KVKK Aydınlatma Yükümlülüğü: 6698 SK m.10, Aydınlatma Tebliği 2018/10, Metin İçeriği ve 2026 Cezaları
Kişisel veri işleme faaliyetinin en temel şeffaflık aracı olan kvkk aydınlatma yükümlülüğü 6698 sayılı Kanun’un 10. maddesinde düzenlenmiştir. Veri sorumlusuna yüklenen bu yükümlülük; ilgili kişiyi verilerinin kim tarafından, hangi amaçla, hangi hukuki sebeple işlendiği ve kimlere aktarılabileceği hakkında bilgilendirme borcunu doğurur. Yükümlülüğün usul ve esasları 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete’de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ile somutlaştırılmıştır. Aydınlatma metninin eksikliği, geç sunulması ya da hiç sunulmaması hâlinde 6698 SK m.18/1-(a) uyarınca 2026 yılı için 85.437 TL ile 1.709.200 TL arasında değişen idari para cezaları uygulanmakta; Kişisel Verileri Koruma Kurulu emsal kararlarıyla veri sorumlularına ciddi hukuki risk oluşturmaktadır. Rehberimizde m.10’un amacını, altı unsurlu içerik listesini, Tebliğ’in şekil kurallarını, bildirim zamanını, 2026 idari para ceza tutarlarını ve Kurul yerleşik uygulamasını sistematik biçimde inceliyoruz.
Avukatla Görüşün: 0554 648 37 15WhatsApp Danışma
Aydınlatma Yükümlülüğü – 6698 SK m.10 Amaç
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 10. maddesi, veri sorumlusuna ilgili kişiye karşı aktif bir bilgilendirme borcu yüklemektedir. Kanun’un temel felsefesi, kişisel verisi işlenen bireyin bu işlemenin varlığından ve kapsamından haberdar edilmesi; böylece kendi verisi üzerinde bilinçli tercih ve kontrol imkânı bulmasıdır. Nitekim aydınlatma yükümlülüğü olmaksızın ne 6698 SK m.5-6’da düzenlenen işleme şartlarının denetlenmesi mümkün olur; ne de m.11’de sayılan hakların (bilgi talep etme, silme, düzeltme, itiraz vb.) kullanılması gerçek anlamda hayata geçirilebilir. Bu nedenle aydınlatma yükümlülüğü, kişisel veri koruma hukukunun şeffaflık ilkesinin yasal görünümüdür.
Aydınlatma yükümlülüğünün üç önemli hukuki özelliği vardır. Birincisi, bu yükümlülük tek taraflıdır; yani veri sorumlusunun ilgili kişiden rıza veya onay alması söz konusu değildir. Aydınlatma metnini onaylatmak, imzalatmak veya kabul ettirmek gerekmez; sadece bilgilendirme yapılması yeterlidir. İkincisi, aydınlatma mutlak niteliktedir; kişisel veri işleme hangi hukuki sebebe dayanırsa dayansın (açık rıza, kanun hükmü, sözleşmenin ifası, meşru menfaat vb.) veri sorumlusu her hâlde aydınlatma yapmakla yükümlüdür. Bu yönüyle aydınlatma, açık rızadan bağımsız ve ondan önce gelen bir yükümlülüktür. Üçüncüsü, ispat yükü veri sorumlusuna aittir; aydınlatmanın yapıldığı, ne zaman ve hangi içerikle yapıldığı hususunda ispatın yapılamaması, yükümlülüğün hiç yerine getirilmemesi ile aynı sonuca yol açar.
KVKK Kurulu 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı’nda (Resmi Gazete 24.03.2026) aydınlatma ve açık rıza metinlerinin ayrı ayrı düzenlenmesi gerektiğini net biçimde ortaya koymuştur. Karara göre iki metin aynı içerikte, iç içe veya tek onayla sunulamaz; her biri farklı amaç ve hukuki niteliğe sahip olduğundan ayrı düzenlenir. Aydınlatma yükümlülüğü ilgili kişiyi bilgilendirme amacına hizmet eder; açık rıza ise ancak Kanun’da öngörülen uygun işleme şartı gerçekten mevcutsa başvurulan bir veri işleme dayanağıdır. Bu ilke kararı ile veri sorumlularının hâlihazırdaki tek metinli uygulamalarını 2026 yılı içinde revize etmeleri gerekmektedir.
Altı Unsurlu Zorunlu Bilgilendirme – 6698 SK m.10/1
6698 SK m.10/1’e göre aydınlatma yükümlülüğü kapsamında ilgili kişiye asgari olarak sunulması gereken bilgiler beş bent hâlinde sayılmıştır; ancak uygulamada altı ayrı unsur olarak kavramsallaştırılmaktadır: veri sorumlusunun kimliği, varsa temsilcinin kimliği (a bendi kapsamında ayrı iki alt unsur), işleme amacı, aktarım muhatapları ve amacı, toplama yöntemi, toplama hukuki sebebi ve ilgili kişinin hakları. Her bir unsuru somut, açık ve anlaşılır biçimde sunmayan aydınlatma metni Kanun’a aykırıdır.
Birinci unsur – Veri sorumlusunun ve varsa temsilcisinin kimliği (m.10/1-a): Veri sorumlusunun unvanı, açık adresi, MERSİS numarası (varsa) ve iletişim bilgileri metinde yer almalıdır. Yurt dışında yerleşik veri sorumluları için Türkiye’de atanan veri sorumlusu temsilcisinin (m.16 kapsamında) kimliği de aynı fıkra uyarınca metne eklenir. Sadece “www.sirket.com” gibi genel bir web sitesi adresine yönlendirme yapmak yeterli sayılmaz; hukuki tebligata elverişli açık kimlik bilgisinin metne yerleştirilmesi aranır.
İkinci unsur – Kişisel verilerin hangi amaçla işleneceği (m.10/1-b): İşleme amacının belirli, açık ve meşru biçimde ifade edilmesi zorunludur. Tebliğ m.5/1-(a) bendine göre “belirli, açık ve meşru amaçlarla” işleneceğinin bildirilmesi ve genel/muğlak ifadelerin kullanılmaması gereklidir. “Ticari faaliyet için”, “operasyonel amaçlarla”, “kalite değerlendirmesi için” gibi ifadeler Kurul tarafından yetersiz görülmektedir. Bunun yerine “üyelik hesabı oluşturulması”, “sipariş edilen ürünün teslim edilmesi”, “yasal saklama süresi boyunca faturaların muhafazası” gibi somut amaçlar sayılmalıdır. Ayrıca “gelecekte ortaya çıkabilecek başka amaçlarla işlenebileceği” izlenimi verecek ifadeler kullanılamaz.
Üçüncü unsur – Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği (m.10/1-c): Aktarım muhataplarının ismen ya da somut kategorik biçimde sayılması ve her aktarımın ayrı ayrı amacının açıklanması gerekir. “Grup şirketlerine aktarılabilir”, “iş ortaklarına paylaşılabilir” gibi genel ifadeler yetersizdir. Kurulun 2020/173 sayılı Amazon Türkiye kararında da aktarım muhatabı ve amacının somutlaştırılmamış olması aydınlatma yükümlülüğü ihlali olarak değerlendirilmiştir. Yurt dışı aktarımın söz konusu olması hâlinde ise ilgili ülke ve 6698 SK m.9 kapsamında hangi hukuki mekanizmayla (yeterli koruma, taahhütname, bağlayıcı şirket kuralları vb.) aktarım yapılacağı da metinde belirtilmelidir.
Dördüncü unsur – Kişisel veri toplamanın yöntemi (m.10/1-ç): Verinin doğrudan ilgili kişiden mi yoksa üçüncü kaynaktan mı toplandığı; çevrim içi form, çerez, mobil uygulama, çağrı merkezi, kamera görüntüsü, e-posta, sözleşme imzası, üye kayıt formu, üçüncü kişi bildirimi gibi hangi somut kanaldan geldiği metinde açıkça belirtilmelidir. Otomatik yöntemlerle (çerez, log kayıtları, GPS verileri, IP takibi) toplama yapılıyorsa bunun ayrıca ifade edilmesi Kurul yerleşik uygulaması bakımından zorunludur.
Beşinci unsur – Kişisel veri toplamanın hukuki sebebi (m.10/1-ç): KVKK Kurulu, “işleme amacı” ile “hukuki sebep” kavramlarının ayrı ayrı yer alması gerektiğini istikrarlı olarak vurgulamaktadır. Hukuki sebep, verinin 6698 SK m.5 (genel) ve m.6 (özel nitelikli) hangi işleme şartına dayanılarak toplandığını gösterir. Sıklıkla kullanılan hukuki sebepler: kanunlarda açıkça öngörülmesi (m.5/2-a), sözleşmenin kurulması veya ifası için gerekli olması (m.5/2-c), veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi (m.5/2-ç), veri sorumlusunun meşru menfaati (m.5/2-f) ve ilgili kişinin açık rızası (m.5/1). Her işleme türü için hangi hukuki sebebin devrede olduğu somut biçimde ilişkilendirilmelidir.
Altıncı unsur – 6698 SK m.11’de sayılan ilgili kişi hakları (m.10/1-d): Aydınlatma metni; ilgili kişinin kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse buna dair bilgi talep etme, işleme amacı ve uygun kullanılıp kullanılmadığını öğrenme, yurt içi/dışı aktarım yapılan üçüncü kişileri bilme, eksik/yanlış işlenmişse düzeltilmesini isteme, m.7’de öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini talep etme, yapılan işlemlerin aktarımın yapıldığı üçüncü kişilere bildirilmesini isteme, otomatik sistemlerle analiz sonucu aleyhine bir sonuç doğmasına itiraz etme ve hukuka aykırı işleme nedeniyle zarara uğradığı takdirde zararın giderilmesini talep etme haklarını içermelidir. Bu hakların hangi kanal (e-posta, ıslak imzalı yazı, güvenli elektronik imza) üzerinden ve hangi başvuru yoluyla kullanılabileceği de metinde açıkça gösterilmelidir.
Avukatla Görüşün: 0554 648 37 15WhatsApp Danışma
Aydınlatma Metninin Şekli – Aydınlatma Tebliği (10 Mart 2018 – 30356)
KVKK Kurulu, m.10 hükmünün uygulamada nasıl işletileceğine dair usul ve esasları Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ile düzenlemiştir. 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete’de yayımlanarak yürürlüğe giren Tebliğ altı maddeden oluşur ve veri sorumlularının metin oluştururken uyacağı temel prensipleri ortaya koyar. Tebliğ, sadece geleneksel yazılı metin biçimini değil; sözlü, ses kaydı, çağrı merkezi, elektronik ortam gibi tüm iletişim kanallarını kapsayan geniş bir uygulama alanına sahiptir.
Tebliğ’in 5. maddesi, aydınlatma yükümlülüğünün yerine getirilmesinde uyulacak usul ve esasları düzenler. Öne çıkan ilkeler şunlardır:
- Yöntem çeşitliliği: Aydınlatma yükümlülüğü sözlü, yazılı, ses kayıt cihazı, çağrı merkezi gibi fiziksel veya elektronik ortam kullanılmak suretiyle yerine getirilebilir.
- Anlaşılır, açık ve sade dil: Aydınlatma metni ilgili kişinin somut olarak anlayabileceği açıklıkta yazılır; hukuki jargon, karmaşık cümle yapıları ve teknik terminolojinin yerine sade dil tercih edilmelidir.
- Belirli, açık ve meşru amaç: Kişisel veri işleme amacının belirli, açık ve meşru olması; genel ve muğlak ifadelere yer verilmemesi zorunludur.
- Gelecek amaç izlenimi vermeme: “İleride ortaya çıkabilecek diğer amaçlarla işlenebileceği” izlenimini uyandıran açık uçlu ifadeler kullanılamaz.
- İspat yükü: Aydınlatma yükümlülüğünün yerine getirildiğini ispatlama yükümlülüğü veri sorumlusuna aittir. Bu nedenle web sitesi tarayıcı zaman damgası, e-posta gönderim kaydı, çağrı merkezi ses kaydı, ıslak imzalı ek belge gibi ispat delilleri saklanmalıdır.
- Açık rızadan ayrılık: Kişisel veri işleme faaliyetinin açık rıza şartına dayalı olarak yapıldığı hâllerde, aydınlatma yükümlülüğü ve açık rıza alınması süreçleri ayrı ayrı yerine getirilmelidir. 2026/347 sayılı İlke Kararı ile bu ayrım ilke kararına bağlanmıştır.
- Yetkilendirme: Veri sorumlusu, aydınlatmayı yetkilendirdiği bir gerçek veya tüzel kişi aracılığıyla yerine getirebilir; ancak bu durumda dahi sorumluluk veri sorumlusu üzerinde kalır.
Aydınlatma metninin şekli bakımından Kurulun 27.03.2018 tarihli Kamuoyu Duyurusu’nda “aydınlatma metninde ilgili kişinin kişisel verilerinin işlenmesine ilişkin faaliyetler ayrıntılı olarak yer almalı” ilkesi vurgulanmıştır. Web sitelerinde çerez kullanımı söz konusuysa çerez politikasının da aydınlatma metniyle uyumlu bir ek belge olarak sunulması Kurul beklentisidir. Mobil uygulamalarda ilk açılışta gösterilen kısa açıklama (“bilgilendirmeye” ilişkin bildirim) yeterli sayılmaz; kullanıcının menü içinden tam metne kolayca ulaşabilmesi sağlanmalıdır. Fiziksel şubelerde ise duvarda asılı A4 boyutunda görünür şekilde metnin bulundurulması ya da masa üstünde tek sayfalık el broşürü tutulması yaygın uygulamadır.
Aydınlatmanın Zamanı – Veri Toplama Anı
6698 SK m.10 metninde açıkça belirtildiği üzere aydınlatma yükümlülüğü, kişisel verilerin elde edilmesi sırasında yerine getirilmelidir. Bu formülasyonun uygulaması, verinin doğrudan ilgili kişiden mi yoksa başka bir kaynaktan mı toplandığına göre farklılaşır. Kurul yerleşik uygulaması, aydınlatmanın gecikmeksizin, işleme faaliyetinden önce veya en geç eş zamanlı olarak yapılmasını arar; olay sonrası (retrospektif) aydınlatma Kanun’a aykırıdır.
Verinin doğrudan ilgili kişiden alındığı durumlarda (üye kaydı, sözleşme imzalanması, iş başvurusu, form doldurma, çağrı merkezi araması, kamera ile görüntü kaydı, mobil uygulamaya kayıt vb.) aydınlatmanın veri toplama anından hemen önce sunulması esastır. Örneğin çevrim içi form doldurulmadan önce aydınlatma metnine link verilmesi, form üzerinde gizlenmiş şekilde altta değil görünür konumda tutulması ve zorunlu okuma penceresi ile açılması Kurul beklentisidir. Çağrı merkezi aramalarında ise arama başında ses kaydıyla kısa bir aydınlatma bildiriminin yapılması, uzun metnin ise sonradan e-posta veya SMS ile iletileceğinin bildirilmesi kabul gören uygulamadır.
Veri, ilgili kişi dışında bir üçüncü kaynaktan (referans kişiler, iş ortakları, kamu kurumu, sosyal medya, tedarikçi bildirimi, üçüncü kişi izin bildirimi vb.) elde edildiğinde ise KVKK Kurulunun 15.03.2019 tarihli Kamuoyu Duyurusu uyarınca aydınlatmanın makul bir sürede, elde edilmesini takiben en fazla bir ay içinde yerine getirilmesi beklenmektedir. Bu süre, GDPR m.14/3-(a) hükmü ile paraleldir. Bu tarih aşıldığında aydınlatma yapılmamış sayılır; ancak eğer veri sorumlusu, ilgili kişinin veriyi zaten bildiği açık ise (örneğin veri kamuya açık bir sicilden temin edilmişse) sınırlı istisnalar tartışmalıdır.
Aydınlatma metninin güncellik boyutu da göz ardı edilmemelidir. Veri işleme amacında, aktarım muhatabında veya hukuki sebepte değişiklik meydana geldiğinde metin güncellenmeli ve mevcut ilgili kişilere yeni metin ayrıca bildirilmelidir. Salt web sitesinde tarih değiştirmek yeterli sayılmaz; e-posta duyurusu veya panel bildirimi gibi kanallarla önceden bilgilendirme yapılmalıdır. GDPR m.13/3 ve m.14/4’te de aynı ilke bulunmaktadır.
İhlali Halinde Ceza – 6698 SK m.18 (2026 Yılı İdari Para Cezaları)
6698 sayılı Kanun’un 18. maddesinin birinci fıkrasının (a) bendi, aydınlatma yükümlülüğüne aykırı davranan veri sorumlusu hakkında idari para cezası uygulanacağını hüküm altına almıştır. Ceza tutarları Kanun’un yürürlüğe girdiği 2016 yılında 5.000 TL – 100.000 TL bandında öngörülmüş; ancak 5326 sayılı Kabahatler Kanunu m.17/7 ve 213 sayılı Vergi Usul Kanunu mükerrer m.298 gereği her takvim yılı başında yeniden değerleme oranı uygulanarak güncellenmektedir. 27.11.2025 tarihli ve 585 Sıra No’lu VUK Genel Tebliği ile 2026 yılı yeniden değerleme oranı %25,49 olarak ilan edilmiş; bu oran 2025 üst ve alt sınırlarına uygulanarak 01.01.2026 itibariyle geçerli tutarlar belirlenmiştir.
2026 yılında geçerli KVKK idari para ceza tutarları özetle şöyledir:
- m.18/1-(a) Aydınlatma yükümlülüğüne aykırılık (m.10): 85.437 TL – 1.709.200 TL
- m.18/1-(b) Veri güvenliğine ilişkin yükümlülüklere aykırılık (m.12): 256.357 TL – 17.092.242 TL
- m.18/1-(ç) Kurul kararlarını yerine getirmemek (m.15): 427.263 TL – 17.092.242 TL
- m.18/1-(d) Veri Sorumluları Sicili (VERBİS) kayıt ve bildirim yükümlülüğüne aykırılık (m.16): 341.809 TL – 17.092.242 TL
Aydınlatma yükümlülüğü ihlali cezasının belirlenmesinde Kurul, 5326 sayılı Kabahatler Kanunu m.17’de aranan orantılılık ilkesini gözetir. Uygulamada dikkate alınan başlıca kriterler şunlardır: veri sorumlusunun ciro/işletme büyüklüğü, ihlalin süresi, etkilenen kişi sayısı, ihlalin ağırlığı (eksik unsur/tamamen yokluk arasındaki fark), tekerrür durumu, veri sorumlusunun Kurul ile işbirliği, uyum programının varlığı, aydınlatma metninde saptanan eksiklik türü (kimlik/aktarım/hukuki sebep/haklar). Kurul, aydınlatma metninde önemli sayıdaki eksikliğin ya da tamamen aydınlatma yapılmamış olmasının ceza aralığının orta-üst dilimine yerleşmesine yol açtığını istikrarlı olarak vurgulamaktadır.
Kurulun 2020/173 sayılı Amazon Türkiye kararında aydınlatma yükümlülüğü ihlali için ceza aralığının üst limiti olan 100.000 TL (o dönem geçerli tutar) uygulanmıştır; günümüz karşılığı 2026 rakamıyla 1.709.200 TL’ye tekabül eder. Ceza tutarının sadece parasal boyutu değil; Kurul karar özetinin resmi internet sitesinde yayımlanması suretiyle veri sorumlusunun ticari itibarı bakımından da ciddi kayıp oluşturduğu unutulmamalıdır. Bu nedenle ceza savunmasına başlanılan aşamada, hem cezanın alt limite indirilmesine hem de yayımlanma biçiminin sınırlanmasına yönelik hukuki argümanların dosyaya yansıtılması önemlidir.
Kurul kararına karşı veri sorumlusu, 2577 sayılı İdari Yargılama Usulü Kanunu m.7 çerçevesinde tebliğ tarihinden itibaren 60 gün içinde idare mahkemesinde iptal davası açabilir. Kurul Ankara’da bulunduğundan yetki bakımından Ankara idare mahkemeleri öne çıkar. Yargılama sürecinde Kurulun somut olay değerlendirmesi, cezanın orantılılığı, gerekçelendirmenin yeterliliği (Anayasa m.125, İYUK m.24) ve Kurulun İlke Kararlarına uygun karar verip vermediği hukuki denetime tabidir. Uygulamada idare mahkemesinin cezayı kısmen kabul ederek alt sınıra çektiği örnekler mevcuttur.
Avukatla Görüşün: 0554 648 37 15WhatsApp Danışma
KVKK Kurulunun Yerleşik Uygulaması – Aydınlatma Metni Emsal Kararları
Kişisel Verileri Koruma Kurulunun kararları, aydınlatma yükümlülüğünün somut uygulanış biçimini şekillendiren en önemli hukuki kaynaktır. Kararlar Kurumun resmi internet sitesinde karar özetleri hâlinde yayımlanmakta; veri sorumluları için uyum rehberi niteliği taşımaktadır. Aşağıda yerleşik uygulamayı belirleyen emsal kararlar incelenmiştir.
Amazon Türkiye Kararı (27.02.2020 tarih ve 2020/173 sayılı Karar): Kurulun aydınlatma yükümlülüğü bakımından en kapsamlı emsal kararlarından biridir. Amazon Türkiye Perakende Hizmetleri Limited Şirketi’nin internet sitesi üzerinden gerçekleştirdiği veri işleme faaliyetinin, KVKK m.10 ve Aydınlatma Tebliği’nde belirtilen usul ve esaslara uygun olarak yerine getirilmediği tespit edilmiştir. Karara göre; siteye girildiği andan itibaren çerezler aracılığıyla kişisel verilerin işlenmeye başlanmasına karşın çerezler, üye girişi gibi veri işlemenin başladığı hiçbir aşamada aydınlatma yükümlülüğüne uygun bilgilendirme yapılmamış; işleme amacı belirli, açık ve meşru biçimde ortaya konmamış; aktarım muhatapları somutlaştırılmamıştır. Bu tespitler üzerine veri sorumlusu şirkete m.18/1-(a) uyarınca aydınlatma yükümlülüğüne aykırılık için 100.000 TL ve m.18/1-(b) uyarınca veri güvenliğine ilişkin yükümlülüklere aykırılık için 1.100.000 TL olmak üzere toplam 1.200.000 TL idari para cezası uygulanmasına karar verilmiştir.
İşveren Kararı (20.05.2020 tarih ve 2020/404 sayılı Karar): Bir işverenin işçisine ait kişisel verileri ve özel nitelikli kişisel verileri aydınlatma yükümlülüğünü yerine getirmeden ve hukuka aykırı biçimde işlediği başvurusu üzerine yapılan incelemede; işverenin işe alım, iş sözleşmesi, sağlık raporu, banka hesap bilgisi gibi çeşitli kişisel veri türlerini herhangi bir aydınlatma metni sunmadan işlediği tespit edilmiştir. Kurul, m.18/1-(a) uyarınca 50.000 TL idari para cezası uygulanmasına karar vermiştir. Karar, iş hukuku alanında da çalışan aydınlatma metni hazırlanmasının işverenin temel yükümlülüğü olduğunun altını çizen önemli bir emsaldir. İşe alım aşamasında, iş sözleşmesinin imzalanmasından önce ve özel nitelikli veri talep edilmesi durumunda ayrıca aydınlatma yapılması gerekmektedir.
Sevinç Eğitim Kararı (18.09.2019 tarih ve 2019/276 sayılı Karar): Bir eğitim kurumunun ilgili kişinin açık rızası olmaksızın cep telefonuna reklam amaçlı kısa mesaj göndermesi başvurusu üzerine yapılan incelemede; veri işleme faaliyetinin ne bir kişisel veri işleme şartına dayandığı ne de aydınlatma yükümlülüğünün yerine getirildiği ispat edilebilmiştir. Kurul, m.18/1-(b) bendi gereğince 50.000 TL idari para cezası uygulanmasına karar vermiştir. Karar, aydınlatma yapılmadan veri işlenmesinin aynı zamanda veri güvenliği yükümlülüğü ihlaline de yol açabileceğini göstermesi bakımından önemlidir.
Banka Müşteri Hizmetleri Kararı (01.09.2022 tarih ve 2022/863 sayılı Karar): Bir bankanın müşteri hizmetlerinin aydınlatma yükümlülüğünü yerine getirmeden ve açık rızasını almadan ilgili kişiyi telefonla aramak suretiyle kişisel verilerini işlemesi başvurusu üzerine yapılan incelemede; bankanın ilgili kişiyle 2015’ten beri süregelen müşteri ilişkisi bulunduğu, telefon numarasının müşteri bilgi formundan alındığı ve iletişim izninin “evet” olduğu, Kanun’un yürürlüğe girmesinden sonra da müşteriden aksi yönde bir bildirim gelmediği hususları değerlendirilmiştir. Bu somut olay bakımından Kurul aydınlatma yükümlülüğü ihlali bulmamış olsa da; iletişim izninin veri sorumlusu tarafından açık ve belgeli olarak saklanmasının belirleyici olduğunu, aksi hâlde ceza sonucu doğabileceğini göstermesi bakımından önemlidir.
2026/347 sayılı İlke Kararı (18.02.2026 – RG 24.03.2026): Kurulun en güncel ve uyum bakımından en radikal etkiye sahip kararıdır. Karara göre aydınlatma ve açık rıza metinlerinin ayrı düzenlenmesi zorunlu tutulmuş; iç içe geçmiş veya tek metinli uygulamalar ihlal olarak tanımlanmıştır. Bu karar, tüm veri sorumluları için hâlihazırdaki tek metinli aydınlatma+açık rıza formlarının 2026 yılı içinde revize edilmesi gerektiğine işaret etmektedir.
GDPR Karşılaştırması ve Uyum Notu
KVKK m.10 hükmü, AB Genel Veri Koruma Tüzüğü’nün (GDPR) 13 ve 14. maddeleriyle temelde paralel bir düzenleme içerir; ancak farklar da mevcuttur. GDPR m.13, kişisel verilerin doğrudan veri sahibinden toplandığı durumlarda; m.14 ise verinin başka kaynaktan elde edildiği durumlarda yapılacak bilgilendirmeleri düzenler. KVKK m.10 ise iki durumu ayırmaksızın tek bir hüküm altında bilgilendirme yükümlülüğü öngörür. GDPR m.13-14 kapsamında bilgilendirilmesi gereken konular arasında yer alan saklama süresi, DPO iletişim bilgisi, denetim otoritesine şikayet hakkı ve otomatik karar alma dahil profilleme gibi konular KVKK m.10’da açıkça sayılmamıştır; ancak Kurul yerleşik uygulaması bu konulara da metinde yer verilmesini “iyi uygulama” (best practice) olarak önermektedir. GDPR ve KVKK ile eş zamanlı uyum sağlaması gereken çok uluslu şirketlerin, aydınlatma metnini GDPR’ın genişletilmiş içerik listesine göre hazırlaması hem GDPR hem KVKK bakımından uyumlu olur.
Avukatla Görüşün: 0554 648 37 15WhatsApp Danışma
Sıkça Sorulan Sorular
Aydınlatma metnimin ilgili kişi tarafından imzalanması gerekir mi?
Hayır. Aydınlatma yükümlülüğü tek taraflı bir bilgilendirme borcudur; ilgili kişinin metni imzalaması, onaylaması veya kabul etmesi gerekmez. Bu nedenle “aydınlatma metnini okudum, kabul ediyorum” biçiminde onay istemek Kurul yerleşik uygulamasına aykırıdır. Ancak ispat yükü veri sorumlusuna ait olduğundan; metnin ne zaman ve hangi kanaldan sunulduğunu ispat edecek delillerin (log kaydı, e-posta gönderim kanıtı, çağrı merkezi ses kaydı vb.) saklanması zorunludur.
Aydınlatma ile açık rıza aynı metinde yer alabilir mi?
Hayır. KVKK Kurulunun 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı ile aydınlatma metni ile açık rıza metninin ayrı ayrı düzenlenmesi zorunluluğu ilke kararına bağlanmıştır. İki metin aynı içerikte, iç içe veya tek onayla sunulamaz; her biri farklı amaç ve hukuki niteliğe sahiptir. Aydınlatma bilgilendirme; açık rıza ise veri işleme dayanağıdır. Web sitesi, mobil uygulama ve form içeriklerinizi bu ilke kararı doğrultusunda 2026 yılı içinde revize etmeniz gerekmektedir.
2026 yılında aydınlatma yükümlülüğü ihlali cezası ne kadardır?
6698 SK m.18/1-(a) uyarınca 2026 yılı için aydınlatma yükümlülüğünü yerine getirmeyen veri sorumlusu hakkında 85.437 TL ile 1.709.200 TL arasında idari para cezası uygulanır. Ceza tutarları 27.11.2025 tarihli 585 Sıra No’lu VUK Genel Tebliği ile ilan edilen %25,49 yeniden değerleme oranı uygulanarak belirlenmiştir. Somut cezanın belirlenmesinde ihlalin ağırlığı, süresi, etkilenen kişi sayısı, veri sorumlusunun büyüklüğü ve tekerrür durumu dikkate alınır.
Aydınlatma metnini kim hazırlamalı ve imzalamalı?
Aydınlatma metni yükümlülüğü hukuki olarak veri sorumlusuna aittir. Metni hazırlamak için tipik olarak hukuk müşavirliği, uyum yöneticisi (compliance officer) veya dış hukuki danışmanlar görevlendirilir. Yurt dışında yerleşik veri sorumluları bakımından Türkiye’de atanan veri sorumlusu temsilcisi (m.16) metnin sunumunda yetkilendirilebilir. Metnin uzman avukat tarafından hazırlanması, sonrasında Kurul emsal kararlarına ve İlke Kararlarına göre güncel tutulması Kurul karşısında olası ihlal iddiaları bakımından önemli avantaj sağlar.
Web sitemde aydınlatma metnini nereye ve nasıl yerleştirmeliyim?
Aydınlatma metni web sitesinin görünür bir bölümünde (üye kayıt formunun hemen üzerinde link olarak, çerez politikasıyla ilişkilendirilmiş biçimde ve alt menüde ayrı bir sayfa olarak) yer almalıdır. Kurul yerleşik uygulamasında çerezlerin devreye girmesinden önce kullanıcının aydınlatma metnine erişebilmesi aranır; bu nedenle sitenin ilk açılışında çerez tercih penceresinin (cookie banner) yanında metne yönlendirme linki bulunmalıdır. Zorunlu okuma penceresi (modal) uygulaması Kurul beklentileri arasındadır. Salt siteye link koymak ve kullanıcının bulmasını beklemek yeterli sayılmaz.
Aydınlatma yapmadan veri işlemem hukuka aykırı mıdır?
Evet. Aydınlatma yükümlülüğü kişisel veri işleme faaliyeti hangi hukuki sebebe (açık rıza, kanun hükmü, sözleşmenin ifası, meşru menfaat vb.) dayanırsa dayansın her hâlde yerine getirilmesi gereken mutlak nitelikte bir yükümlülüktür. Aydınlatma yapılmadan gerçekleştirilen işleme faaliyeti, m.18/1-(a) uyarınca idari para cezası riskini doğurur; aynı zamanda ilgili kişinin m.14/2 kapsamında genel hükümlere göre tazminat talep etmesine imkân verir. TBK m.49 (haksız fiil) hükümleri devreye girer ve manevi tazminat (TBK m.58) da talep edilebilir.
