Aydınlatma Yükümlülüğü ile Açık Rıza Arasındaki Hukuki Fark Nedir?

Kişisel verilerin korunması uygulamasında en sık karıştırılan iki kavram, aydınlatma yükümlülüğü ve açık rızadır. İkisi de ilgili kişiye yönelik bir metinle hayata geçtiği için pratikte tek bir belgede birleştirilmekte, çoğu zaman da tek bir onay kutusuna bağlanmaktadır. Oysa bunlar farklı hukuki işlevlere sahiptir ve biri diğerinin yerine geçmez.¹

Temel ayrım: bilgilendirme borcu mu, işleme şartı mı?

Aydınlatma yükümlülüğü, veri sorumlusunun tek taraflı bir bilgilendirme borcudur. Kanun’un 10. maddesi uyarınca veri sorumlusu, kişisel verileri elde ederken ilgili kişiyi; kimliği, işleme amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile 11. maddedeki hakları konusunda bilgilendirmek zorundadır. Bu yükümlülük, işlemenin hukuki sebebi ne olursa olsun herhâlde yerine getirilir; ilgili kişinin onayına bağlı değildir.

Açık rıza ise bir bilgilendirme değil, işlemeyi hukuka uygun kılan sebeplerden yalnızca biridir. Kanun’un 5. maddesine göre kişisel veriler kural olarak açık rıza olmaksızın işlenemez; ancak aynı maddenin ikinci fıkrasındaki hâllerden biri varsa açık rıza aranmaz. Başka bir deyişle aydınlatma her zaman gerekir, açık rıza ise yalnızca başka bir hukuki sebep bulunmadığında gerekir.

Açık rızanın geçerlilik şartları

Kanun’un 3. maddesi açık rızayı “belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlar. Bu üç unsur birlikte aranır:

• Belirlilik: rıza, hangi veri için hangi amaçla alındığı açıkça anlaşılacak şekilde sınırlanmalıdır. “Tüm işleme faaliyetleri için” alınan genel nitelikli rıza geçerli sayılmaz.
• Bilgilendirme: rıza alınmadan önce aydınlatma yapılmış olmalıdır. Bu nedenle aydınlatma, açık rızanın önkoşuludur; ikisi aynı anda ve aynı metinle gerçekleşemez.
• Özgür irade: rızanın gerçek bir seçim imkânına dayanması gerekir. Hizmetin verilmesi rıza şartına bağlanırsa ya da taraflar arasında belirgin bir güç dengesizliği varsa rızanın özgür iradeyle verildiği tartışmalı hâle gelir.

Kurul’un 2026 tarihli ilke kararı ne getirdi?

Kurul, 2026 yılında verdiği bir ilke kararıyla bu ayrımı açıkça ortaya koymuştur. Karara göre aydınlatma ve açık rıza farklı hukuki niteliklere sahip olduğundan, bu metinler ayrı ayrı ve ayrı başlıklar altında düzenlenmelidir. Aydınlatma metni, işlemenin hukuki sebebinden bağımsız olarak ve herhâlde işlemeye başlamadan önce sunulmalıdır. Kararda ayrıca, aydınlatma metinlerinde ilgili kişilerden onay veya rıza alınmaması; yalnızca metnin okunduğuna ve anlaşıldığına ilişkin bir beyan talep edilebileceği belirtilmiştir.²

Bu karar, pratikte çok yaygın olan “aydınlatma metnini okudum, kabul ediyorum” biçimindeki tek kutulu uygulamayı doğrudan etkilemektedir. İnternet siteleri, üyelik formları, işe alım süreçleri ve çağrı merkezi akışlarının bu çerçevede gözden geçirilmesi gerekir.

Açık rızaya dayanmanın riskleri

Açık rıza, veri sorumlusu açısından en kırılgan hukuki sebeptir; çünkü her zaman geri alınabilir. Rıza geri alındığında işlemenin dayanağı ortadan kalkar ve verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi gündeme gelir.³ Buna karşılık sözleşmenin ifası, hukuki yükümlülüğün yerine getirilmesi veya meşru menfaat gibi sebepler, şartları varsa daha istikrarlı bir dayanak sağlar. Bu nedenle uyum çalışmalarında doğru sıralama, “önce hukuki sebebi belirlemek, açık rızayı yalnızca başka sebep yoksa kullanmak” şeklindedir.

İş ilişkisinde açık rızanın sınırı

Çalışan ile işveren arasındaki bağımlılık ilişkisi, açık rızanın özgür iradeye dayanıp dayanmadığı tartışmasını sürekli gündemde tutar. Kurul, 2026 yılında mesai takibi amacıyla biyometrik veri işlenmesine ilişkin verdiği ilke kararında, çalışanın açık rızasının tek başına bu işlemeyi hukuka uygun hâle getirmeyeceğini; işlemenin ayrıca ölçülülük ilkesini de karşılaması gerektiğini belirtmiştir.⁴ Bu yaklaşım, insan kaynakları süreçlerinde açık rızanın varsayılan çözüm olarak kullanılmasının güvenli olmadığını göstermektedir.

Pratik ayrım tablosu yerine üç soru

Bir süreç tasarlanırken şu üç sorunun sırayla yanıtlanması, iki kavramın karışmasını önler. Birincisi: bu işleme için 5. veya 6. maddede açık rıza dışında bir hukuki sebep var mı? Varsa açık rıza alınmaz. İkincisi: ilgili kişiye, işlemeye başlamadan önce ayrı bir aydınlatma metni sunuldu mu? Bu herhâlde zorunludur. Üçüncüsü: açık rıza gerçekten gerekiyorsa, ayrı bir metin ve ayrı bir irade beyanıyla mı alınıyor, yoksa aydınlatmanın içine mi gömülmüş durumda?

Uygulamada sık yapılan hatalar

• Aydınlatma ve açık rıza metinlerinin tek belgede birleştirilmesi veya tek onay kutusuna bağlanması.
• Sözleşmenin ifası ya da hukuki yükümlülük gibi elverişli bir sebep varken açık rıza alınması; gereksiz rıza, işlemeyi güvenli hâle getirmediği gibi geri alma riskini de doğurur.
• Açık rızanın hizmet verilmesinin ön şartı hâline getirilmesi.
• “Tüm amaçlar için” alınan genel ve sınırları belirsiz rıza metinleri.
• Rıza geri alındığında devreye girecek bir silme veya işleme durdurma akışının tanımlanmamış olması.
• Aydınlatma metninin güncellenmemesi; işleme amacı değiştiğinde yeniden aydınlatma yapılmaması.
• Aydınlatmanın yapıldığının ispatına ilişkin kayıt tutulmaması; ispat yükü veri sorumlusundadır.

Hukuki Dayanaklar ve Kaynaklar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu, RG 07.04.2016, S. 29677.
2. Kişisel Verileri Koruma Kurulunun 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı, RG 24.03.2026, S. 33203.
3. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, RG 28.10.2017, S. 30224.
4. Kişisel Verileri Koruma Kurulunun 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı, RG 02.06.2026, S. 33268; Kurumun 27.08.2026 tarihli kamuoyu duyurusu.