Giriş: Kişisel Verileri Koruma Kurulu'ndan Önemli Bir Adım
Kişisel Verileri Koruma Kurulu (KVKK), veri sorumlularının kişisel veri işleme süreçlerinde uzun süredir tartışılan bir konuya açıklık getiren önemli bir ilke kararı yayımladı. 18 Şubat 2026 tarihli ve 2026/347 sayılı bu karar, 24 Mart 2026 tarihinde Resmi Gazete'de yayımlanarak yürürlüğe girmiştir. Karara göre, veri sorumluları artık kişisel veri sahiplerinden alacakları açık rıza metinleri ile veri sahiplerini bilgilendirmekle yükümlü oldukları aydınlatma metinlerini ayrı ayrı düzenlemek zorundadır. Bu gelişme, özellikle mali müşavirler ve onların hizmet verdiği işletmeler için KVKK uyum süreçlerinde yeni bir dönemin başlangıcını işaret etmektedir.
Bu ilke kararı, veri işleme faaliyetlerinin şeffaflığını ve veri sahibinin iradesinin netliğini artırmayı hedeflemektedir. Daha önce birçok veri sorumlusu, hem aydınlatma yükümlülüğünü yerine getiren bilgileri hem de açık rıza beyanını tek bir metin içinde sunmaktaydı. Ancak Kurul, bu yaklaşımın veri sahibinin bilgilendirilme ve rıza gösterme süreçlerini karıştırabileceği, rızanın özgür iradeyle verilmesini engelleyebileceği ve aydınlatma yükümlülüğünün amacından sapmasına neden olabileceği kanaatine varmıştır.
Yasal Dayanak ve Kararın Kapsamı
KVKK'nın bu ilke kararı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun temel prensiplerine dayanmaktadır. Kanun'un "Aydınlatma Yükümlülüğü" başlıklı 10. maddesi, veri sorumlularının veri işleme faaliyetleri hakkında veri sahiplerini bilgilendirme zorunluluğunu düzenlerken, "Kişisel Verilerin İşlenme Şartları" başlıklı 5. maddesi ise açık rızayı kişisel veri işlemenin temel şartlarından biri olarak belirtmektedir. Kurul, bu iki yükümlülüğün niteliği ve amacı itibarıyla birbirinden farklı olduğunu vurgulamıştır.
- Aydınlatma Metni: Veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, veri toplama yöntemi ve hukuki sebebi ile veri sahibinin hakları gibi bilgileri içeren, bilgilendirme amaçlı bir metindir. Bu metin, veri işleme faaliyeti başlamadan önce veri sahibine sunulmalıdır ve rıza gerektirmez; sadece bilgilendirme amacı taşır.
- Açık Rıza Metni: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı ifade eder. Veri sahibinin, aydınlatma metnini okuyup anladıktan sonra, belirli bir veri işleme faaliyetine onay verdiğini gösteren ayrı bir beyandır. Kanun'da açık rıza gerektiren durumlar için vazgeçilmez bir şarttır.
Kurul, bu ayrımın, veri sahibinin haklarını daha etkin kullanabilmesi ve veri işleme süreçlerinde daha bilinçli kararlar alabilmesi için kritik olduğunu belirtmiştir.
Mali Müşavirler ve İşletmeler İçin Dikkat Edilmesi Gerekenler
Bu ilke kararı, özellikle kişisel veri işleyen tüm işletmeler için önemli uyum gereklilikleri doğurmaktadır. Mali müşavirler, müvekkillerine bu süreçte rehberlik ederken aşağıdaki noktalara özellikle dikkat etmelidir:
- Uyum Sürecinin Karmaşıklığı: Mevcut tüm veri toplama ve işleme süreçlerinin gözden geçirilmesi, aydınlatma ve açık rıza metinlerinin ayrıştırılması ve güncellenmesi zaman alıcı ve detaylı bir süreçtir.
- Hukuki Riskler: Karara uyulmaması durumunda, 6698 sayılı Kanun kapsamında öngörülen idari para cezaları ile karşılaşma riski bulunmaktadır. Bu cezalar, ihlalin niteliğine ve büyüklüğüne göre önemli meblağlara ulaşabilir.
- Veri Sahibinin Hakları: Veri sahipleri, artık aydınlatma ve rıza süreçlerinin ayrı ayrı yürütülmesini talep etme ve bu konuda şikayette bulunma hakkına sahiptir. Bu durum, işletmelerin şeffaflık ve hesap verebilirlik yükümlülüklerini artırmaktadır.
- Sektörel Etki: Özellikle e-ticaret siteleri, insan kaynakları departmanları, sağlık kuruluşları, finans kurumları ve müşteri ilişkileri yönetimi yapan tüm işletmeler bu karardan doğrudan etkilenecektir.
Yapılması Gerekenler: Adım Adım Uyum Süreci
Mali müşavirler, müvekkillerine bu yeni düzenlemeye uyum sağlamaları konusunda aşağıdaki adımları atmalarını tavsiye etmelidir:
- Mevcut Metinlerin Gözden Geçirilmesi ve Ayrıştırılması: İşletmelerin kullandığı tüm aydınlatma ve açık rıza metinleri (web siteleri, mobil uygulamalar, fiziksel formlar, sözleşmeler vb.) detaylı bir şekilde incelenmeli ve aydınlatma ile rıza beyanları birbirinden net bir şekilde ayrıştırılmalıdır.
- Yeni Aydınlatma ve Açık Rıza Metinlerinin Hazırlanması: Aydınlatma metinleri, Kanun'un 10. maddesine uygun, sade, anlaşılır ve eksiksiz bilgilendirme içermelidir. Açık rıza metinleri ise belirli bir konuya, bilgilendirmeye dayalı ve özgür iradeyle verilebilecek şekilde, ayrı bir onay mekanizması olarak tasarlanmalıdır.
- Veri İşleme Envanterinin ve Süreçlerinin Güncellenmesi: İşletmelerin kişisel veri işleme envanterleri ve süreçleri, bu yeni ayrımı yansıtacak şekilde güncellenmelidir. Hangi veri işleme faaliyetleri için aydınlatma yeterli, hangileri için ayrıca açık rıza alınması gerektiği netleştirilmelidir.
- Çalışanlara ve İlgili Birimlere Eğitim Verilmesi: Özellikle müşteri ilişkileri, insan kaynakları, pazarlama ve IT departmanları başta olmak üzere, kişisel veri işleyen tüm çalışanlara bu yeni düzenleme hakkında detaylı eğitimler verilmelidir.
- Hukuki ve Teknik Danışmanlık Alınması: Uyum sürecinin karmaşıklığı göz önüne alındığında, KVKK alanında uzman hukukçulardan ve teknik danışmanlardan destek almak, olası hataların önüne geçmek ve tam uyumu sağlamak açısından kritik öneme sahiptir.
Sıkça Sorulan Sorular (SSS)
- Soru: Bu ilke kararı ne zaman yürürlüğe girdi?
Cevap: Karar, 24 Mart 2026 tarihinde Resmi Gazete'de yayımlanarak yürürlüğe girmiştir. Bu tarihten itibaren tüm veri sorumlularının bu karara uygun hareket etmesi gerekmektedir. - Soru: Mevcut birleşik aydınlatma ve açık rıza metinlerimizi ne yapmalıyız?
Cevap: Mevcut birleşik metinleriniz, bu ilke kararına uygun olarak ayrı ayrı aydınlatma metni ve açık rıza metni şeklinde güncellenmeli ve yeniden düzenlenmelidir. Bu, sadece yeni veri toplama işlemleri için değil, mevcut tüm süreçler için geçerlidir. - Soru: Bu karar sadece yeni veri toplama işlemleri için mi geçerli, yoksa geçmişteki verilerimizi de etkiliyor mu?
Cevap: Karar, veri sorumlularının gelecekteki tüm veri işleme faaliyetlerinde bu ayrımı yapmasını zorunlu kılmaktadır. Ancak geçmişte toplanmış veriler için de, eğer bu verilerin işlenmesine devam edilecekse ve yasal dayanağı açık rıza ise, mevcut rızaların bu yeni formata uygun olup olmadığı gözden geçirilmeli ve gerekirse yeniden rıza alınması değerlendirilmelidir.
Sonuç
Kişisel Verileri Koruma Kurulu'nun 2026/347 sayılı ilke kararı, kişisel verilerin korunması alanında önemli bir dönüm noktasıdır. Aydınlatma ve açık rıza metinlerinin ayrıştırılması zorunluluğu, veri sorumlularının uyum süreçlerini yeniden gözden geçirmelerini gerektirmektedir. Mali müşavirler olarak, müvekkillerinize bu süreçte doğru rehberliği sağlamak, olası hukuki ve idari risklerden korunmalarına yardımcı olmak sizin sorumluluğunuzdadur. Proaktif bir yaklaşımla, gerekli güncellemelerin zamanında yapılması ve süreçlerin şeffaf bir şekilde yürütülmesi, hem yasal uyumu sağlayacak hem de veri sahiplerinin güvenini pekiştirecektir.