Kişisel Verileri Koruma Kanunu 24.3.2026 tarihli İlke Kararı Hakkında Bilgilendirme

Değerli Üyelerimiz;

Kişisel Verileri Koruma Kurulu 24.3.2026 tarihinde yayımladığı İlke Kararında, kişisel verilere ilişkin aydınlatma metinleri ve açık rıza metinlerinde dikkat edilmesi gereken noktaları belirlemiştir;

• Kişisel verilere ilişkin aydınlatma yükümlülüğü ile veri işlemeye dair açık rıza alma yükümlülüğü birbirinden farklı iki ayrı yükümlülüktür.
• Veri işlemenin söz konusu olduğu her durumda aydınlatma yükümlülüğünün yerine getirilmesi gerekir. Ancak aydınlatma metninin verilmesinde "onay-rıza" aranmamalı, yalnızca ilgili kişinin "bu metni okuduğu, bilgi edindiği" yönünden beyanı/imzası alınmalıdır.
• Kişisel veriler, açık rıza gerekmeksizin veri işlenebilen hallerden birisi kapsamında işleniyorsa (6698 sayılı Kanunu'nun 5 ve 6.maddelerinde düzenlenen haller) ilgili kişiden ayrıca açık rıza alınması zorunlu değildir. Hekimlerin, sağlık hizmetlerinin sunulması, yürütülmesi ve planlanması kapsamındaki veri işleme faaliyetleri (örneğin hasta dosyalarının tutulması, hastalara randevu bilgilerinin iletilmesi gibi doğrudan sağlık hizmeti sunumu için gerekli işleme faaliyetleri) açık rıza gerekmeksizin veri işlenebilen hallerdendir. Bu hallerde hastaya yalnızca kişisel veri işleme süreçlerine dair aydınlatma yapılmalıdır, ayrıca açık rıza alınmamalıdır. Hastalara uygulanacak tıbbi işleme dair hazırlanan aydınlatma metinleri içerisinde bir paragrafla kişisel verilerin işlenme süreçlerine ilişkin bilgilendirmeye de yer verilebilir.
• Sağlık hizmeti sunumunu aşan işleme faaliyetleri için ise (örneğin hastalara doğum günü kutlama mesajı gönderilmesi gibi doğrudan sağlık hizmetiyle ilgili olmayan işleme faaliyetleri) hem aydınlatma yapılmalı hem de ayrıca açık rıza alınmalıdır.
• Her halükârda veri işleme süreçlerinin Kanunun 4.maddesine atıfla belirli, açık ve meşru amaçlar için ve bu amaçlarla bağlantılı, sınırlı ve ölçülü şekilde, hukuka ve dürüstlük kurallarına uygun olması gerekmektedir.
• Aydınlatma metinleri, her veri işleme sürecinin somut içeriği ve organizasyonuna özgülenerek düzenlenmeli, kişisel veriler ve kategorileri ile birlikte kişisel veri işleme faaliyetinin amaç ve hukuki sebebini açık ve net bir biçimde ifade edilmelidir.
• Eğer veri işleme dair açık rıza da alınıyorsa aydınlatma metni ve açık rıza metni farklı başlıklar altında ayrı ayrı düzenlenmelidir. İkisi tek sayfaya sığıyorsa, bu durumda da aynı sayfada farklı başlıklar altında (alt alta gelecek şekilde) ve iki metin için ayrı beyanlarda bulunulacak şekilde düzenleme yapılmalıdır.
• Metinlerde açık, anlaşılır ve sade bir dil kullanılmalı; genel nitelikte, farklı anlaşılmaya müsait, eksik, ilgili kişileri yanıltıcı ve yanlış bilgilere yer verilmemelidir. Çok detaylı, karmaşık ve uzun metinler kullanılmamalıdır. (Örneğin; ilgili kişinin haklarının tek tek uzun şekilde sayılması yerine 6698 sayılı Kişisel Verileri Koruma Kanunu'nun hakların sayıldığı 11.maddesine atıf yapılması yeterlidir.)

İlke kararda uygulamada sıklıkla yapılan bazı hukuka aykırılıklar da sıralanmış olup bunlardan kaçınılması vurgulanmıştır:

• Açık rıza ve aydınlatma metinlerinin iç içe geçmiş şekilde tek bir metin halinde sunulması,
• Aydınlatma yapıldığına dair ilgili kişilerden onay/rıza talep edilmesi,
• Somut duruma özgülenmemiş metinlerin kullanılması,
• Aydınlatma metinlerinde açık, anlaşılır ve sade bir dil kullanılmaması, çok detaylı, karmaşık ve uzun metinlerin kullanılması, genel nitelikte, farklı anlaşılmaya müsait, eksik, ilgili kişileri yanıltıcı ve yanlış bilgilere yer verilmesi (örneğin; yurt dışına aktarım yapılmıyorken yurt dışına aktarım yapıldığı izlenimi uyandıran ifadeler kullanılması, "kişisel verileriniz Kanun'un 5 ve 6'ncı maddesinde belirtilen işleme şartları kapsamında işlenmektedir" gibi muğlak ifadelere yer verilmesi)

Uygulamalarınıza katkı sağlaması dileğiyle bilgilerinize sunarız. Saygılarımızla.

Örnek KVKK Aydınlatma Metni ve Açık Rıza Metni için tıklayınız