1. Giriş

Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 24 Mart 2026 tarihli ve 33203 sayılı Resmî Gazete’de yayımlanan İlke Kararı (“İlke Kararı”) ile kişisel verilerin işlenmesine ilişkin uygulamada önem arz eden hususlar değerlendirilmiş ve tereddüt yaratan bazı konulara açıklık getirilmiştir.

Bu bülten, söz konusu İlke Kararı’nın getirdiği temel ilkeleri, veri sorumluları bakımından doğurabileceği yükümlülükleri ve uygulamaya etkilerini özetlemek amacıyla hazırlanmıştır.

2. İlke Kararı’nın Amacı ile Uygulamada Sık Karşılaşılan Hukuka Aykırılıklara Karşı Kurul Önerileri

İlke Kararı ile; kişisel veri işleme süreçlerinde dikkat edilmesi gereken temel ilkeler yeniden vurgulanmış, uygulamada sıkça karşılaşılan hatalı veri işleme pratikleri ele alınmış ve veri sorumlularının hukuka uygunluk yükümlülükleri daha somut ve anlaşılır bir çerçevede ortaya konulmuştur.

Kurul tarafından, veri sorumlusunun sunduğu hizmetin açık rıza şartına bağlanmaması gerektiği hususu özellikle vurgulanmış; açık rızanın ancak özgür iradeye dayanması halinde geçerli olacağı hatırlatılmıştır.

Kurul, incelemelerinde aşağıdaki hataların yaygın olduğunu tespit etmiştir:

5. Açık rıza ve aydınlatma metinlerinin tek bir metin halinde sunulması
5. Aydınlatma yapıldığına dair ilgili kişiden onay/rıza talep edilmesi
5. Veri sorumlularının faaliyetlerine uygun olmayan metinleri başka veri sorumlularından alıp birebir kullanması
5. Sade bir dil kullanılmaması, genel nitelikte, eksik, karışık veya yanıltıcı bilgilere yer verilmesi
5. Çok detaylı, karmaşık ve uzun metinlerin kullanılması

Bu hataların önüne geçebilmek için;

5. Aydınlatma yükümlülüğünün ilgili kişinin talebi veya onayı bulunup bulunmadığına bakılmaksızın yerine getirilmesi,
5. Aydınlatma ve açık rıza metinlerinin ayrı metinler halinde düzenlenmesi, tek sayfada düzenleneceği takdirde farklı başlıklar altında düzenlenmesi,
5. Gerekmediği takdirde kişilere açık rıza metni sunulmaması,
5. Aydınlatma metninin okunduğuna ve bilgi edinildiğine ilişkin geri bildirim alınması, ancak metindeki ifadeler için ayrıca onay talep edilmemesi,
5. Metinlerde kullanılan açık, anlaşılır ve sade olması; muğlak ve yanıltıcı bilgilere yer verilmemesi,
5. Aydınlatma metinlerinde işlenen kişisel veriler ve veri kategorilerinin işlenme amaçları ile hukuki sebeplerinin açık ve net bir biçimde ifade edilmesi gerektiği ortaya konulmuştur.

3. Sonuç ve Yaptırımlar

Kurul, bu ilke kararında belirtilen hususların veri sorumlusu tarafından alınması gereken idari ve teknik tedbirler kapsamında olduğunu hatırlatmıştır.

Belirtilen usul ve esaslara uygun hareket etmeyen veri sorumluları hakkında 6698 sayılı Kanun kapsamında 27.037 Türk Lirasından 1.802.640 Türk Lirasına kadar idari yaptırım uygulanabilecektir.

Bu çerçevede veri sorumlularının, mevcut veri işleme süreçlerini ve metinlerini gözden geçirmeleri, gerekli uyum adımlarını gecikmeksizin atmaları; hem idari yaptırımların önlenmesi hem de kurumsal veri yönetimi süreçlerinin güçlendirilmesi bakımından önem arz etmektedir.

Saygılarımızla,

Gülaç Hukuk Bürosu