Kişisel Verilerin İşlenmesinde Aydınlatma ve Açık Rıza Metinlerinin Ayrıştırılmasına İlişkin Yeni İlke Kararı

24 Mart 2026 tarihli Resmi Gazete’de yayımlanan 2026/347 sayılı Kişisel Verilerin İşlenmesinde Aydınlatma ve Açık Rıza Metinlerinin Ayrı Düzenlenmesine İlişkin İlke Kararında, kişisel verilerin işlenmesi sürecinde veri sorumluları tarafından sunulan aydınlatma ve açık rıza metinlerinin iç içe geçmesinin en sık karşılaşılan hukuka aykırılıklardan biri olduğunu tespit ederek bu belgelerin ayrı ayrı düzenlenmesi gerektiğini hüküm altına almış, birbirinden ayrı metinler aracılığıyla yerine getirmeleri zorunlu kılınmıştır

Anayasa’nın 20’nci maddesi ve 6698 sayılı Kanun’un 5, 6 ve 10’uncu maddeleri uyarınca aydınlatma yükümlülüğü, ilgili kişinin talebine veya onayına bağlı olmaksızın her durumda yerine getirilmesi gereken bir bilgilendirme faaliyetiyken; açık rıza, belirli bir konuya ilişkin özgür iradeyle açıklanan ve bilgilendirilmeye dayanan bir onay işlemidir. Bu doğrultuda veri sorumluları, aydınlatma ve açık rıza metinlerini aynı sayfa üzerinde sunsalar dahi mutlaka farklı başlıklar altında yapılandırmalı; aydınlatma metinlerinin sonunda “okudum ve kabul ediyorum” gibi rıza anlamına gelen ifadeler yerine sadece bilgilendirme yapıldığını teyit eden “okudum ve anladım” beyanına yer vermelidir. Ayrıca, başka veri sorumlularına ait metinlerin kopyalanarak kullanılması, metinlerin gereksiz teknik ve hukuki terimlerle uzatılması, muğlak ifadeler barındırması ve Kanun’un 11’inci maddesinde yer alan ilgili kişi haklarının özetlenmek yerine madde metninin aynen kopyalanması gibi hatalardan kaçınılması gerektiği; bunun yerine her veri sorumlusunun kendi organizasyonel yapısına özgü, sade ve anlaşılır bir dil benimsemesi gerektiği belirtilmiştir. Veri sorumlusunun unvanı, MERSİS numarası ve iletişim bilgilerinin açıkça belirtilmediği veya aydınlatma yükümlülüğünün bir onay şartına bağlandığı uygulamaların hukuka aykırı olduğu tespit edilmiştir. (Kurul kararının sonunda ek olarak iyi uygulama ve kötü uygulama şablonları eklenmiştir).

Sonuç olarak, bu usul ve esaslara uyulması Kanun’un 12’nci maddesi kapsamında veri güvenliğini sağlamaya yönelik zorunlu bir idari tedbir olarak değerlendirilmiş olup, aykırılık durumunda veri sorumluları hakkında Kanun’un 18’inci maddesi uyarınca idari işlem tesis edileceği kamuoyuna ilan edilmiştir.

Kurul kararına bağlantıdan ulaşabilirsiniz: (https://www.resmigazete.gov.tr/eskiler/2026/03/20260324-3.pdf )