışında hukuka uygun kurgu şudur: form alanları veri minimizasyonuna uygun sınırlanır; form altında aydınlatma metnine katmanlı bağlantı verilir (onay kutusu gerekmez); pazarlama iletisi, profilleme ve üçüncü kişiye aktarım için ayrı ve boş onay kutuları sunulur; kayıtlar ispat için loglanır. Pazarlama izinlerinin 6563/İYS boyutuyla bütünleşik yönetimi için izinsiz ticari ileti (SMS/e-posta/arama) yazımıza bakınız.
Rakip İçerik Uyarısı
“Her işleme için rıza alın” tavsiyesi yanlıştır
Üst sıralardaki bazı içerikler açık rızayı her işlemenin şartı gibi sunar; oysa m.5/2 sebepleri (sözleşme, kanuni yükümlülük, meşru menfaat) varken ayrıca rıza istemek, Kurul kararlarında ilgili kişiyi yanıltıcı bulunmuş ve geri alınan rızanın zorunlu işlemeyi kilitlemesi riskini doğurmuştur; doğru mimari, her amacın kendi hukuki sebebine oturtulmasıdır.
Mobil Uygulama İzinleri
Mobil tarafta ihlal, izin mimarisinde gizlenir: konum, rehber, mikrofon ve galeri erişimi gibi teknik izinler; yalnızca uygulamanın çekirdek işlevi için gerekliyse ve amaçla sınırlı kullanılıyorsa hukuka uygundur. Çekirdek işlevle ilgisiz izinlerin dayatılması, arka planda veri toplama ve SDK’lar üzerinden üçüncü taraflara akış; hem aydınlatma hem rıza hem güvenlik ihlali üretir. Yurt dışı merkezli SDK ve analitik araçları kullanan uygulamalarda aktarım rejimi ayrıca devreye girer; bkz. yurt dışına veri aktarımı.
Çerezler: Rıza Gerektiren ve Gerektirmeyen
Kurulun Çerez Rehberi çizgisinde ayrım nettir: oturum, güvenlik ve yük dengeleme gibi kesinlikle gerekli çerezler rıza gerektirmez; analitik, performans, reklam ve hedefleme çerezleri açık rızaya tabidir. Geçerli banner tasarımı: kabul ve ret eşit kolaylıkta, kategoriler ayrıştırılmış, rıza öncesi zorunlu olmayan çerezler yüklenmemiş, tercihler sonradan değiştirilebilir. Rıza yönetim platformu kullanılsa bile loglama ve metin uyumu veri sorumlusunun sorumluluğundadır.
İhlalin Yaptırımı: 2026 Cezaları
Aydınlatma yükümlülüğünü yerine getirmeyenlere 2026 yılında 85.437 TL ile 1.709.200 TL arasında; veri güvenliği yükümlülüklerini ihlal edenlere ve Kurul kararlarına uymayanlara 17.092.242 TL’ye kadar idari para cezası uygulanır. Rızasız işleme ayrıca hukuka aykırı işleme olarak silme talimatı ve tazminat sorumluluğu doğurur; kişisel boyutta TCK m.135-136 riski de gündeme gelebilir, harita için kişisel verilere karşı suçlar yazımıza bakınız. Ceza tutarları, iptal davası ve indirim mekanizmaları KVKK cezaları pillar rehberimizde ayrıntılıdır.
İlgili Kişi ve Şirket İçin Yol Haritaları
İlgili kişiyseniz: aydınlatmasız veya rızasız işlenen verileriniz için önce veri sorumlusuna başvurun (şablon: veri sorumlusuna başvuru dilekçesi örneği), sonuçsuz kalırsa Kurula şikayet edin (Kurula şikayet süreçleri); tazminat için idari süreci beklemek zorunda değilsiniz (KVKK ihlali tazminat davası). Şirketseniz: aydınlatma ve rıza metinlerinin envantere dayalı yeniden yazımı, çerez banner revizyonu ve rıza loglarının kurulması; uyumun bütünsel planı KVKK uyum süreci ve danışmanlığı pillar rehberimizde anlatılmıştır.
Bu yazıda atıf yapılan kanunun güncel ve resmi metnine mevzuat.gov.tr üzerinden ulaşabilirsiniz.
Rıza ve Aydınlatma Mimarisi ve Avukat Desteği
Metinlerinizin Kurul kararlarına uygun kurulması veya rızasız işlenen verileriniz için haklarınızın kullanılması amacıyla durumunuzu değerlendiriyoruz.
Sık Sorulan Sorular
Aydınlatma metni ile açık rıza metni aynı belge olabilir mi?
Hayır; Kurul kararları ve Aydınlatma Yükümlülüğü Tebliği uyarınca ikisi ayrı süreçlerdir ve tek metinde birleştirilmesi ihlaldir. Aydınlatma, rızadan bağımsız her işlemede zorunlu bilgilendirmedir ve onay gerektirmez; açık rıza ise yalnızca rızaya dayanan işlemeler için alınan ayrı bir irade beyanıdır. Üyelik formunda tek kutuyla hem aydınlatmayı okuduğunu hem rıza verdiğini onaylatan tasarımlar, rızanın bilgilendirmeye dayanma unsurunu sakatlar ve iki yükümlülüğü birden ihlal eder.
Uygulama, rıza vermezsem beni içeri almıyor; bu hukuka uygun mu?
Kural olarak hayır. Kurulun yerleşik kararlarına göre hizmetin, o hizmet için zorunlu olmayan veri işlemelerine rıza şartına bağlanması, rızayı özgür iradeye dayanmaktan çıkarır ve geçersiz kılar. Hizmetin ifası için gerçekten zorunlu veriler zaten sözleşme hukuki sebebine dayanır ve rıza gerektirmez; pazarlama, profilleme ve üçüncü kişilere aktarım gibi yan amaçlar için rıza ise reddedilebilir olmalı ve ret, hizmeti engellememelidir.
Sitede çerez uyarısı ‘kabul et’ tek butonuyla çıkıyor; geçerli mi?
Tek başına yeterli değildir. Kurulun Çerez Rehberi çizgisinde: oturum ve güvenlik gibi kesinlikle gerekli çerezler rıza gerektirmez; analitik, reklam ve pazarlama çerezleri ise açık rızaya tabidir. Geçerli tasarım; kullanıcıya kabul kadar kolay bir reddetme seçeneği sunmalı, çerez kategorilerini ayrıştırmalı, önceden işaretli kutu kullanmamalı ve rıza verilmeden zorunlu olmayan çerezleri çalıştırmamalıdır. Sayfa açılır açılmaz pazarlama çerezlerini yükleyip sonra onay soran yapılar ihlaldir.
Rızamı geri alabilir miyim, geri alınca ne olur?
Evet; açık rıza her zaman, gerekçesiz ve verildiği kolaylıkta geri alınabilir. Geri alma ileriye etkilidir: veri sorumlusu, rızaya dayanan işlemeleri durdurmak ve başka bir hukuki sebep yoksa verileri m.7 çerçevesinde silmek veya yok etmekle yükümlüdür. Geri almayı zorlaştıran tasarımlar (vermek tek tık, geri almak çağrı merkezi) rızanın geçerliliğini baştan tartışmalı kılar. Geri alma talebiniz karşılanmazsa veri sorumlusuna başvuru ve Kurula şikayet yolları işletilir.
Aydınlatma yapılmadan verilerim işlendi; ne talep edebilirim?
Üç koldan hak doğar: Kurula şikayet yoluyla aydınlatma yükümlülüğü ihlali için 2026’da 85.437 TL ile 1.709.200 TL arasında idari para cezası uygulanması; işleme ayrıca hukuka aykırıysa (rızasız pazarlama, izinsiz aktarım) veri güvenliği ve hukuka aykırılık yaptırımlarının devreye girmesi ve kişilik haklarınızın ihlali nedeniyle m.14/3 kapsamında Kurul kararı beklenmeksizin maddi ve manevi tazminat davası. Önce veri sorumlusuna başvuru yapılır; yanıt performansına göre şikayet takvimi işletilir.
