Giriş: KVKK Uyumunda Yeni Bir Dönüm Noktası
Kişisel Verilerin Korunması Kanunu (KVKK), hayatımızın her alanında kişisel verilerin işlenmesi süreçlerine şeffaflık ve güvenlik getirmeyi amaçlayan önemli bir düzenlemedir. Veri sorumluları, Kanun'un yürürlüğe girdiği günden bu yana kişisel veri işleme faaliyetlerini KVKK hükümlerine uygun hale getirmek için yoğun çaba sarf etmektedir. Bu süreçte, Kişisel Verileri Koruma Kurulu (KVKK) tarafından alınan ilke kararları, uygulamaya yön veren kritik adımlar olmuştur.
Son olarak, 18 Şubat 2026 tarihli ve 2026/347 sayılı Kişisel Verileri Koruma Kurulu İlke Kararı, 24 Mart 2026 tarihli Resmî Gazete'de yayımlanarak yürürlüğe girmiştir. Bu İlke Kararı, veri sorumlularının kişisel veri işleme faaliyetlerinde açık rıza ve aydınlatma metinlerini ayrı ayrı düzenlemesi gerektiğini net bir şekilde ortaya koymaktadır. Mali müşavirler olarak, müvekkillerinizin KVKK uyum süreçlerinde kilit bir rol oynadığınız düşünüldüğünde, bu yeni düzenlemenin detaylarına hakim olmanız büyük önem taşımaktadır.
Dikkat Edilmesi Gereken Temel Hususlar
KVKK'nın 10. maddesi uyarınca veri sorumluları, kişisel verileri işlerken ilgili kişileri aydınlatma yükümlülüğüne sahiptir. Aynı zamanda, Kanun'da belirtilen istisnalar dışında, kişisel verilerin işlenmesi için ilgili kişinin açık rızasının alınması gerekmektedir. Ancak uygulamada, aydınlatma metinleri ile açık rıza beyanlarının sıklıkla bir arada, hatta iç içe düzenlendiği görülmekteydi. Yeni İlke Kararı, bu uygulamaya son vererek iki kavramın hukuki niteliği ve amacı gereği ayrı ele alınması gerektiğini vurgulamaktadır.
Aydınlatma Yükümlülüğü ve Açık Rıza Arasındaki Fark
- Aydınlatma Yükümlülüğü: Kişisel verilerin işlenmesinden önce yerine getirilmesi gereken, bir ön bilgilendirme niteliğindedir. İlgili kişiye, verilerinin kim tarafından, hangi amaçla, hangi hukuki sebeple işleneceği, kimlere aktarılacağı, veri toplama yöntemi ve ilgili kişinin hakları hakkında bilgi verilmesini kapsar. Bu, bir yükümlülüktür ve ilgili kişinin rızasına bağlı değildir.
- Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayalı ve özgür iradeyle açıklanan rızadır. Kişisel veri işleme faaliyetinin Kanun'da belirtilen diğer hukuki sebeplerden birine dayanmaması durumunda, veri işleme için olmazsa olmaz bir şarttır. Açık rıza, aydınlatma yükümlülüğü yerine getirildikten sonra, ilgili kişinin kendi iradesiyle verdiği bir onaydır.
İlke Kararı, bu iki kavramın hukuki nitelikleri ve işlevleri itibarıyla farklı olduğunu, dolayısıyla aynı metin içerisinde birleştirilmesinin veya birbirine bağımlı hale getirilmesinin Kanun'un ruhuna aykırı olduğunu belirtmektedir. Özellikle, aydınlatma metninin sonunda yer alan "okudum, anladım, kabul ediyorum" gibi ifadelerin, aydınlatma yükümlülüğünü yerine getirse dahi açık rıza olarak kabul edilemeyeceği vurgulanmıştır.
Veri Sorumluları ve Mali Müşavirler İçin Yapılması Gerekenler
Bu yeni İlke Kararı ışığında, veri sorumlularının ve onlara danışmanlık yapan mali müşavirlerin acilen harekete geçmesi gerekmektedir. İşte atılması gereken adımlar:
- Mevcut Metinlerin Gözden Geçirilmesi ve Ayrıştırılması: Veri sorumlularının kullandığı tüm açık rıza ve aydınlatma metinleri (web siteleri, mobil uygulamalar, fiziksel formlar, sözleşmeler vb.) detaylı bir şekilde incelenmelidir. Aydınlatma ve açık rıza beyanları aynı metinde yer alıyorsa, bunlar ayrı ayrı düzenlenecek şekilde revize edilmelidir.
- Yeni Metinlerin KVKK İlkelerine Uygun Hazırlanması: Aydınlatma metinleri, KVKK'nın 10. maddesinde belirtilen tüm unsurları eksiksiz içermeli ve sade, anlaşılır bir dille kaleme alınmalıdır. Açık rıza metinleri ise, belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilebilecek nitelikte olmalı, genel geçer ifadelerden kaçınılmalıdır.
- Çalışanların ve İlgili Paydaşların Bilgilendirilmesi: Veri işleme süreçlerinde yer alan tüm çalışanlar ve ilgili paydaşlar, bu yeni düzenleme hakkında bilgilendirilmeli ve gerekli eğitimler verilmelidir. Özellikle, açık rıza alınması gereken durumlarda doğru prosedürlerin uygulanması sağlanmalıdır.
- Veri İşleme Envanteri ve Politikaların Güncellenmesi: Veri sorumlularının veri işleme envanterleri ve kişisel veri saklama ve imha politikaları, bu yeni İlke Kararı doğrultusunda güncellenmelidir. Hangi veri işleme faaliyetinin aydınlatma yükümlülüğü ile sınırlı olduğu, hangisi için açık rıza gerektiği netleştirilmelidir.
- Süreçlerin Düzenli Denetimi ve Sürdürülebilir Uyum: KVKK uyumu dinamik bir süreçtir. Yeni düzenlemelere uyum sağlandıktan sonra da, veri işleme süreçleri düzenli olarak denetlenmeli ve uyumun sürdürülebilirliği için gerekli mekanizmalar oluşturulmalıdır.
Sonuç
Kişisel Verileri Koruma Kurulu'nun 2026/347 sayılı İlke Kararı, veri sorumlularının KVKK uyum süreçlerinde önemli bir değişikliği beraberinde getirmektedir. Açık rıza ve aydınlatma metinlerinin ayrı ayrı düzenlenmesi zorunluluğu, kişisel veri işleme süreçlerine daha fazla şeffaflık ve hukuki kesinlik kazandıracaktır. Bu karara uyum sağlamayan veri sorumluları, KVKK kapsamında öngörülen idari para cezaları ile karşı karşıya kalabilirler.
Mali müşavirler olarak, müvekkillerinizin bu yeni düzenlemeye hızlı ve eksiksiz bir şekilde uyum sağlamaları için rehberlik etmeniz, onların hukuki risklerini minimize etmeleri açısından kritik bir rol oynamaktadır. Proaktif bir yaklaşımla, gerekli düzenlemelerin zamanında yapılması, hem veri sorumlularının itibarını koruyacak hem de olası hukuki yaptırımların önüne geçecektir.