Hizmet açık rıza şartına bağlanabilir mi?

Bir hastanenin internet sitesinden randevu almaya çalıştığınızı düşünün. Adınızı, kimlik numaranızı ve telefonunuzu yazıyorsunuz; formun altında "hizmet ve duyurularımızdan haberdar olmak için verilerimin kullanılmasına izin veriyorum" diye bir kutu var. İşaretlemeden "ileri" düğmesine bastığınızda kutu kırmızıya dönüyor ve randevu tamamlanmıyor.

Kişisel Verileri Koruma Kurulu bu formu inceledi ve sağlık kuruluşuna 300.000 TL idari para cezası verdi. Bu yazıda, hizmeti açık rıza şartına bağlayan şirketler hakkında Kurul'un verdiği kararları, cezanın geldiği ve gelmediği hâlleri ve konuya ilişkin 2026 tarihli ilke kararını ele alıyoruz.

Açık rıza neden bir hizmetin şartı olamaz?

Kanun'un 3'üncü maddesi açık rızayı "belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza" olarak tanımlar. Üç unsurdan en kırılganı sonuncusudur: rıza vermeyen kişi hizmetten mahrum kalıyorsa, verdiği onay artık özgür iradenin ürünü değildir. Kişi onay vermek istediği için değil, hizmete ulaşmak için kutuyu işaretlemiştir.

Kurul bu durumu kararlarında aynı kalıpla değerlendiriyor: açık rızanın hizmetin ön şartı yapılması rızanın "özgür iradeyle açıklanma" unsurunu sakatlar; bu da Kanun'un 4'üncü maddesindeki hukuka ve dürüstlük kurallarına uygun olma ilkesine aykırıdır. Ceza, veri güvenliğine ilişkin yükümlülükleri düzenleyen 12'nci maddenin birinci fıkrası üzerinden, 18'inci maddenin (b) bendi uyarınca verilir.

Açık rızanın unsurları ve rızayı geçersiz kılan diğer uygulamalar için açık rızada en sık yapılan hatalar yazımıza bakabilirsiniz.

Kurul bu durumlarda nasıl karar verdi?

Tablonun ilk üç satırı cezayla, son iki satırı cezasız sonuçlanmış. İkisi arasındaki çizgiyi anlamak, formlarınızı doğru kurmanın anahtarıdır.

Randevu formu dosyasında Kurul neyi tespit etti?

2023/692 sayılı karar, bu konudaki en öğretici karardır; çünkü Kurul tek bir formda üç ayrı hata tespit etmiştir.

Birincisi, rızanın ön şart yapılması. Pazarlama kutusu işaretlenmedikçe randevu işlemi tamamlanmıyordu. Kurul, bunun açık rızanın özgür irade unsurunu sakatladığını tespit etti.

İkincisi, gereksiz yere rızaya dayanılması. Randevu için gereken kişisel veriler zaten açık rıza dışındaki bir işleme şartına dayanabilirdi. Kurul'a göre böyle bir durumda açık rızaya dayanmak **"aldatıcı ve hakkın kötüye kullanımı niteliğinde"**dir.

Üçüncüsü, aydınlatmaya onay istenmesi. Formda "Aydınlatma metnini okudum… verilerimin işlenmesine onay veriyorum" ifadesi vardı. Kurul, bunun ilgili kişilerde aydınlatma metnine onay veriliyormuş izlenimi yarattığını belirterek "onay veriyorum" ifadesinin çıkarılmasını ve yalnızca metnin okunduğuna dair bir kutucuk bırakılmasını talimatlandırdı.

Dikkat çekici bir ayrıntı: veri sorumlusu, ihbardan sonra formu düzeltmişti ve Kurul inceleme başladığında pazarlama kutusu artık zorunlu değildi. Buna rağmen ceza verildi. Sonradan yapılan düzeltme, ihlal anındaki durumu ortadan kaldırmıyor — ceza tutarını belirleyen etkenler yazımızda ihlal kararlarında gördüğümüz tabloyla aynı.

Rıza gerekmiyorsa istemek de ihlal mi?

Evet — ve bu, uygulamada en az bilinen noktadır. 2024/1393 sayılı karardaki olayda bir yolcu, uçuş sırasında sunulan internet hizmetine bağlanmak istemiş; üyelik ekranında havayolu şirketine bildirdiği bilgilerin doğrulama amacıyla paylaşılmasına "kabul ediyorum" demeden ilerleyememişti.

Kurul, yolcunun soyadı ve koltuk ya da bilet numarasının internet servis sağlayıcısına aktarılmasının hizmetin ifası gereği zorunlu olduğunu, yani açık rızaya ihtiyaç duyulmadan zaten mümkün olduğunu tespit etti. Buna rağmen açık rıza istenmesini, ilgili kişinin "yanıltılması ve yanlış yönlendirilmesi" olarak değerlendirdi ve servis sağlayıcıya 90.000 TL ceza verdi.

Mantık şudur: açık rıza, reddedilebilir olduğu için değerlidir. Reddedildiğinde hiçbir şey değişmeyecek bir işleme için rıza istemek, kişiye sahip olmadığı bir seçimi varmış gibi gösterir.

Bunun tersi de doğrudur ve 2023/1863 sayılı karar bunu gösterir: belediye kütüphanesi üyelik için ad, doğum tarihi, adres ve telefon istemişti; ama bu verileri açık rızaya değil, sözleşmenin kurulması ve bir hakkın tesisi şartlarına dayandırmıştı. Kurul, burada açık rızanın ön şart olarak talep edilmediği sonucuna vardı. Bir hizmet için gerekli veriyi zorunlu tutmak ihlal değildir; ihlal, o veriyi rızaya bağlamaktır.

Sadakat programını rızaya bağlamak da ihlal mi?

Hayır — Kurul'un burada önemli bir ayrım yaptığı görülüyor. 2023/890 sayılı karardaki olayda bir havayolu şirketi, özel yolcu programına üyeliği pazarlama amaçlı açık rızaya bağlamıştı. Kurul ceza vermedi.

Gerekçe, temel hizmet ile ek menfaat arasındaki ayrımdır. Yolcu, programa üye olmadan da şirketin temel hizmeti olan bilet satın alabiliyordu; program yalnızca ek imkânlar sunuyordu. Kurul, ek menfaatlerin açık rıza koşuluna bağlanmasının özgür iradeyi ortadan kaldırmadığını, bunun Avrupa Birliği mevzuatında da kabul gördüğünü belirtti ve daha önceki 2019/198 sayılı kararına atıf yaptı: sadakat programı kapsamında ürün ve hizmetlerin ek menfaatle ya da indirimli sunulması, açık rızanın koşul olarak dayatılması anlamına gelmez.

Ancak aynı kararda bir sınır da çizildi: şikâyetçinin görüntülemek istediği şey, zaten biriktirmiş olduğu millerdi ve bunun görüntülenmesi rızaya bağlı değildi; birçok başka yoldan erişilebiliyordu. Yani ek menfaat gerçekten ek olmalıdır. Kişinin halihazırda sahip olduğu bir hakka erişimi rızaya bağlamak, bu istisnanın kapsamına girmez.

Pratik ölçüt şudur: rıza vermeyen kişi, sizin asıl sattığınız ürün veya hizmeti alabiliyor mu? Alabiliyorsa ve rıza yalnızca gerçekten ek bir avantajın karşılığıysa, çizginin güvenli tarafındasınız.

2026/347 sayılı ilke kararı ne getirdi?

Kurul, 18.02.2026 tarihli ve **2026/347 sayılı "Veri Sorumluları Tarafından Açık Rıza ve Aydınlatma Metinlerinin Ayrı Ayrı Düzenlenmesi Gerektiği Hakkında İlke Kararı"**nı aldı; karar 24.03.2026 tarihli ve 33203 sayılı Resmî Gazete'de yayımlandı. Kararın gerekçesinde, açık rıza metniyle aydınlatma metninin iç içe sunulmasının Kuruma gelen ihbar ve şikâyetlerde en çok karşılaşılan hukuka aykırılıklardan biri olduğu belirtiliyor.

İlke kararı, 2023/692'de talimat olarak verilen düzeltmeyi genel bir kurala dönüştürüyor. Başlıcaları:

• Aydınlatma, kişinin talebine veya onayına bağlı olmaksızın, işleme hangi hukuki sebebe dayanırsa dayansın her durumda ve işlemeye başlamadan önce yapılır.
• İşleme açık rızaya dayanıyorsa aydınlatma metni ve açık rıza metni farklı başlıklar altında ayrı ayrı düzenlenir; aynı sayfada yer alacaklarsa alt alta, ayrı başlıklarla ve ayrı beyanlarla sunulur.
• İşleme açık rıza dışındaki bir şarta dayanıyorsa yalnızca aydınlatma yapılır, ayrıca açık rıza metni sunulmaz.
• Aydınlatma metni bir sözleşme değildir; bu yüzden "okudum ve kabul ediyorum", "okudum ve açık rıza veriyorum", "okudum ve onaylıyorum" gibi ifadeler yerine "okudum ve anladım" biçiminde bir beyan kullanılır.
• Başka bir veri sorumlusunun metni birebir kopyalanmaz.

Kararın son bölümü de önemlidir: bu hususlara uyulmadığının tespiti hâlinde veri sorumlusu hakkında Kanun'un 18'inci maddesi uyarınca işlem tesis edileceği kamuoyuna duyurulmuştur. İlke kararı Resmî Gazete'de yayımlandığı için, bundan sonraki bir incelemede "bilmiyorduk" savunmasının karşılık bulması zordur. Kararın ekinde iyi ve kötü uygulama şablonları da yer alıyor.

Formlarınızda bu hatalar var mı?

1. Pazarlama kutusu işaretlenmeden form ilerlemiyor. En net ihlal budur; kutu isteğe bağlı olmalı ve işaretlenmemesi hiçbir işlemi engellememelidir.
2. Hizmet için gereken veriye rıza isteniyor. Sözleşmenin ifası için zorunlu olan işleme için rıza istemek, 2024/1393'te tek başına ceza sebebi oldu.
3. "Okudum ve kabul ediyorum" kutusu. Aydınlatmaya onay istenmez; "okudum ve anladım" yeterlidir.
4. Aydınlatma ile rıza tek metinde. 2026/347 sayılı ilke kararıyla artık açık bir kurala aykırıdır.
5. Birden fazla amaç tek kutuda. 2024/1361'de Kurul, açık rıza metninde birleştirilen konuların ayrıştırılmasını ve ticari elektronik ileti rızasının hizmetin ön şartı yapılmamasını talimatlandırdı.
6. Sadakat programı istisnasını fazla geniş yorumlamak. Ek menfaat gerçekten ek olmalı; kişinin zaten sahip olduğu bir şeye erişim rızaya bağlanamaz.
7. Formu şikâyetten sonra düzeltip rahatlamak. 2023/692'de düzeltme cezayı engellemedi.

Bütüncül gözden geçirme

Bir formdaki rıza kutusunu değiştirmek tek başına bir tasarım işi değildir; her kutunun arkasında bir hukuki sebep kararı vardır. Kutuyu kaldırdığınızda o işlemenin hangi şarta dayandığı kişisel veri envanterinizde güncellenmeli; aydınlatma metniniz artık rızaya değil o şarta dayandığınızı söylemeli; açık rıza gereken işlemeler için ayrı bir açık rıza metni hazırlanmalı; pazarlama izinleri söz konusuysa İYS kayıtlarıyla uyum gözden geçirilmeli (e-ticarette pazarlama izni); değişiklik VERBİS kaydınızdaki işleme amaçları ve hukuki sebeplerle tutarlı hâle getirilmelidir. Daha önce ön şart olarak toplanmış rızaların geçerliliği de ayrıca değerlendirilmelidir; geçersiz bir rızaya dayanarak sürdürülen işleme, rıza hiç alınmamış gibi sonuç doğurur.

Hangi işlemenin rızaya, hangisinin başka bir şarta dayanacağının belirlenmesi bir hukuki değerlendirmedir ve formun tasarımından önce gelir. Bu nedenle formlarınızın ve metinlerinizin hukuki destek alınarak gözden geçirilmesini öneririz; Genç Partners bu değerlendirmede yol gösterir. Amaç bazlı, isteğe bağlı ve geri çekilebilir rızaların toplanması, saklanması ve ispatı tarafını ise açık rıza yönetimi hizmetimiz üstlenir.

Özet

• Açık rıza özgür iradeyle verilmelidir; hizmeti rızaya bağlamak bu unsuru sakatlar ve Kurul tarafından cezalandırılır (2023/692: 300.000 TL, 2024/1361: 250.000 TL).
• Gereksiz rıza da ihlaldir: işleme başka bir şarta dayanabiliyorsa rıza istemek "aldatıcı" ve "yanıltıcı" bulunmuştur (2024/1393: 90.000 TL).
• Hizmet için gerekli veriyi zorunlu tutmak ihlal değildir; ihlal o veriyi rızaya bağlamaktır (2023/1863).
• Sadakat programı istisnası: temel hizmet rıza olmadan alınabiliyorsa, ek menfaati rızaya bağlamak ön şart sayılmaz (2023/890); ek menfaat gerçekten ek olmalıdır.
• 2026/347 sayılı ilke kararı: aydınlatma ve rıza metinleri ayrı; rıza dışı şarta dayanılıyorsa rıza metni sunulmaz; "okudum ve anladım" kullanılır.
• Tutarlar kararların verildiği yıllara aittir ve her olayın koşullarına göre belirlenir.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Formlarınızdaki rıza ve aydınlatma kurgusunun değerlendirilmesi için hukuki destek alınız.