9. Açık rıza ve rıza yönetimi

Bir onay düğmesi, kişinin hangi işleme izin verdiğini ve iradesinin ne ölçüde serbest oluştuğunu tek başına göstermez. Açık rızanın incelenmesinde irade açıklamasının içeriği kadar alınma koşulları, açıklamayı yapabilecek kişi ve sonraki kullanım da önemlidir. Bölüm, rızanın hukuki niteliğinden hareketle geçerlilik, ispat, temsil ve geri alma sorunlarını bir araya getirmektedir. Aydınlatma, sözleşme kabulü ve ticari ileti onayıyla kurulan sınırlar, uygulamadaki tek onayla bütün işlemleri karşılama eğiliminin değerlendirilmesini sağlar.

9.1. Rızanın hukuki niteliği ve işleme şartları içindeki konumu

Bir internet hizmetine üye olurken kullanılan tek bir onay düğmesi; sözleşmenin kabulünü, aydınlatma metninin okunduğunu ve kişisel verilerin işlenmesine rıza gösterildiğini aynı anda ifade ediyor olabilir. Ancak bunlar aynı hukuki işleve sahip değildir. Açık rıza, kişinin belirli bir veri işleme faaliyetine ilişkin irade açıklamasıdır. 6698 sayılı Kanun’un 3. maddesi bu açıklamanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle yapılmış olmasını arar. Bu nedenle düğmeye basılmış olması, hangi işlemeye rıza verildiği ve rızanın geçerliliği sorularını kendiliğinden cevaplamaz.¹

Rızanın özel hukuk bakımından nasıl nitelendirileceği öğretide tartışılmaktadır. Çelikel, hukuki işlem ve hukuki işlem benzeri fiil dâhil farklı nitelendirmeleri aktararak tek taraflı hukuki işlem yaklaşımını benimser. Bu yaklaşımda kişi, açıklamasıyla belirli işlemenin hukuki dayanağını oluşturmayı amaçlar; bunun için veri sorumlusuyla ayrıca bir sözleşme kurulması gerekmez. Nitelendirme, iradenin geçerliliği ve açıklamayı kimin yapabileceği bakımından önem taşır. Bununla birlikte görüşlerin sonuçları, Kanun’un rıza için aradığı özel unsurlar gözetilmeden genel işlem kurallarından otomatik olarak çıkarılamaz. Ehliyet ve temsil sorunları 9.4’te ayrıca incelenecektir.²

Sözleşmeye katılmak ile veri işlemeye açık rıza göstermek bu bakımdan ayrılır. Bir kişinin kursa kaydolmayı kabul etmesi, kendisinin tanıtım fotoğraflarında kullanılmasını da kabul ettiği anlamına gelmez. Kayıt için gerekli veri, koşulları gerçekleşmişse sözleşmenin kurulması veya ifası şartıyla işlenebilir; tanıtım amacı ayrıca değerlendirilir. Aynı belge içinde bulunmaları, sözleşme iradesi ile veri işlemeye ilişkin iradeyi özdeşleştirmez. Açık rıza değerlendirmesinin konusu, kişinin ilişkiye genel olarak katılması değil, belirli işlemenin kapsamını bilerek kabul etmesidir.³

Aydınlatma ise veri sorumlusunun bilgilendirme yükümlülüğüdür; ilgili kişinin bu bilgiyi onaylayarak veri sorumlusuna izin vermesi değildir. Kurumun 2026/347 sayılı ilke kararına ilişkin duyurusunda, aydınlatma ile açık rıza metinlerinin farklı başlıklarla ayrı düzenlenmesi ve aynı sayfada yer alsalar dahi beyanların ayrılması gerektiği açıklanmıştır. Metnin okunduğuna ilişkin geri bildirim, veri işlemeye rıza açıklamasıyla karıştırılmamalıdır. Böylece kişi bilgilendirilmiş olmakla, kendisine sunulan her işlemeyi kabul etmiş sayılmaz.⁴

Kurulun 2021/389 sayılı karar özeti de işlemenin gerçek hukuki sebebiyle kullanılan onay mekanizmasının uyuşmasını arar. Sigorta şirketinin çevrim içi hizmetinde sözleşmenin ifasıyla ilişkilendirilen veri işleme için ayrıca rıza istenmesi ve aydınlatmayla rızanın iç içe sunulması değerlendirilmiştir. Kurul, diğer işleme şartları mevcutken aynı işlemi açık rızaya dayandırmanın dürüstlük ilkesiyle ilişkisini vurgulamıştır. Bu nedenle rıza, her sürece eklenen genel bir güvence belgesi olarak kullanılamaz.⁵

Geçerli rızanın bulunması da veri sorumlusunun bütün yükümlülüklerini kaldırmaz. İşleme, rızanın konusu ve sınırları içinde kalmalı; ayrıca hukuka ve dürüstlük kurallarına uygunluk, amaçla sınırlılık, ölçülülük ve saklama süresi ilkelerini karşılamalıdır. Rıza, gereksiz verilerin süresiz tutulması veya kişinin bilmediği başka amaçlarda kullanılması için sınırsız tasarruf yetkisi vermez. Özel nitelikli veri ve aktarımda ilgili özel rejimler ayrıca uygulanır.⁶

Rızanın işlevi, kişinin verdiği kararı sonradan değiştirebilmesiyle de bağlantılıdır. Kurum, açık rızanın geri alınabileceğini ve geri alma beyanının veri sorumlusuna ulaşmasından itibaren ileriye yönelik sonuç doğuracağını açıklamaktadır. Bu, rızaya dayalı kullanımın durması ile başka amaç ve bağımsız hukuki sebebe dayanan saklamanın ayrılmasını gerektirir. Geri almanın uygulama sonuçları 9.6’da ele alınacaktır; burada belirleyici nokta, veri sorumlusunun başlangıçta kişiye gerçek bir karar alanı sunması ve bu kararın hukuki sonuçlarını belirsizleştirmemesidir.⁷

9.2. Belirli konu, bilgilendirme ve özgür irade

Açık rızanın kanuni tanımındaki üç unsur birlikte aranır. Kişinin bir metni anlayarak kabul etmesi, metnin belirsiz bir veri kullanımına yönelmesini gidermez; konunun belirli olması da baskı altında verilen onayı geçerli kılmaz. İncelemede önce hangi işleme için rıza istendiği, sonra kişinin bu işlemeyi ve kararının sonuçlarını öğrenebilmesi, son olarak kabul veya ret arasında gerçek bir tercihte bulunabilmesi ele alınmalıdır. Böylece rıza, yalnızca olumlu cevap alınmış olmasına indirgenmez.⁸

Belirli konu şartı, rızanın sınırlarını işlemeye başlamadan önce görünür kılar. İşlenecek veriyle amaç arasındaki ilişki anlaşılmalı; veri sorumlusunun ileride uygun göreceği bütün kullanımları kapsayan genel bir yetki verilmiş sayılmamalıdır. Örneğin bir etkinliğe katılan kişinin iletişim bilgilerinin duyurularda kullanılması ile görüntülerinin tanıtımda yayımlanması farklı işlemelerdir. Bunların “kurumsal faaliyetler” gibi geniş bir ifadeye yerleştirilmesi, kişinin hangi kullanımı kabul ettiğini açıklamaz. Kanun’un amaçların belirli olması ve işlenen verilerin amaçla sınırlı tutulması ilkeleri de aynı sınırın korunmasını gerektirir.⁹

Birden çok veri kategorisinin bulunması, her veri alanı için mutlaka ayrı bir kutucuk gerektiği anlamına gelmez. Asıl mesele, hangi verinin hangi amaçla işlendiğinin anlaşılabilmesi ve ayrı tercihe konu olan faaliyetlerin tek bir zorunlu kabul altında birleştirilmemesidir. Kurulun 2025/1072 sayılı ilke kararı, birden çok kategoride veri bakımından rızanın işlemenin farklı hususlarını kapsamasını ararken üyelik sözleşmesi, veri işleme izni ve ticari ileti onayının tek eylemle alınmasına son verilmesini de istemektedir. Bu yaklaşım, teknik arayüzün sadeliğinin hukuken farklı kararları görünmez kılmasına izin vermez.¹⁰

Bilgilendirme, kişinin kararından önce neyi kabul ettiğini öğrenmesini sağlamalıdır. Bu nedenle rıza talebinin yanına yalnızca uzun bir metin bağlantısı konulmasıyla yetinilip yetinilemeyeceği, bağlantının varlığından hareketle kararlaştırılamaz. Bilginin sunuluşu, dili ve erişilebilirliği önem taşır. İşlemenin amacı, kim tarafından yürütüldüğü ve rızanın sonuçları anlaşılmadan verilen cevap bilinçli bir tercihi göstermez. Öğretide Çelikel ve Gürler de açıklamanın kapsamını ve hedef kitlenin anlayabileceği bir dille yapılmasını bu işlevle ilişkilendirmektedir.¹¹

Bu gereklilik ile aydınlatma yükümlülüğü yakından bağlantılıdır; ancak farklı soruları cevaplarlar. Aydınlatma, veri sorumlusunun Kanun’un 10. maddesindeki bilgileri verme ödevidir. Bilgilendirmeye dayalı rıza ise kişinin belirli işlemeye ilişkin kararının geçerliliğiyle ilgilidir. Tebliğ, rızaya dayanan işlemede aydınlatma ile rıza alınmasını ayrı işlemler olarak düzenler. Dolayısıyla bilginin sunulduğuna ilişkin kayıt ile kişinin o işlemeyi kabul ettiğine ilişkin kayıt aynı anlamı taşımaz. Aydınlatmanın içeriği ve yöntemleri 11. bölümde ayrıca incelenecektir.¹²

Özgür irade bakımından belirleyici olan, kâğıt üzerinde ret seçeneği bulunmasından öte, kişinin bunu kullanabilecek durumda olmasıdır. Bağımlılık ilişkisi, reddin hizmete etkisi ve alternatiflerin fiilen kullanılabilirliği değerlendirmeyi değiştirebilir. Gürler, rıza vermemeye bağlanan yaptırımın hafif olmasının tek başına özgür iradeyi göstermeyeceğini; kişinin yaşı, bilgilendirilme düzeyi ve güç ilişkisi gibi koşulların da dikkate alınması gerektiğini belirtir. Bu görüş, özgürlüğün yalnızca açık bir tehdidin yokluğuyla açıklanamayacağını gösterir. Bununla birlikte her toplumsal veya ekonomik etkiyi kendiliğinden rızayı geçersiz kılan baskı saymak yerine, somut karar alanının nasıl etkilendiği açıklanmalıdır.¹³

Kurulun 2023/692 sayılı karar özeti bu incelemenin uygulamadaki önemini gösterir. Bir sağlık kuruluşunun randevu sayfasında tanıtım amaçlı kullanıma onay verilmeden ilerlenemediği, başvuru ekindeki ekran görüntülerinden anlaşılmıştır. Kurul, tanıtımın sunulacak sağlık hizmetiyle doğrudan bağlantılı olmadığını ve randevunun bu onaya bağlanmasının özgür iradeyi sakatladığını değerlendirmiştir. İnceleme sırasında kutucuğun isteğe bağlı hâle getirilmesi, önceki uygulamayı hukuka uygun kılmamıştır. Burada sonuç, sağlık alanında alınan her rızaya ilişkin soyut bir varsayımdan değil, hizmete erişimin tanıtım onayına bağlanmasından doğmaktadır.¹⁴

İşlem için gerekli veriyle ayrıca istenen kullanım bu nedenle baştan ayrılmalıdır. Reddedilemeyen bir kanuni yükümlülüğü veya sözleşme için gerçekten gerekli işlemeyi, kişinin serbestçe vazgeçebileceği bir rıza talebi gibi sunmak yanıltıcıdır. Buna karşılık veri sorumlusunun ek bir kullanım istemesi, o kullanımın hizmet için gerekli olduğunu göstermez. 8. bölümdeki hukuki sebep incelemesi, rıza ekranı hazırlanırken de geçerliliğini korur. Hizmet koşulları, teşvikler ve tercihleri yönlendiren tasarımlar 9.5’te bu ayrım üzerinden ele alınacaktır.¹⁵

9.3. İrade açıklaması, şekil, elektronik yöntemler ve ispat

Kişinin işlemeye ilişkin olumlu iradesi dış dünyada anlaşılabilir bir açıklamayla ortaya çıkmalıdır. Bu, yalnızca imzalı bir belge düzenlenmesi demek değildir. Kurum, başka mevzuattaki hükümler saklı kalmak üzere açık rızanın yazılı şekle bağlı olmadığını; elektronik ortamda ve çağrı merkezi aracılığıyla da alınabileceğini açıklamaktadır. Böylece rızanın geçerlilik unsurları ile bu iradenin hangi araçla açıklandığı ayrılır. Sözlü cevap da iradeyi gösterebilir; belgenin imzalı olması ise belirli konu, bilgilendirme ve özgür irade eksikliğini kendiliğinden gidermez.¹⁶

Elektronik ortamda bir davranışın gerçekleştiğini saptamak kadar, bu davranışın ne anlama geldiğini belirlemek de gerekir. Kişinin boş bir kutucuğu, açıkça gösterilen belirli işlemeyi kabul etmek için işaretlemesiyle önceden işaretli kutucuğu değiştirmemesi aynı değildir. Sessiz kalma, sayfada gezinme veya hizmeti kullanmaya devam etme, tek başına veri işlemeye yönelen açık bir kabul açıklamaz. Gürler, özellikle pasif tutum ile tereddüde yer bırakmayan olumlu davranışı ayırmaktadır. Dolayısıyla “itiraz etmezseniz kabul etmiş sayılırsınız” biçimindeki kurgu, veri sorumlusunu açık irade açıklamasını gösterme gereğinden kurtarmaz.¹⁷

Karşılaştırmalı hukukta EDPB’nin 05/2020 sayılı rehberi de olağan internet kullanımını rıza davranışından ayırır; sayfayı kaydırmayı veya geçiştirmeyi yeterli kabul etmez. Rehberin gerekçesi, bu hareketin başka amaçlarla da yapılabilmesi ve kabul iradesini ayırt edememesidir. Buna karşılık belirli bir işlemenin kabulü için tasarlanmış ve anlamı önceden açıklanmış ayrı bir hareketin değerlendirilmesi farklıdır. Bu açıklamalar AB hukukundaki yaklaşımı gösterir; Türk hukukunda bağlayıcı bir şekil kuralı olarak uygulanmaz. Türk hukukundaki değerlendirme, Kanun’un açık rıza tanımı ve somut beyanın anlamı üzerinden yapılır.¹⁸

Telefon numarasına gönderilen kod da aynı nedenle kendi başına rızanın kapsamını açıklamaz. Kodun sisteme girilmesi, belirli bir anda o numaraya erişildiğini doğrulamaya yarayabilir; kişinin reklam amaçlı veri kullanımını bilerek kabul ettiğini ise ancak bu anlama gelen bir süreç içinde gösterebilir. Kimlik veya erişim doğrulaması ile veri işlemeye izin verilmesi farklı işlevlerdir. Kodun personele bildirilmesinin fatura düzenlenmesi için gerekli olduğu söylenip bu davranışın pazarlama onayı olarak kaydedilmesi, teknik doğrulamanın başarısına rağmen iradenin konusu ve bilgilendirme bakımından sorunludur.¹⁹

Kurul, 10 Haziran 2025 tarihli 2025/1072 sayılı ilke kararında SMS’in amacının ve kodun paylaşılmasının sonuçlarının görevli tarafından açıklanmasını, SMS içinde de gerekli bilgilendirme kanallarının sağlanmasını istemiştir. Karar SMS yoluyla rıza alınmasını bütünüyle yasaklamaz. Ticari ileti amacıyla veri işlemeye ilişkin rızanın hizmetin tamamlanmasından sonra istenmesi veya kod paylaşmanın zorunlu olmadığının, kod verilmeden de hizmet alınabileceğinin ve tercihlerin değiştirilebileceğinin açıkça belirtilmesi yöntemlerini öngörür. Üyelik, veri işleme ve ileti onayının tek eylem altında birleştirilmesine ilişkin sınır da korunur. Bu nedenle uyum, yalnız SMS metnini değiştirerek değil, personele verilen talimat ve hizmetin fiilî akışı birlikte incelenerek değerlendirilebilir.²⁰

İspat ise iradenin kimden, ne zaman ve hangi içerik için alındığının gösterilmesini gerektirir. Kurumun açıklamasına göre açık rızanın alındığını ispat yükü veri sorumlusundadır. Aydınlatmanın yapıldığının ispatı da Tebliğ’de ayrıca düzenlenmiştir. Bir veri tabanındaki “rıza var” alanı, bu ayrıntıları açıklamıyorsa uyuşmazlığın bütün sorularını cevaplamaz. Onay kaydının o tarihteki metin ve işleyişle ilişkilendirilebilmesi gerekir. Aşağıdaki kayıtlar bu amaçla farklı sorulara cevap verebilir; tablo, her olayda aynı belgelerin zorunlu olduğu anlamına gelmez.²¹

Geçmişte alınan rızanın değerlendirilmesinde bugünkü ekranın gösterilmesi yeterli olmayabilir. Nitekim 2023/692 sayılı kararda, sonradan değiştirilen sayfa ile ihbar tarihindeki görüntüler ayrılmıştır. AB hukuku bakımından EDPB de rıza anında sunulan bilgilerin ve işleyişin kanıtlanabilmesini, mevcut doğru yapılandırmanın geçmişteki işlemi tek başına göstermemesini vurgular. Bu yaklaşım, belirli bir kayıt teknolojisini zorunlu kılmaktan çok, delille kanıtlanmak istenen olay arasındaki zaman ve içerik bağını görünür kılar.²²

Rızayı kanıtlama amacı, sınırsız kayıt tutulmasını haklı kılmaz. Her görüşmenin tamamının veya ilgisiz cihaz verilerinin toplanmasının gerekli olduğu peşinen söylenemez. İspat için işlenen veriler de amaçla bağlantılı, sınırlı ve ölçülü olmalı; saklama ihtiyacı ayrıca değerlendirilmelidir. EDPB’nin rehberi de ispat gerekçesiyle aşırı veri toplanmasına karşı bu sınırı belirtmektedir. Rızanın ve değişikliklerinin günlük işleyişe nasıl yansıtılacağı 9.7’de ele alınacaktır; burada esas olan, açıklamanın içeriğini ve koşullarını kanıtlayabilen, kendi veri işleme yükünü de gerekçelendiren bir düzen kurulmasıdır.²³

9.4. Ayırt etme gücü, temsil, çocuk ve kısıtlıların durumu

Açık rızanın kim tarafından açıklanabileceği, ilgili kişinin veriler üzerinde hak sahibi olmasıyla aynı soru değildir. Çocuk da kişisel verilerin korunması hakkının sahibidir; buna karşılık her hukuki kararı tek başına alabilecek durumda olmayabilir. Türk Medeni Kanunu’nun hak ehliyeti ile fiil ehliyetini ayırması bu bakımdan önem taşır. Erginliğin kural olarak on sekiz yaşın doldurulmasıyla başlaması, daha küçük herkesin kişiliğiyle ilgili bütün kararlarda iradesinin sonuçsuz olduğu anlamına gelmez. Kanun’un 16. maddesi, ayırt etme gücüne sahip küçüklerin ve kısıtlıların kişiye sıkı sıkıya bağlı haklarını kullanmaları bakımından özel bir konum tanımaktadır.²⁴

Ayırt etme gücü, yalnız doğum tarihine bakılarak değerlendirilemez. TMK’nın 13. maddesindeki ölçüt, akla uygun biçimde davranma yeteneğidir. Veri işleme bağlamında kişinin belirli kullanımın anlamını, öngörülebilir sonuçlarını ve karar seçeneklerini kavrayabilmesi incelenir. Uçak da küçüğün ayırt etme gücünü, somut işleme faaliyetinin sebep ve sonuçları bakımından ele alır. Kısıtlı olmak ile bu yetenekten yoksun olmak da özdeş değildir. Bu nedenle veri sorumlusu, bir kişinin küçük veya vesayet altında olduğunu öğrenmekle onun kendi iradesinin bütün işlevini ortadan kaldıran bir sonuç çıkaramaz.²⁵

Ayırt etme gücüne sahip küçüğün veri işlemeye tek başına rıza gösterip gösteremeyeceği konusunda öğretide farklı yaklaşımlar bulunmaktadır. Uçak, kişiye sıkı sıkıya bağlı hak niteliğinden ve TMK m.16’dan hareketle küçüğün kendi rızasını yeterli görür. Karataş’ın aktardığı görüşler arasında ise yasal temsilcinin katılımını arayan veya kişilik değeri üzerinde ağır sonuç doğuran kullanımlarda ek koruma gerektiğini savunan yaklaşımlar da vardır. Tartışma, çocuğun iradesinin varlığı kadar, koruma ihtiyacının hangi işlemlerde temsilci katılımını gerektirdiği üzerindedir. Bu görüşler, kanunda açıkça ve bütün veri işlemeler için belirlenmiş tek bir yaş eşiği bulunduğu varsayımıyla birleştirilemez.²⁶

Ayırt etme gücü bulunmayan kişinin durumu farklıdır. TMK m.15 uyarınca kanuni ayrık durumlar saklı kalmak üzere bu kişinin fiilleri hukuki sonuç doğurmaz. Ekranda bir düğmeye basması veya kendisine uzatılan formu imzalaması, rıza verme yeterliliğinin yerine geçmez. Öğretide böyle bir kişiye ait, kişiye sıkı sıkıya bağlı hakların temsil yoluyla kullanılması ayrıca tartışılır. Uçak, çocuğun korunmasız kalmaması gerekçesiyle yasal temsilcinin veri işlemeye onun adına rıza gösterebilmesini savunur. Bu görüşte dahi temsilciye tanınan yetki, çocuğun kişilik değerlerini kendi yararından bağımsız biçimde kullanma serbestisi değildir.²⁷

Temsilci sıfatı ve yetkinin kapsamı bu nedenle ayrıca belirlenmelidir. Ana ve baba, velayetleri çerçevesinde çocuklarının yasal temsilcisidir; vasi ise vesayet altındaki kişinin menfaatlerini korumak ve hukuki işlemlerde onu temsil etmekle yükümlüdür. Yakınlık, bakımını üstlenme veya aynı evde yaşama, bu sıfatların yerine kendiliğinden geçmez. Ayrıca ayırt etme gücüne sahip kısıtlının kişiye sıkı sıkıya bağlı haklarını kullanma konumu korunur. Yasal temsilciyle küçüğün veya kısıtlının menfaati çatışıyorsa TMK m.426’daki temsil kayyımlığı gündeme gelebilir. Bu durumda temsilcinin onayını almak, çatışmanın kendisini çözmüş sayılmaz.²⁸

Kurulun 2020/622 sayılı karar özeti, kişisel verilerin korunmasına ilişkin hakların kullanımıyla işleme rızasının birbirinden ayrılmasını gerektirir. Olayda baba, çocuğuna ait sağlık raporunun imhası için veri sorumlusuna başvurmuş; Kurula şikâyeti çocuk yapmıştır. Kurul, ayırt etme gücüne sahip olma koşulunu ve baba ile çocuğun başvuru iradelerinin örtüşmesini dikkate alarak somut olayda her ikisinin de hakkı kullanmada yetkili olabileceğini kabul etmiştir. Bu karar, bütün veri işlemelerde mutlaka çift rıza gerektiğini veya velinin çocuğun iradesine rağmen her kullanıma izin verebileceğini belirleyen genel bir karar değildir.²⁹

Buna karşılık 2020/255 sayılı karar özetinde, okulda uygulanan psikolojik test yoluyla sağlık verisi işlenirken velinin açık rızasının alınmamış olması değerlendirilmiştir. Velinin rehberlik sürecinden haberdar olması ve görüşme formlarını imzalaması, gerekli açık rıza ve aydınlatmanın yerine getirildiğini göstermeye yeterli bulunmamıştır. Kararın özel veri, somut test ve o dönemdeki işleme şartları bağlamı korunmalıdır. Öğrencilerin yalnız reşit olmadıklarından söz edilmesi, özetten hareketle her birinin ayırt etme gücünün belirlenmiş sayılmasına veya bütün çocuklar için tek bir rıza modeli kurulmasına elverişli değildir.³⁰

Çocuğun yararı ile görüşünün dikkate alınması birbirinin alternatifi olarak sunulmamalıdır. TMK m.339, ana ve babanın bakım ve eğitim kararlarında çocuğun menfaatini gözetmesini; olgunluğu ölçüsünde hayatını düzenlemesine olanak tanımasını ve önemli konularda düşüncesini dikkate almasını öngörür. Dolayısıyla temsilciyle iletişim kurulması, çocuğa anlayabileceği açıklamanın yapılmasını gereksiz kılmaz. Özellikle tanıtım amacıyla görüntü kullanımı gibi kişiliği etkileyen kararlarda, temsilcinin isteğinin çocuğun yararıyla ilişkisi de incelenmelidir. Temsil yoluyla verilen rıza, 6698 sayılı Kanun’un amaçla sınırlılık ve ölçülülük ilkelerini kaldırmaz.³¹

Karşılaştırmada kullanılan yaş ölçütlerinin kapsamı da açık tutulmalıdır. EDPB’nin açıklamasında GDPR m.8’in on altı yaş eşiği, doğrudan çocuğa sunulan bilgi toplumu hizmetleriyle bağlantılı ve rızaya dayalı işleme içindir; üye devletler bu eşiği on üç yaşın altına inmeyecek biçimde düşürebilir. Bu, bütün çocuk verileri için aynı yaşta ve aynı yöntemle rıza alınacağı anlamına gelmez. Türkiye bakımından da bu sayılar, kendi başlarına TMK’daki ehliyet ve temsil değerlendirmesinin yerine konulamaz.³²

Bir hizmete erişim için öngörülen yaş sınırlaması da genel rıza ehliyetiyle karıştırılmamalıdır. 2026 yılında 7578 sayılı Kanun’la sosyal ağ sağlayıcılara ilişkin düzenlemeler getirilmiş; 10 Ekim 2026’da yayımlanan ilgili Yönetmelik’te on beş yaşını doldurmamış çocuklara hizmet sunulmaması ve daha büyük çocuklar için ayrıştırılmış hizmet öngörülmüştür. Yönetmeliğin yürürlük tarihi 1 Kasım 2026’dır; mevcut hesapların yaş doğrulaması için belirlenen 31 Mart 2027 tarihi ayrı bir geçiş kuralıdır. Bu düzenlemelerdeki hizmete erişim, yaş doğrulama ve ebeveyn kontrolü hükümleri, her türlü kişisel veri kullanımına genel izin veren bir rıza rejimi olarak okunamaz. Sosyal ağlara ilişkin ayrıntılar 26. bölümde ele alınacaktır.³³

9.5. Hizmet koşulları, bağlı rıza, teşvikler ve yanıltıcı tasarımlar

Bir veri işleme faaliyetinin hizmet için gerekli olması ile veri sorumlusunun onu hizmet koşulu hâline getirmesi farklıdır. Teslimat için adresin kullanılması, sözleşmenin ifası bakımından gerekli olabilir; alışveriş geçmişinin başka amaçlarla değerlendirilmesi ise ayrıca incelenir. Veri sorumlusunun ikinci faaliyeti sözleşme metnine yazması, tek başına bu gerekliliği oluşturmaz. Rızanın hangi kullanım için istendiği belirlenmeden, hizmete devam edebilmek için verilen onayın özgür iradeye dayandığı da söylenemez.³⁴

Bağlı rıza sorunu, bu ayrımın işlem akışında kaybolduğu yerde ortaya çıkar. Bir kullanımın isteğe bağlı olduğu yazıldığı hâlde ret sonrasında temel hizmetin tamamlanamaması, metin ile uygulama arasında uyumsuzluk yaratır. 9.2’de incelenen randevu kararıyla 9.3’te ele alınan SMS ilke kararı, tanıtım onayının hizmeti tamamlamak için gerekliymiş gibi sunulmasının sonuçlarını göstermektedir. Bu nedenle inceleme, formda “isteğe bağlı” ibaresi bulunup bulunmadığının yanında, kişi onay vermediğinde gerçekte ne olduğuna yönelmelidir.³⁵

Bununla birlikte ek bir menfaatin sunulması, her durumda temel hizmetin engellenmesiyle aynı değildir. Kurulun 2019/198 sayılı karar özetinde, sadakat programına katılmayanların mağazadan alışveriş yapmaya devam edebildiği ve ürünlerin program üyelerine indirimli sunulduğu değerlendirilmiştir. Kurul, somut olaydaki ek menfaati açık rızanın hizmetin ön şartı olarak dayatılması saymamıştır. Kararın hareket noktası, alışveriş imkânının ortadan kaldırılmamasıyla programın sunduğu ek menfaatin ayrılmasıdır. Buradan bütün indirimlerin, her miktarda ve her veri kullanımı için rızayı geçerli kıldığı sonucu çıkmaz.³⁶

2023/890 sayılı hava yolu kararı da temel hizmet ile sadakat programını ayırır. Kurul, programa katılmadan uçak bileti alınabildiğini; somut olayda birikmiş milleri görmenin değil, ek mil kazanmanın üyeliğe bağlı olduğunu saptamıştır. Ayrıca birikmiş millerin farklı kanallardan görüntülenebildiğini dikkate almıştır. Dolayısıyla kazanılmış bir imkâna erişimin yeni pazarlama onayına bağlandığı iddiası ile programa katılarak ilave menfaat elde edilmesi aynı olay kabul edilmemiştir. Rıza değerlendirmesinde kişinin hangi imkânı kaybettiği veya hangi ek imkânı elde edemediği bu nedenle açıkça belirlenmelidir.³⁷

Ekonomik etkinin nasıl değerlendirileceği öğretide tartışmalıdır. Selek, yaptırımın hafifliğinin rızayı geçerli bırakabileceği görüşünü aktardıktan sonra, hafif bir yaptırıma maruz bırakılmanın da özgür iradeyle bağdaşmayacağını savunur. Gürler ise yaptırımın ağırlığının tek başına ölçüt olmasını eleştirerek kişinin durumu ve alternatifler üzerinde durur. Kurulun ek menfaate ilişkin kararlarıyla birlikte bakıldığında, tartışmanın yalnız parasal tutar üzerinden yürütülemeyeceği görülür. Mevcut hizmete erişimin zorlaştırılması, kişinin önceden elde ettiği imkânı kullanamaması ve yeni bir programa katılmadığı için ek avantaj kazanmaması ayrı değerlendirme konularıdır.³⁸

Karşılaştırmalı hukukta EDPB, sözleşme için gerekli olmayan veri kullanımına rızanın hizmete bağlanmasını özellikle sıkı inceler. Aynı veri sorumlusunun ek kullanımı içermeyen, gerçekten eşdeğer bir hizmet sunması ile kişiye başka bir işletmeye gitmesinin söylenmesini ayırır. İkinci durumda tercih imkânı, başka işletmelerin davranışına ve kişinin oraya geçebilmesine bağlıdır. Bu yaklaşım, alternatifin yalnız adı bulunmasının yeterli olmadığını açıklamaya yardımcı olur. Bununla birlikte bu rehberin GDPR bağlamındaki değerlendirmesi, Türk hukukunda bütün indirim veya ücret modellerini tek başına çözen bir hüküm değildir.³⁹

Sadakat programına katılımın kabul edilebilir olması, program içindeki bütün işlemleri de hukuka uygun kılmaz. Kurumun 2026/266 sayılı ilke kararına ilişkin duyurusu, bir başkasının telefon veya kart numarasını doğrulama olmadan kullanarak alışveriş yapabilmesi üzerinde durmaktadır. Bu durumda yanlış kişinin hesabına işlem yazılması ve onun adına belge düzenlenmesi gibi ayrı sorunlar ortaya çıkabilir. İndirimin veya program üyeliğinin hukuki değerlendirmesiyle, belirli işlemin doğru kişiyle ilişkilendirilmesi ve veri güvenliği ayrı incelemeler gerektirir. Üyelik rızası bunların yerine geçmez.⁴⁰

Tercihin arayüzde nasıl sunulduğu da aynı incelemenin parçasıdır. EDPB’nin sosyal medya arayüzlerine ilişkin rehberi, kişiyi istemediği kararlara yönelten yanıltıcı tasarımları ele alır. Rızanın açık veya kapalı olduğunu anlaşılmaz kılan düğmeler, ilan edilen işlemi gerçekleştirmeyen bağlantılar ve ret sonrasında düzenli kullanımı engelleyecek biçimde tekrarlanan talepler bu kapsamda incelenir. Bu örneklerin değeri, belirli bir renk veya düğme biçimini tek başına yasaklamalarında değildir; kullanıcının gördüğü seçenekle sistemin yaptığı işlem arasındaki ilişkiyi sorgulatmalarındadır.⁴¹

Türk hukukunda bu tür bir uygulamanın değerlendirilmesi, somut işleyişin Kanun’daki belirli konu, bilgilendirme ve özgür irade unsurlarına etkisi üzerinden yapılmalıdır. Örneğin kabul düğmesi bir veri kullanımına izin verirken yanındaki ret düğmesinin yalnız pencereyi kapatması ve aynı kullanımın başlaması, ret iradesini etkisizleştirir. Bir onay ekranı, seçimin sonucunu doğru açıklamalı ve yapılan tercihi fiilen uygulamalıdır. Aşağıdaki sorular, bu incelemede biçimsel onayla gerçek tercih arasındaki farkı ortaya çıkarmaya yardımcı olur.⁴²

9.6. Rızanın kapsamı, süresi ve geri alınmasının sonuçları

Rızanın kapsamı, yalnız hangi verilerin kullanılacağını değil, bu kullanımın amacını ve zaman içindeki sınırını da belirler. Bir etkinliğin tanıtımı için görüntü kullanımına verilen izin, aynı görüntünün her yeni kampanyada kullanılmasını kendiliğinden kapsamaz. Rıza metninde tarih bulunmaması da veriyi süresiz işleme yetkisi vermez. Kanun’un 4. maddesindeki amaçla sınırlılık ve gerekli süre kadar muhafaza ilkeleri, rızaya dayalı işlemede de geçerlidir.⁴³

Rızanın devamı bu nedenle yalnız takvimle izlenemez. Kişiye açıklanan işlemenin kapsamı veya amacı önemli ölçüde değiştiğinde, eski beyanın yeni faaliyeti kapsayıp kapsamadığı yeniden değerlendirilmelidir. EDPB, GDPR’de bütün rızalar için tek bir geçerlilik süresi bulunmadığını, sürenin bağlama ve başlangıçtaki kapsama bağlı olduğunu açıklar; uygun aralıklarla yenilemeyi ise iyi uygulama olarak önerir. Bu öneri, Türk hukukunda her yıl yeniden rıza alma zorunluluğu biçiminde uygulanamaz. Yeni bir amaç için gereken hukuki sebep ve bilgilendirme ayrıca belirlenir; değişen amaçların kayıtlara yansıması 9.7’de ele alınacaktır.⁴⁴

İlgili kişi rızasını geri alarak, kabul ettiği işlemenin gelecekte sürmesine ilişkin kararını değiştirebilir. Kurum, bu imkânı kişisel verilerin geleceğini belirleme hakkıyla ilişkilendirir ve geri alma beyanının veri sorumlusuna ulaştığı andan itibaren sonuç doğuracağını belirtir. Çelikel de tek taraflı hukuki işlem yaklaşımından hareketle geri almayı veri sorumlusunun kabulüne bağlı görmez. Böylece veri sorumlusunun talebi uygun bulmasıyla kişinin rızasını geri alması birbirinden ayrılır.⁴⁵

Geri alma yolunun kullanılabilir olması, bu imkânın kâğıt üzerinde tanınması kadar önemlidir. Çelikel, elektronik ortamda kolaylıkla verilen rızayı geri almak için ıslak imzalı belge istenmesini eleştirir; geri alma imkânının başlangıçta açıklanmasını özgür iradeyle ilişkilendirir. AB hukuku bakımından EDPB de çevrim içi tek hareketle verilen pazarlama rızasının yalnız çalışma saatlerinde telefon edilerek geri alınabildiği örneği, GDPR’nin kolaylık şartıyla bağdaşmaz bulur. Türk hukukunda somut yöntemin değerlendirilmesi, kişinin tercih değiştirmesini gereksiz yere güçleştirip güçleştirmediği ve rızanın özgür iradeye dayanması bakımından yapılmalıdır.⁴⁶

Geri almanın ileriye etkisi, başlangıçta geçerli rızaya dayanılarak hukuka uygun biçimde tamamlanmış işlemlerin yalnız bu nedenle sonradan hukuka aykırı hâle gelmemesidir. Bu sonuç, geçmişteki her işlemin hukuka uygun olduğunun kabulü değildir. Başlangıçta yeterli bilgi verilmemiş, rızanın kapsamı aşılmış veya diğer ilkeler ihlal edilmişse bu eksiklikler ayrıca değerlendirilir. Kişinin bugün karar değiştirmesi, önceki bir hukuka aykırılığı gidermez; önceki geçerli rıza da geri alma sonrasındaki kullanımı haklı kılmaz.⁴⁷

İşlemeyi durdurmakla eldeki verinin bundan sonraki durumunu belirlemek de ayrı sorulardır. Verilerin işlenmesini gerektiren sebepler ortadan kalkmışsa Kanun’un 7. maddesi uyarınca silme, yok etme veya anonim hâle getirme yükümlülüğü doğar; bunun için kişinin ayrıca talepte bulunması şart değildir. Buna karşılık aynı veri, baştan belirlenmiş farklı bir amaç için bağımsız bir hukuki sebebe dayanılarak işleniyorsa o faaliyetin şartları ayrıca incelenir. Örneğin tanıtım kullanımına verilen rızanın geri alınması, gerçekten uygulanabilir bir kanuni saklama yükümlülüğünü kendiliğinden ortadan kaldırmaz. Böyle bir yükümlülük de verinin yeniden tanıtımda kullanılmasına izin vermez.⁴⁸

Bu ayrım, geri alınan rızanın yerine sonradan başka bir dayanak yazılarak aynı kullanımın sürdürülmesiyle karıştırılmamalıdır. Kurum, başka işleme şartı mevcutken kişiye rıza sorulmasının ve geri alma sonrasında aynı faaliyete diğer şartlarla devam edilmesinin yanıltıcı ve dürüstlük ilkesine aykırı olacağını açıklamaktadır. Çelikel ise geri alma sonrasında diğer şartlara dayanılabilmesi için yeniden bilgilendirme yanında yeniden rıza da alınması gerektiğini savunur. Bu görüşün bilgilendirme ve beklentiye ilişkin gerekçesi ile Kanun’daki rıza dışı şartların bağımsız işlevi farklıdır. Rızaya dayanmayan işleme şartının somut koşulları ile aydınlatma yükümlülüğü ayrı incelenmelidir. Bilgilendirme, koşulları bulunmayan bir işleme şartını var hâle getirmez; başka amaç için geçerli bir dayanağın bulunması da geri alınan rızaya dayalı eski kullanımın sürdürülmesine izin vermez.⁴⁹

Veri sorumlusu bu nedenle geri alma bildirimini hangi amaç ve işlemleri kapsadığı yönünden uygulamalıdır. Bir kişinin yalnız görüntüsünün tanıtımda kullanılmasına ilişkin rızasını geri almasıyla bütün veri işleme faaliyetlerinin sona ermesini istemesi aynı kapsamda değildir. Rızaya dayalı ilgili kullanım durdurulmalı; devam eden başka işleme varsa amacı, dayanağı ve sınırı açıklanabilmelidir. Verinin sistemde bulunmaya devam etmesi, onu bütün eski amaçlarla kullanma serbestisi vermez. Bildirimin içeriği, ulaştığı zaman ve yapılan işlemler arasındaki bağın korunması, sonraki bir uyuşmazlıkta bu ayrımın denetlenmesini sağlar.⁵⁰

9.7. Rıza kayıtları ve değişen amaçlar; ticari ileti onayından ayrım

Rıza kaydının işlevi, geçmişte bir onay alınmış olduğunu göstermekle sınırlı değildir. Veri sorumlusu, bugün yürüttüğü işlemenin o beyanın kapsamında kalıp kalmadığını da belirleyebilmelidir. Bu nedenle kaydın ilgili kişi, amaç, kabul edilen metin ve sonraki tercih değişiklikleriyle ilişkilendirilmesi gerekir. Örneğin geri alınmış bir rızanın eski kaydının ispat için saklanması, sistemde hâlen kullanılabilir izin olarak görünmesini haklı kılmaz. Geçmişteki beyanı kanıtlayan kayıt ile güncel işlemi yöneten tercih birbirinden ayrılmalıdır.⁵¹

Yeni bir amaç ortaya çıktığında eski kaydın kapsamı geriye dönük olarak genişletilemez. Teslimat için bildirilen iletişim bilgisinin daha sonra kampanya duyurularında kullanılmak istenmesi, önceki talebin devamı sayılmadan değerlendirilmelidir. İşlemenin yeni amacı, buna uygulanacak hukuki sebep ve kişiye verilmesi gereken bilgi belirlenir; rızaya dayanılacaksa bu kullanımı kapsayan geçerli bir açıklama bulunmalıdır. Yalnız veri tabanındaki amaç başlığını veya aydınlatma metnini değiştirmek, kişinin daha önce kabul etmediği kullanımı kabul etmiş olduğu anlamına gelmez.⁵²

Ticari elektronik ileti onayı bu çerçevede özel bir inceleme gerektirir. 6563 sayılı Kanun’un 6. ve 7. maddeleri, iletinin gönderilebilmesi ve içeriğinin alınan onaya uygun olmasıyla ilgilidir. KVKK bakımından ise iletişim bilgisinin elde edilmesi, saklanması ve kullanılması birer veri işleme faaliyetidir. Aynı irade açıklaması bu işlemlerle bağlantılı olabilir; ancak “ileti gönderebilir miyim?” sorusu ile “bu veriyi hangi amaç ve şartla işleyebilirim?” sorusu ayrı cevaplandırılmalıdır. Balaban da iki kanunun ilişkisini incelerken öğretide bunların konuya göre birlikte uygulanmasını savunan yaklaşımları aktarmaktadır.⁵³

Kurulun 2022/107 sayılı karar özeti, İleti Yönetim Sistemi’ndeki kaydın bu incelemeyi ortadan kaldırmadığını gösterir. Olayda veri sorumlusu, telefon numarasının İYS’ye bildirilmesine ve ilgili kişinin süresi içinde aksi yönde beyan vermediği savunmasına dayanmıştır. Kurul ise sunulan belgelerde, numaranın kaydına temel oluşturacak ilişkinin veya kişisel verinin işlenmesine açık rızanın gösterilemediğini saptamıştır. Ticari elektronik ileti mevzuatıyla kişisel verilerin korunması mevzuatının birlikte uygulanması gerektiğini de belirtmiştir. Dolayısıyla sistemde onay görünmesi, bu onayın hangi ilişki ve beyana dayandığının araştırılmasını gereksiz kılmaz.⁵⁴

Onayın alınma biçimine ilişkin özel kurallar da genel rıza açıklamasından ayrı gözetilmelidir. Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik’in 7. maddesi, fiziki ortamda alınan onayda imza aranmasını ve olumlu irade beyanının önceden seçilmiş olmamasını düzenler. Bu kurallar, KVKK açık rızasının her durumda yazılı şekle bağlı olduğu sonucuna dönüştürülemez. Tersinden, açık rızanın genel olarak belirli bir yazılı şekle bağlı olmaması da ticari ileti onayı için öngörülen özel koşulları ortadan kaldırmaz. İşlem tasarlanırken hangi beyanın hangi kurala tabi olduğu belirlenmelidir.⁵⁵

Ret bildirimiyle geri almanın kapsamı da bu nedenle doğru anlaşılmalıdır. 6563 sayılı Kanun’un 8. maddesi alıcının gerekçe göstermeden ticari elektronik iletileri reddedebilmesini, bildirimin kolay ve ücretsiz yapılabilmesini ve talebin ulaşmasını izleyen üç iş günü içinde gönderimin durdurulmasını düzenler. Bu süre, KVKK kapsamında eldeki bütün kişisel verilerin silinmesi için tanınmış genel bir süre değildir. Retten sonra hangi ileti ve kullanımların duracağı, hangi kayıtların farklı amaçlarla tutulabileceği ve rızaya dayalı işlemenin devam edip edemeyeceği ayrıca değerlendirilir. Kişinin yalnız bir iletişim kanalına ilişkin tercih değiştirmesiyle bütün verilerinin her amaçla işlenmesine ilişkin talebi de birbirine karıştırılmamalıdır.⁵⁶

Kayıtların saklanmasında sürenin başlangıcı, sürenin uzunluğu kadar önemlidir. Yönetmelik’in 13. maddesi, onay kayıtlarında onayın geçerliliğinin sona erdiği tarihi, diğer ticari ileti kayıtlarında ise kayıt tarihini esas alan bir ayrım kurmuştur. 4 Ocak 2020 tarihli değişiklik, bu hükümdeki bir yıllık süreyi üç yıla çıkarmıştır. Bu sistematikte onayın sona ermesi ile ona ilişkin kaydın saklanma ihtiyacının sona ermesi aynı an değildir. Bununla birlikte kayıt saklama yükümlülüğü, onayı sona ermiş kişiye yeniden pazarlama iletisi gönderme yetkisi vermez.⁵⁷

“Aranmayacaklar Listesi” gibi ret tercihini uygulamaya yarayan kayıtlar da yalnız adlarına bakılarak hukuka uygun sayılamaz. 2021/584 sayılı karar özetinde Kurul, verisi hukuka uygun elde edilmiş bir kişinin onayını geri çekmesiyle listeye alınmasını anlaşılabilir bulurken, somut olayda hukuki dayanak olmadan elde edilen verinin bu listede işlenmeye devam edilmesini ayrı değerlendirmiştir. Dolayısıyla başlangıçtaki hukuka aykırı edinim, verinin daha sonra bir engelleme listesine taşınmasıyla giderilmiş olmaz. Kaydın hangi veriyi, hangi amaç ve dayanakla tuttuğu belirlenmelidir.⁵⁸

Rıza yönetimi bu bakımdan onay toplama işlemi kadar, tercihi doğru uygulama sorumluluğudur. Gönderimi durdurmak için gerekli sınırlı bir kayıt, pazarlama listesinden işlevi ve erişim yetkileri bakımından ayrılmalıdır; böyle bir kaydın gerekliliği ve tutulacağı süre de ayrıca gerekçelendirilmelidir. İspat amacıyla tutulan bilgi yeniden kampanya seçimi için kullanılmamalı, eski bir kayıt sisteme aktarıldığında güncel ret tercihi kaybolmamalıdır. Aşağıdaki ayrım, belirli bir yazılımı zorunlu kılmadan kayıtla yapılan işlem arasındaki hukuki bağı görünür kılar.⁵⁹

Bölümün dipnotları

İçindekiler · Ayrıntılı kitap planı