# Açık Rıza

- Yazar: Av. Ersan Çetin
- Alan: Kişisel Verilerin Korunması
- Yayın: 2025-03-15
- Son güncelleme: 2026-07-08
- Kaynak: https://ersancetin.av.tr/makaleler/kvkk-acik-riza/

> KVKK kapsamında açık rıza kavramı, geçerlilik unsurları, alınma yöntemleri, rızanın bağımsızlığı, geri alınması, işverenler ve çalışanlar açısından özel durumlar ve Kurul kararları ışığında pratik uygulamalar.

## 1. Giriş

Açık rıza, KVKK'nın temel kavramlarından biri olup, kişisel verilerin işlenmesinin hukuka uygunluk şartlarından birini oluşturur. Ancak açık rıza, diğer işleme şartlarının bulunmadığı hallerde başvurulması gereken "son çare" niteliğindedir. Uygulamada açık rızanın gereksiz veya hatalı kullanımı, hem veri sorumlularını hem de ilgili kişileri olumsuz etkileyebilmektedir.

**Karşılaştırmalı Hukuk**

**AB (GDPR Madde 7):** "Consent" kavramı detaylı düzenlenmiştir. Rızanın ispat yükü veri sorumlusuna aittir. Rıza, diğer hukuki temellerle eşit konumdadır, öncelikli değildir. Çocuklar için ebeveyn onayı zorunluluğu mevcuttur (16 yaş altı, üye devletler 13'e kadar indirebilir).

**ABD:** "Consent" kavramı sektörel yasalarda farklı şekillerde düzenlenmiştir. HIPAA'da "authorization", COPPA'da ebeveyn onayı, CCPA'da opt-out modeli benimsenmiştir.

**Almanya:** GDPR kuralları doğrudan uygulanır. İş hukuku bağlamında çalışan rızasının özgür olup olmadığı özellikle değerlendirilir (BDSG § 26).

**Türkiye:** KVKK Madde 3/1-a'da tanımlanmıştır. Açık Rıza Rehberi ile uygulama detayları belirlenmiştir.

## 2. Açık Rıza Tanımı

> **KVKK m. 3/1-a (Açık Rıza Tanımı)**
>
> Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı \[ifade eder.\]

Tanımdan anlaşılacağı üzere, açık rızanın geçerli olabilmesi için üç temel unsurun bir arada bulunması gerekir: (1) belirli bir konuya ilişkin olma, (2) bilgilendirilmeye dayanma ve (3) özgür iradeyle açıklanma.

## 3. Açık Rızanın Unsurları

### 3.1. Belirli Bir Konuya İlişkin Olma

Açık rıza, genel ve belirsiz bir konu için değil, belirli bir veri işleme faaliyeti için alınmalıdır. Hangi kişisel verilerin, hangi amaçlarla işleneceği açıkça belirtilmelidir.

| Geçersiz Rıza Örneği | Geçerli Rıza Örneği |
| --- | --- |
| "Tüm kişisel verilerimin işlenmesine onay veriyorum" | "E-posta adresimin aylık bülten gönderimi için kullanılmasına onay veriyorum" |
| "Verilerimin her türlü amaçla kullanılmasını kabul ediyorum" | "Konum bilgimin size en yakın mağazayı göstermek amacıyla işlenmesine onay veriyorum" |
| "KVKK kapsamında verilerimin işlenmesine rıza gösteriyorum" | "Fotoğrafımın sosyal medya hesaplarınızda paylaşılmasına onay veriyorum" |

**Kurul Uygulaması - Belirsiz Rıza**

Kurul kararlarında, "tüm kişisel verilerimin işlenmesine muvafakat ediyorum" şeklindeki genel rıza beyanlarının, "belirli bir konuya ilişkin olma" şartını taşımadığı için geçersiz olduğu değerlendirilmektedir.

### 3.2. Bilgilendirilmeye Dayanma

İlgili kişinin rıza vermeden önce yeterli düzeyde bilgilendirilmiş olması gerekir. Bu bilgilendirme, KVKK Madde 10 kapsamındaki aydınlatma yükümlülüğünün yerine getirilmesiyle sağlanır.

> **Önemli Not (Aydınlatma Önceliği)**
>
> Açık rıza alınmadan önce aydınlatma yükümlülüğü yerine getirilmelidir. Aydınlatma yapılmadan alınan rıza, "bilgilendirilmeye dayanan" unsurunun yokluğu nedeniyle geçersizdir.

| Bilgilendirilmesi Gereken Hususlar | Açıklama |
| --- | --- |
| Veri sorumlusu kimliği | Verileri kimin işleyeceği |
| İşlenecek veriler | Hangi kişisel verilerin işleneceği |
| İşleme amacı | Verilerin ne amaçla kullanılacağı |
| Aktarım bilgisi | Verilerin kimlere aktarılabileceği |
| Haklar | KVKK m.11 kapsamındaki haklar |
| Rızanın geri alınabileceği | Rızanın her zaman geri alınabileceği bilgisi |

### 3.3. Özgür İradeyle Açıklanma

Rıza, herhangi bir baskı, zorlama, tehdit veya yanıltma olmaksızın, ilgili kişinin kendi özgür iradesiyle verilmelidir. Bu unsur, özellikle güç dengesizliğinin bulunduğu ilişkilerde (işveren-çalışan, hizmet sağlayıcı-tüketici) önem taşımaktadır.

| Özgür İrade Yokluğu Örneği | Açıklama |
| --- | --- |
| Hizmet şartı olarak rıza | "Rıza vermezseniz hizmet alamazsınız" (zorunlu olmayan işleme için) |
| İşe alım şartı olarak rıza | "İşe alınmanız için rıza vermeniz gerekiyor" |
| Toplu rıza | Farklı amaçlar için tek onay kutusu |
| Önceden işaretli onay kutusu | Default olarak "kabul ediyorum" seçili |

**Kurul Uygulaması - Özgür İrade**

Kurul uygulamasında, temel hizmetin sunulması için gerekli olmayan veri işleme faaliyetleri için rızanın zorunlu tutulmasının, özgür irade unsurunu ortadan kaldırdığı kabul edilmektedir. Pazarlama gibi ek amaçlara yönelik rızanın opsiyonel olması gerekmektedir.

## 4. Açık Rızanın Alınma Şekli

KVKK, açık rızanın yazılı olarak alınmasını zorunlu kılmamaktadır. Rıza; sözlü, yazılı veya elektronik ortamda alınabilir. Ancak ispat yükü veri sorumlusuna ait olduğundan, yazılı veya elektronik yöntemler tercih edilmelidir.

| Yöntem | Uygulama | İspat Gücü |
| --- | --- | --- |
| Yazılı form | Islak imzalı rıza beyanı | Yüksek |
| Elektronik onay | Onay kutusu + IP/zaman damgası | Yüksek |
| E-posta onayı | Double opt-in (onay e-postası) | Yüksek |
| SMS onayı | Onay kodu gönderimi | Orta-Yüksek |
| Sözlü rıza | Telefon görüşmesi kaydı | Orta (kayıtlıysa) |

### 4.1. Opt-in Zorunluluğu

Açık rıza, ilgili kişinin aktif bir eylemiyle verilmelidir. Önceden işaretlenmiş onay kutuları (pre-ticked boxes) veya susma/hareketsizlik yoluyla rıza alınması geçersizdir.

> **GDPR Recital 32 (Aktif Eylem)**
>
> Rıza; yazılı (elektronik ortam dahil) veya sözlü bir beyan gibi, ilgili kişinin özgürce verilmiş, belirli, bilgilendirilmiş ve şüpheye yer bırakmayan iradesini ortaya koyan açık bir olumlu eylemle verilmelidir. Sessiz kalma, önceden işaretlenmiş kutular veya hareketsizlik rıza teşkil etmemelidir.

## 5. Rızanın Bağımsızlığı İlkesi

Açık rıza, hizmet sunumundan veya sözleşme ilişkisinden bağımsız olmalıdır. Temel hizmetin sunulması için gerekli olmayan veri işleme faaliyetleri, hizmetin ön koşulu olarak dayatılamaz.

**Bağımsızlık İlkesi Örnekleri**

**Uygun:** E-ticaret sitesinde sipariş işleme (sözleşme) ayrı, pazarlama e-postaları için rıza (açık rıza) ayrı alınması.

**Uygun Değil:** "Sipariş vermek için pazarlama e-postalarına onay vermeniz gerekmektedir" şeklinde bağlantılı rıza talep edilmesi.

## 6. Rızanın Geri Alınması

İlgili kişi, verdiği açık rızayı her zaman geri alabilir. Rızanın geri alınması, ileriye yönelik etki doğurur; geri alma tarihine kadar yapılan işlemlerin hukuka uygunluğunu etkilemez.

| Özellik | Rıza Verme | Rıza Geri Alma |
| --- | --- | --- |
| Kolaylık | -   | En az rıza verme kadar kolay olmalı |
| Maliyet | Ücretsiz | Ücretsiz |
| Etki zamanı | Rıza anından itibaren | Geri alma anından itibaren (ileriye dönük) |
| Yöntem | Yazılı/elektronik/sözlü | Yazılı/elektronik/sözlü (aynı kolaylıkta) |

**Kurul Uygulaması - Rıza Geri Alma**

Kurul uygulamasında, rıza geri alma taleplerinin yalnızca noter gibi ağır usuli koşullara bağlanmasının hukuka aykırı olduğu kabul edilmektedir. Rıza geri almanın en az rıza verme kadar kolay olması gerekmektedir.

## 7. Çalışan Rızası Özel Durumu

İşveren-çalışan ilişkisinde güç dengesizliği bulunduğundan, çalışandan alınan açık rızanın özgür iradeyle verilip verilmediği özellikle değerlendirilmelidir.

> **Dikkat (Çalışan Rızası)**
>
> İşverenler, çalışan verilerinin işlenmesi için öncelikle KVKK m.5/2'deki diğer işleme şartlarını değerlendirmelidir. Sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat gibi şartlar varsa, açık rızaya başvurulmamalıdır. Çalışandan alınan rızanın "özgür" olup olmadığı, güç dengesizliği nedeniyle her zaman sorgulanabilir durumdadır.

| İşleme Faaliyeti | Önerilen Hukuki Temel | Açık Rıza Gerekli mi? |
| --- | --- | --- |
| Bordro işlemleri | Sözleşmenin ifası + Hukuki yükümlülük | Hayır |
| SGK bildirimleri | Hukuki yükümlülük | Hayır |
| Şirket içi iletişim | Meşru menfaat | Hayır |
| Fotoğrafın web sitesinde yayınlanması | Açık rıza | Evet |
| Referans olarak verilmesi | Açık rıza | Evet |

## 8. KVKK ve GDPR Karşılaştırması

| Özellik | KVKK | GDPR |
| --- | --- | --- |
| Tanım unsurları | Belirli, bilgilendirilme, özgür irade | Aynı + "açık" (unambiguous) |
| Çocuk rızası | Özel düzenleme yok | 16 yaş altı için ebeveyn onayı (m.8) |
| İspat yükü | Veri sorumlusu | Veri sorumlusu (m.7/1) |
| Geri alma kolaylığı | Açık düzenleme yok (Rehber'de var) | Açık düzenleme (m.7/3) |
| Bağımsızlık ilkesi | Rehber'de belirtilmiş | Açık düzenleme (m.7/4) |

## 9. Sonuç

Açık rıza, kişisel verilerin işlenmesinin hukuka uygunluk şartlarından biri olmakla birlikte, "son çare" olarak değerlendirilmesi gereken bir mekanizmadır. Veri sorumluları, öncelikle KVKK m.5/2'deki diğer işleme şartlarını değerlendirmeli; bu şartların bulunmadığı hallerde açık rızaya başvurmalıdır.

Açık rızanın geçerli olabilmesi için üç unsurun (belirlilik, bilgilendirilme, özgür irade) bir arada bulunması zorunludur. Kurul kararlarında, özellikle güç dengesizliğinin bulunduğu ilişkilerde (işveren-çalışan) açık rızanın özgür iradeye dayanıp dayanmadığı titizlikle incelenmektedir. Uygulamada en sık karşılaşılan sorunlar; gereksiz yere rıza alınması, genel ve belirsiz rıza metinleri kullanılması ve rızanın hizmet şartı olarak dayatılmasıdır.

---

Bu çalışma yalnızca bilgilendirme amacıyla hazırlanmış olup hukuki tavsiye niteliği taşımaz. Mevzuat ve içtihatlarda meydana gelebilecek değişiklikler nedeniyle içerik zamanla geçerliliğini yitirebilir. İçeriğin somut olaylara uygulanması veya bu içeriğe dayanılarak alınan kararlar nedeniyle doğabilecek sonuçlardan sorumluluk kabul edilmez.