Açık rıza, incelenen 47 karar içinde en sık tekrarlanan başlık. Bu bölümdeki beş karar birlikte okunduğunda Kurulun üç ayrı ilkeyi istikrarla uyguladığı görülüyor: rıza davranıştan çıkarsanamaz, hizmetin verilmesi rızaya bağlanamaz ve geçerli bir işleme şartı varken ayrıca onay istenmesi başlı başına bir ihlal nedeni olabilir.
Bu yazı, Kişisel Verileri Koruma Kurulu’nun 10 Ağustos 2026 tarihinde yayımladığı 47 karar özetini bölüm bölüm inceleyen on yazılık serinin 5. bölümüdür. Serinin bütününe ilişkin genel değerlendirme için 47 kararın toplu değerlendirmesini inceleyebilirsiniz.
Her karar aynı düzende ele alınmaktadır: incelemeye konu olay, Kurulun değerlendirmesi, kararın neden önemli olduğu ve şirketler açısından pratik çıkarımlar. Yazının sonundaki “Vircon Legal değerlendirmesi” başlıkları, ceza tutarı dışındaki kısımlarıyla tarafımızca yapılan yorumu içerir; kararın kendi metninin bir parçası değildir.
Bu yazıda ele alınan kararlar
| Karar | Tarih | Konu | Sonuç |
|---|---|---|---|
| 2026/1183 | 10.06.2026 | Referans Pazarlamasında Sessizliği Onay Saymadı ve Kanuni Üst Sınırdan Ceza Uyguladı | 1.000.000 TL |
| 2023/1610 | 21.09.2023 | Hizmetin Onay Şartına Bağlanamayacağı İlkesini Bir Kez Daha Teyit Etti | Kaynakta belirtilmemiş |
| 2024/1350 | 08.08.2024 | Yasal Dayanağın Gönderim Sıklığını Meşrulaştırmadığına Karar Verdi | Kaynakta belirtilmemiş |
| 2024/1393 | 15.08.2024 | Zaten Hukuka Uygun Bir İşleme İçin İstenen Onay Kutucuğunu Yanıltıcı Buldu | İdari para cezası uygulandı (tutar kaynakta belirtilmemiş) |
| 2024/282 | 22.02.2024 | Aynı İhlalin Dördüncü Tekrarında Sözleşmedeki Fazladan Onay Maddesini Cezalandırdı | İdari para cezası uygulandı (tutar kaynakta belirtilmemiş) |
“Kaynakta belirtilmemiş”, kararın Kurul tarafından yayımlanan özetinde idari para cezasına ilişkin bir bilgiye yer verilmediği anlamına gelir; ceza uygulanmadığı şeklinde okunmamalıdır.
Kurul, Referans Pazarlamasında Sessizliği Onay Saymadı ve Kanuni Üst Sınırdan Ceza Uyguladı
Karar no: 2026/1183 · Karar tarihi: 10.06.2026 · Sonuç: 1.000.000 TL
Karara konu olay
Başvuruya konu olayda, bir tasarruf finansman şirketinin yürüttüğü “marka elçiliği” adı verilen referans programı incelenmiştir. Bu tür programlarda amaç, mevcut müşterilerin şirketi çevrelerine tanıtması karşılığında prim veya avantaj sağlanmasıdır. Program kapsamında mevcut müşteriler, tanıdıklarının ad-soyad ve telefon numarası bilgilerini kendi üyelik hesapları üzerinden doğrudan şirketin sistemine ekleyebilmekte; bu şekilde elde edilen üçüncü kişi bilgileri, bu kişilerin şirketle daha önce hiçbir ilişkisi bulunmamasına rağmen, şirket tarafından SMS ve telefon araması yoluyla doğrudan pazarlama amacıyla kullanılmaktadır.
Şikayete konu olayda, sisteme bu şekilde eklenen bir kişi şirket tarafından aranmış; görüşme öncesinde veya görüşmenin başında kişiye kimin aradığı, verilerinin nereden temin edildiği ve hangi amaçla işleneceği konusunda herhangi bir aydınlatma yapılmamıştır. Şikayetçinin görüşme sırasında sessiz kalması veya kampanyayla ilgilendiğine dair kısa bir tepki vermesi, şirket tarafından sonradan açık rıza beyanı olarak yorumlanmaya ve savunmaya konu edilmeye çalışılmıştır.
Kurul ne dedi?
Kurul, açık rızanın kanunda aranan üç unsurunu -belirli bir konuya ilişkin olma, bilgilendirmeye dayanma ve özgür iradeyle açıklanma- tek tek değerlendirmiş ve telefon görüşmesi sırasında sessiz kalmanın veya görüşmeye devam edilmesinin bu unsurları taşımadığını tespit etmiştir.
Değerlendirmenin merkezinde, aydınlatmanın veri işleme faaliyetinden önce ve ayrı bir işlem olarak yapılması gerektiği ilkesi yer almaktadır. Kurula göre, önce arayıp sonra kişinin tepkisini rıza olarak yorumlamaya çalışmak, aydınlatma ile rızanın doğru sırasını tersine çevirmektedir ve bu nedenle kabul edilebilir değildir.
Bu karar neden önemli?
Bu karar, Kurulun “zımni rıza” kavramına verdiği en açık ve güncel yanıtı oluşturmaktadır. Kurul, daha önceki kararlarında açık rızanın ön koşul haline getirilemeyeceğini (ör. 2023/1610) ve gereksiz onay taleplerinin yanıltıcı olabileceğini (2024/1393, 2024/282) belirtmişti; bu kararla birlikte, rızanın davranıştan çıkarsanabileceği yönündeki uygulamalara da açıkça kapı kapatılmıştır.
Kanunda öngörülen idari para cezası üst sınırının (1.000.000 TL) tam olarak uygulanmış olması, Kurulun bu konudaki hassasiyetinin göstergesi olarak okunabilir. İncelenen kararlar içinde bu üst sınırın tam olarak uygulandığı yalnızca dört örnekten biridir.
Şirketler nelere dikkat etmeli?
- Referans veya “tavsiye et” türü pazarlama programı yürüten şirketlerin, tavsiye edilen kişiyle ilk temastan önce ayrı ve açık bir onay alması gerekmektedir.
- Telefon veya çağrı merkezi üzerinden yürütülen pazarlama faaliyetlerinde, görüşme senaryolarının aydınlatmayı görüşmenin en başında ve ayrı bir adım olarak içerecek şekilde tasarlanması önerilmektedir.
- “Kampanyaya ilgi gösterme”, “görüşmeye devam etme” gibi davranışların iç prosedürlerde rıza kanıtı olarak kabul edilmemesi; rızanın yazılı, sesli kayıtla teyit edilebilir veya dijital olarak doğrulanabilir şekilde alınması sağlanmalıdır.
Vircon Legal değerlendirmesi
Kararın 2026 yılına ait olması ve Kurulun güncel yaklaşımını yansıtması nedeniyle, referans/tavsiye pazarlaması yürüten sektörlerde (finans, sigorta, emlak, e-ticaret) önümüzdeki dönemde benzer başvuruların artması ve bu kararın emsal olarak sıkça anılması beklenebilir. Bu değerlendirme tarafımızca yapılan bir öngörü olup Kurulun resmi bir açıklamasına dayanmamaktadır.
Kurul, Hizmetin Onay Şartına Bağlanamayacağı İlkesini Bir Kez Daha Teyit Etti
Karar no: 2023/1610 · Karar tarihi: 21.09.2023 · Sonuç: Kaynakta belirtilmemiş
Karara konu olay
İncelemeye konu olayda, çevrimiçi bir spor bahis ve şans oyunları platformunun sunduğu “canlı maç yayını” hizmetinden yararlanabilmenin, kullanıcının ticari elektronik ileti (SMS, e-posta, anlık bildirim gibi pazarlama iletişimi) gönderimine onay vermesi şartına bağlandığı tespit edilmiştir. Kullanıcı arayüzünde, ilgili onay kutucuğu işaretlenmeden yayın hizmetine erişim sağlanamamaktadır; başka bir ifadeyle kullanıcı, yalnızca bir spor müsabakasını izlemek istediğinde dahi pazarlama iletişimine razı olmak zorunda bırakılmaktadır.
Şikayetçi, bu uygulamanın kendisini pazarlama iletişimine onay vermeye fiilen zorladığını, aksi halde platformun sunduğu temel bir içerik özelliğinden mahrum kaldığını ileri sürmüştür.
Kurul ne dedi?
Kurul, açık rızanın “özgür irade ile verilme” unsurunun, hizmetten yararlanmanın bu onaya bağlanmasıyla zedelendiğini; bu nedenle veri işlemenin kanunun 5. maddesindeki işleme şartlarından herhangi birine dayanmaksızın gerçekleştirildiğini tespit etmiştir. (Şikayet dilekçesinde ve veri sorumlusunun savunmasında Kurulun daha önceki bazı kararlarına -örneğin 2019/82, 2019/198, 2019/206, 2021/389- taraflarca atıf yapılmış olmakla birlikte, Kurulun kendi karar gerekçesinde bu kararlara ayrıca atıf yapılmamıştır.)
Kurul, geçerli bir işleme şartı bulunmaksızın veri işlenmesini, Kanun’un 12. maddesinin (1) numaralı fıkrasının (a) bendi kapsamında “kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla gerekli teknik ve idari tedbirlerin alınmaması” olarak nitelendirmiş ve buna göre karar vermiştir.
Bu karar neden önemli?
Karar, açık rızanın bir ürün veya hizmetin ön şartı yapılamayacağı ilkesini teyit etmesi bakımından, Kurulun bu konudaki istikrarlı yaklaşımının güncel bir uygulamasıdır ve şirketlerin “bu konuda farklı bir yorum mümkün mü” sorusuna alan bırakmamaktadır.
Şirketler nelere dikkat etmeli?
- Bir hizmetin sunumu ile pazarlama/ticari ileti onayının, kullanıcı arayüzünde ve sözleşme metninde birbirinden bağımsız adımlar olarak kurgulanması gerekmektedir.
- “Devam etmek için onaylıyorum” türü tek kutucuklu tasarımların, hizmetin asıl işlevi ile pazarlama iznini birlikte içerip içermediğinin gözden geçirilmesi önerilmektedir.
Vircon Legal değerlendirmesi
Bu karar, aşağıda ele alınan 2024/1393 ve 2024/282 sayılı kararlarla birlikte okunduğunda, Kurulun “geçerli bir işleme şartı varken ayrıca onay istenmesi” konusundaki yaklaşımının yıllar içinde daha da netleştiğini ve tekrar eden bir denetim başlığı haline geldiğini göstermektedir.
Kurul, Yasal Dayanağın Gönderim Sıklığını Meşrulaştırmadığına Karar Verdi
Karar no: 2024/1350 · Karar tarihi: 08.08.2024 · Sonuç: Kaynakta belirtilmemiş
Karara konu olay
İnceleme konusu olayda, bir elektronik haberleşme (GSM/uydu) işletmecisinin abonesi olan şikayetçi, pazarlama amaçlı SMS gönderimlerinin durdurulması yönünde şirkete ret talebinde bulunmuştur. Şikayetçinin iddiasına göre, ret talebine rağmen şirket aynı içerikli pazarlama SMS’lerini sık aralıklarla göndermeye devam etmiş; yapılan inceleme sonucunda kısa bir süre içinde 20’den fazla benzer içerikli mesaj gönderildiği tespit edilmiştir.
İncelemede ayrı bir husus olarak, şirketin açık rıza metnini bağımsız bir belge halinde değil, abonelik sözleşmesinin uzun metni içine dağınık ve fark edilmesi güç biçimde yerleştirdiği de belirlenmiştir.
Kurul ne dedi?
Kurul, gönderimlerin hukuki dayanağının (m.5/2-ç kapsamında mevzuata dayalı bir yükümlülük) kendi içinde hukuka uygun olduğunu kabul etmekle birlikte, bu dayanağın sınırsız biçimde ve gönderim sıklığı denetlenmeksizin kullanılamayacağını vurgulamıştır.
Değerlendirmede, sık aralıklarla ve aynı içerikte yapılan gönderimlerin m.4/2-a kapsamındaki dürüstlük kuralına aykırı olduğu ve hakkın amacına aykırı biçimde kullanılması niteliğinde olduğu sonucuna varılmıştır.
Bu karar neden önemli?
Bu karar, Kurulun denetim yetkisini yalnızca “hukuki dayanak var mı yok mu” sorusuyla sınırlamadığını, hukuka uygun bir dayanağa sahip bir işleme faaliyetinin dahi orantılılık ve dürüstlük açısından ayrıca denetlenebileceğini göstermesi bakımından nispeten yeni ve önemli bir yaklaşımdır. “Yasal dayanağım var” savunması artık tek başına yeterli görülmemektedir.
Şirketler nelere dikkat etmeli?
- Ret talebinde bulunan kişilere yönelik gönderimlerin sistemsel olarak derhal durdurulduğundan emin olunması gerekmektedir.
- Aynı içerikli mesajların gönderim sıklığının izlenmesi ve makul aralıklarla sınırlandırılması önerilmektedir.
- Açık rıza metinlerinin sözleşme içine gömülmeden, ayrı ve fark edilebilir şekilde sunulması sağlanmalıdır.
Vircon Legal değerlendirmesi
Pazarlama SMS’i, e-posta veya bildirim gönderen hemen her sektör için doğrudan uygulanabilir bir denetim kriteri ortaya koyması nedeniyle, bu kararın önümüzdeki dönemde sıklık/orantı temelli şikayetlerde referans gösterilmeye devam edeceği değerlendirilmektedir.
Kurul, Zaten Hukuka Uygun Bir İşleme İçin İstenen Onay Kutucuğunu Yanıltıcı Buldu
Karar no: 2024/1393 · Karar tarihi: 15.08.2024 · Sonuç: İdari para cezası uygulandı (tutar kaynakta belirtilmemiş)
Karara konu olay
Somut olayda, bir havayolu şirketi ile uçak içi internet servisini sağlayan ayrı bir şirketin ortak sunduğu wifi hizmetinin giriş ekranı incelenmiştir. Yolcular uçuş sırasında internete bağlanmak istediklerinde karşılarına çıkan giriş ekranında, kimlik/iletişim bilgilerinin (ad-soyad, e-posta, uçuş bilgisi gibi) girilmesinin ardından “bilgilerimin ilgili makamlar ve şirketle paylaşılmasını kabul ediyorum” içerikli bir onay kutucuğunun işaretlenmesinin şart koşulduğu tespit edilmiştir. Kutucuk işaretlenmeden internet hizmetine erişim sağlanamamaktadır.
İnceleme, hizmetin iki ayrı veri sorumlusu (havayolu şirketi ile internet servis sağlayıcısı) tarafından ortak yürütülen bir iş modeli çerçevesinde sunulduğunu; her iki tarafın da yolcuların kimlik ve iletişim verilerine farklı amaçlarla erişebildiğini ortaya koymuştur.
Kurul ne dedi?
Kurul, söz konusu veri işlemenin zaten sözleşmenin kurulması, hukuki yükümlülük ve hakkın tesisi gibi m.5/2 kapsamındaki başka hukuki sebeplerle hukuka uygun olduğunu; bu nedenle ayrıca açık rıza istenmesinin gereksiz olduğunu tespit etmiştir.
Değerlendirmenin can alıcı noktası, gereksiz onay talebinin kullanıcıyı “hizmeti almak için onay vermem gerekiyor” şeklinde yanıltabileceği ve bunun m.4/2-a dürüstlük kuralına aykırılık teşkil ettiğidir. Kurul, iki ayrı veri sorumlusu (havayolu şirketi ve internet servis sağlayıcısı) bakımından ayrı ayrı değerlendirme yapmış, cezayı yalnızca internet servis sağlayıcısına uygulamıştır.
Bu karar neden önemli?
Karar, 2024/1350 ve 2024/282 ile birlikte okunduğunda, “geçerli bir başka hukuki sebep varken gereksiz açık rıza istenmesi” temasının üçüncü somut örneğini oluşturmaktadır ve bu üç karar birlikte artık istikrar kazanmış bir Kurul yaklaşımına işaret etmektedir.
Ayrıca, aynı hizmetin sunumunda yer alan birden fazla veri sorumlusunun (iş ortaklığı/entegrasyon modeli) her birinin kendi yükümlülükleri bakımından bağımsız olarak değerlendirilmesi de öğretici bir usul noktasıdır.
Şirketler nelere dikkat etmeli?
- Form ve giriş ekranlarındaki her onay kutucuğunun gerçekten ayrı bir hukuki dayanak gerektirip gerektirmediğinin teker teker gözden geçirilmesi önerilmektedir.
- Ortak hizmet sunulan iş ortaklıklarında, hangi verinin hangi tarafça hangi amaçla işlendiğinin ve bu işlemenin hukuki dayanağının net biçimde ayrıştırılması gerekmektedir.
Vircon Legal değerlendirmesi
Bu kararın, özellikle dijital ürün ve platform işleten şirketlerin kayıt/giriş ekranlarındaki onay tasarımlarını gözden geçirmesi için doğrudan bir gerekçe oluşturduğu değerlendirilmektedir.
Kurul, Aynı İhlalin Dördüncü Tekrarında Sözleşmedeki Fazladan Onay Maddesini Cezalandırdı
Karar no: 2024/282 · Karar tarihi: 22.02.2024 · Sonuç: İdari para cezası uygulandı (tutar kaynakta belirtilmemiş)
Karara konu olay
Kurulun değerlendirmesine konu olayda, bir telekomünikasyon şirketinin abonesi, abonelik paketinde değişiklik talebinde bulunmuştur. Şirket, kimliğini teyit etmek amacıyla şikayetçiden yeniden kimlik belgesi ibraz etmesini istemiş; belge sunulmaması üzerine de mevcut hizmeti iptal etmiştir. Şikayetçi, gerek kimlik belgesi talep edilmesini gerek hizmetin iptalini KVKK’ya aykırı bularak Kurula başvurmuştur.
İncelemede ayrıca, şikayetin ana konusundan bağımsız bir husus olarak, aynı şirketin standart abonelik sözleşmesinde, veri işlemenin zaten başka bir hukuki sebeple (BTK mevzuatından kaynaklanan yükümlülük) mümkün olmasına rağmen açık rıza niteliğinde ayrı bir hükme yer verdiği tespit edilmiştir.
Kurul ne dedi?
Kurul, kimlik belgesi talebini ve hizmetin iptalini, ilgili mevzuat (BTK düzenlemeleri) ve hakkın tesisi hukuki sebebi çerçevesinde hukuka uygun bulmuş; bu kısımda herhangi bir işlem yapılmasına gerek görmemiştir.
Ancak sözleşmedeki fazladan açık rıza hükmünü, geçerli bir işleme şartı zaten mevcutken ayrıca açık rıza talep edilmesi nedeniyle dürüstlük kuralına aykırılık olarak değerlendirmiş ve idari para cezası uygulamıştır.
Bu karar neden önemli?
Bu karar, tarafımızca incelenen dönemde tespit ettiğimiz –2023/1610, 2024/1350 ve 2024/1393 kararlarıyla birlikte- aynı temanın dördüncü örneğidir; bu tekrar, Kurulun kararının kendi metninde değil, incelediğimiz karar setinin bütününde gözlemlediğimiz bir örüntüdür ve söz konusu uygulamanın sektörde ne denli yaygın olduğunu göstermektedir.
Şirketler nelere dikkat etmeli?
- Standart sözleşme ve üyelik metinlerinin, tekil olarak değil taslak/şablon düzeyinde gözden geçirilmesi önerilmektedir; zira aynı hatalı madde birden fazla sözleşme türüne aynı anda yansımış olabilir.
- Kimlik doğrulama gibi mevzuattan kaynaklanan zorunlu süreçlerin hukuka uygunluğu ile bu süreçlere eklenen ayrı onay hükümlerinin hukuka uygunluğunun birbirinden bağımsız değerlendirilmesi gerekmektedir.
Vircon Legal değerlendirmesi
Bu karar, sözleşme şablonu düzeyinde yapılacak tek bir düzeltmenin, birden fazla tekrarlayan ihlali önceden bertaraf edebileceğini göstermesi bakımından şirketlere pratik bir uyum önceliği sunmaktadır.
Serinin diğer bölümleri
- 1. bölüm — Fidye Yazılımı ve Yetkisiz Erişim: Kurul Hangi Teknik Tedbirleri Arıyor?
- 2. bölüm — Kimlik Doğrulama, E-posta ve Fiziksel Erişim: Beş Kararda Güvenlik Standardı
- 3. bölüm — Hizmet Sağlayıcı Kaynaklı İhlaller: Sorumluluk Neden Veri Sorumlusunda Kalıyor?
- 4. bölüm — İhlal Bildirimi: 72 Saatlik Süre, Usul ve Şeffaflık Üzerine Beş Karar
- 5. bölüm — Açık Rıza Kararları: Pazarlama İzinleri, Onay Kutucukları ve Hizmet Şartı (bu yazı)
- 6. bölüm — Açık Rıza Gerekmeyen Hâller ve Kanunun Kapsamı: Beş Karar
- 7. bölüm — İlgili Kişi Başvuruları ve Aydınlatma Yükümlülüğü: Beş Kararda Usul
- 8. bölüm — Ölçülülük Sınavı: Kamera, Ses, Biyometri, Çerez ve Maskeleme Kararları
- 9. bölüm — Kurul Ne Zaman İşlem Yapmıyor? Düşük Riskli Beş İhlal Kararı
- 10. bölüm — Kredi Kayıt Sektöründen İki Karar ve 47 Karar Özetinin Tam Dizini
Serinin çıkış noktası olan genel değerlendirme için: KVKK’nın yayımladığı 47 karar özeti — toplu değerlendirme. Bu yazının İngilizcesi: Explicit Consent: Marketing Permissions, Tick Boxes and Service Conditions.
Uyum programının bütünü için KVKK ve GDPR uyumu sayfamıza, yayımlandıkça işlediğimiz kararlar için KVKK Takip‘e göz atabilirsiniz.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki görüş niteliği taşımaz. Somut bir olaya ilişkin değerlendirme için hukuki destek alınması önerilir.
Yazar
Bu konu masanızdaysa
Kurucu Akademisi'nde şablonlar ve kontrol listeleri ücretsiz; spesifik bir durum için 30 dakikalık ön görüşme planlayabilirsiniz.
Kurucu AkademisiGörüşme planlayın