Giriş
Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında veri sorumlularının yükümlülükleri, Kişisel Verileri Koruma Kurulu (Kurul) tarafından yayımlanan ilke kararları ile sürekli güncellenmektedir. Bu kapsamda, Kurul'un 18 Şubat 2026 tarihli ve 2026/347 sayılı İlke Kararı, kişisel veri işleme süreçlerinde önemli bir değişikliği beraberinde getirmiştir. Bu karar ile veri sorumlularının, ilgili kişilerden alacakları açık rıza beyanları ile kişisel verilerin işlenmesine ilişkin aydınlatma metinlerini ayrı ayrı düzenlemesi gerektiği kamuoyuna duyurulmuştur. Bu yeni düzenleme, kişisel veri işleme faaliyetlerinde şeffaflığı artırmayı ve ilgili kişilerin haklarını daha etkin bir şekilde korumayı amaçlamaktadır. Özellikle mali müşavirler gibi yoğun kişisel veri işleyen meslek grupları için bu karar, mevcut süreçlerin gözden geçirilmesini ve gerekli uyum çalışmalarının yapılmasını zorunlu kılmaktadır.
Dikkat Edilecekler
Kurul'un bu kararı, açık rıza ve aydınlatma yükümlülüğünün doğasını daha net bir şekilde ortaya koymaktadır. Daha önceki uygulamalarda, bazı veri sorumluları aydınlatma metinlerini açık rıza beyanlarıyla birleştirerek sunabiliyordu. Ancak yeni ilke kararı, bu iki kavramın hukuki niteliği ve amacı itibarıyla farklı olduğunu vurgulamaktadır.
- Aydınlatma Yükümlülüğü: KVKK'nın 10. maddesi uyarınca veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişileri bilgilendirmekle yükümlüdür. Bu, bir ön koşul olup, veri işleme faaliyetinin hukuka uygunluğunun temelini oluşturur. Aydınlatma metni, veri işleme amacını, toplanan verilerin kimlere ve hangi amaçla aktarılabileceğini, veri toplama yöntemini ve hukuki sebebini, ilgili kişinin haklarını içermelidir. Aydınlatma, rızaya bağlı bir işlem değildir; veri işleme rızaya dayanmasa bile yerine getirilmesi gereken bir yükümlülüktür. Aydınlatma metninin sonunda "okudum ve kabul ediyorum", "okudum ve onaylıyorum" ya da "açık rıza veriyorum" gibi ibareler kullanılmamalı; bunun yerine "okudum ve anladım" benzeri bir bilgilendirme teyidi tercih edilmelidir. Ayrıca aydınlatma yükümlülüğünün yerine getirildiğini ispat etme yükü de veri sorumlusuna aittir.
- Açık Rıza: KVKK'nın 5. maddesinde belirtilen açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Açık rıza, Kanun'da belirtilen diğer işleme şartlarından birinin bulunmadığı durumlarda kişisel veri işlemenin hukuki dayanağını oluşturur. Açık rıza metni, ilgili kişinin hangi verilerinin, hangi amaçla ve hangi koşullarla işleneceğine dair net bir beyanını içermelidir.
Bu ayrım, ilgili kişilerin kişisel verileri üzerindeki kontrolünü artırmakta ve rıza beyanlarının bilinçli bir şekilde verilmesini sağlamaktadır. Mali müşavirler, müvekkillerinin finansal ve kişisel verilerini işlerken bu ayrımı göz önünde bulundurmak zorundadır.
Yapılması Gerekenler
Mali müşavirler ve diğer veri sorumluları, Kurul'un bu yeni ilke kararına uyum sağlamak adına aşağıdaki adımları atmalıdır:
- Mevcut Metinlerin Gözden Geçirilmesi: Halihazırda kullanılan açık rıza ve aydınlatma metinleri derhal incelenmeli, bu iki metnin birleşik olarak sunulup sunulmadığı kontrol edilmelidir.
- Ayrı Metinlerin Hazırlanması: Aydınlatma metinleri, kişisel veri işleme faaliyetlerinin tüm detaylarını içerecek şekilde, açık rıza metinlerinden bağımsız olarak yeniden düzenlenmelidir. Açık rıza metinleri ise yalnızca rıza gerektiren işleme faaliyetleri için, bilgilendirilmiş ve özgür iradeye dayalı bir beyanı alacak şekilde tasarlanmalıdır.
- İlgili Kişilere Sunum Şeklinin Belirlenmesi: Aydınlatma metinlerinin, kişisel verilerin elde edilmesi anında ilgili kişilere kolayca erişilebilir ve anlaşılır bir şekilde sunulması sağlanmalıdır. Açık rıza metinleri ise, ilgili kişinin rızasını açıkça beyan edebileceği ayrı bir form veya bölüm olarak sunulmalıdır. Aydınlatma ve açık rıza metinlerinin aynı sayfada bulunması halinde farklı başlıklar altında (alt alta gelecek şekilde) ve iki metin için ayrı beyanlarda bulunulacak şekilde düzenlenmesi gerekmektedir.
- Personel Eğitimi: Kişisel veri işleme süreçlerinde görev alan tüm personelin, açık rıza ve aydınlatma yükümlülükleri arasındaki farklar ve yeni düzenlemenin gereklilikleri konusunda bilgilendirilmesi ve eğitilmesi sağlanmalıdır.
- Uyum Süreçlerinin Belgelendirilmesi: Yapılan tüm uyum çalışmaları, hazırlanan yeni metinler ve alınan rızalar, KVKK'ya uygun şekilde belgelendirilmeli ve denetlenebilir bir kayıt sistemi oluşturulmalıdır.
Sonuç
Kişisel Verileri Koruma Kurulu'nun 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı, kişisel veri işleme süreçlerinde şeffaflığı ve ilgili kişilerin haklarını korumayı hedefleyen önemli bir adımdır. Mali müşavirler gibi yoğun kişisel veri işleyen meslek grupları için bu karar, mevcut uygulamalarını gözden geçirme ve KVKK uyum süreçlerini güçlendirme fırsatı sunmaktadır. Açık rıza ve aydınlatma metinlerinin ayrı ayrı düzenlenmesi, hem hukuki uyumluluğu sağlamak hem de müvekkillerin kişisel verileri üzerindeki güvenini pekiştirmek açısından büyük önem taşımaktadır. Bu karara uyum sağlamak, sadece yasal bir zorunluluk değil, aynı zamanda etik bir sorumluluktur.