KVKK aydınlatma metni ile açık rıza arasındaki fark

E-ticaret sitelerinde en sık görülen hatalardan biri, üyelik ya da ödeme sayfasındaki "Aydınlatma metnini okudum, onaylıyorum" kutusudur. Kutu iyi niyetle konur ama iki farklı şeyi birbirine karıştırır. Aydınlatma metni, müşteriye verilerinin nasıl işleneceğini anlatan bir bilgilendirmedir ve onay gerektirmez. Açık rıza ise müşterinin belirli bir işlemeye verdiği ayrı bir iznidir ve yalnızca gerektiğinde istenir.

Bu yazıda ikisinin farkını, e-ticarette hangisinin ne zaman gerektiğini, sık yapılan hataları ve Sepetya panelinde bu ayrımın nasıl kurulduğunu anlatıyoruz.

Kısaca fark

Konu	Aydınlatma metni	Açık rıza
Nedir?	Verilerin kim tarafından, hangi amaçla, kimlere aktarılarak ve hangi hukuki sebeple işleneceğini anlatan bilgilendirme	Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza
Dayanağı	6698 sayılı Kanun m.10; Aydınlatma Tebliği	6698 sayılı Kanun m.3 ve m.5
Ne zaman gerekir?	Kişisel veri işlediğiniz her durumda, hukuki sebep ne olursa olsun	Yalnızca verinin işlenmesi için başka bir hukuki sebep yoksa; örneğin pazarlama iletileri ve zorunlu olmayan çerezler
Müşteri ne yapar?	Okur; onay vermesi gerekmez	Kendi iradesiyle verir; vermeyebilir
Nasıl sunulur?	Metin ya da bağlantı olarak; onay kutusu değildir	Ayrı, isteğe bağlı ve işaretsiz kutu ya da düğme

Aydınlatma metninde neler olmalı?

6698 sayılı Kanun m.10, kişisel veriler elde edilirken veri sorumlusunun ilgili kişileri beş konuda bilgilendirmesini ister: veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi, ve ilgili kişinin Kanun m.11'deki hakları. Mağazanızda veri sorumlusu, satıcı olarak sizsiniz.

Aydınlatma Tebliği bu içeriğin nasıl yazılacağını da belirler:

• Aydınlatma, verinin açık rızaya mı yoksa başka bir işleme şartına mı dayanarak işlendiğinden bağımsız olarak her durumda yapılır (Tebliğ m.5).
• İşleme amacı belirli, açık ve meşru olmalıdır; genel ve muğlak ifadeler ("ve benzeri amaçlar" gibi) kullanılmaz.
• Hukuki sebep açıkça yazılır: Kanun m.5'teki işleme şartlarından hangisine dayanıldığı belirtilir.
• Aktarım amacı ve alıcı grupları (kargo firmaları, ödeme kuruluşları, e-fatura sağlayıcıları, altyapı sağlayıcıları gibi) belirtilir.
• Dil anlaşılır, açık ve sade olmalı; eksik ya da yanıltıcı bilgi verilmemelidir.
• İşleme amacı değişirse, yeni amaçtan önce yeniden aydınlatma yapılır.
• Aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır.

Açık rıza ne zaman gerekir?

Kanun m.5, kişisel verilerin ilgili kişinin açık rızası olmadan işlenemeyeceğini söyler; ardından rıza aranmayan şartları sayar. Bunlar arasında sözleşmenin kurulması ya da ifasıyla doğrudan ilgili olması kaydıyla sözleşme taraflarının verilerinin işlenmesi, hukuki yükümlülüğün yerine getirilmesi için zorunlu olması ve temel hak ve özgürlüklere zarar vermemek kaydıyla meşru menfaat vardır. Bir mağazada bu şöyle işler:

• Sipariş ve teslimat: Ad, adres, telefon ve e-posta, siparişi teslim etmek için gereklidir; sözleşmenin ifası şartına dayanır. Bunun için ayrıca rıza istemezsiniz, yalnızca aydınlatırsınız.
• Fatura ve muhasebe kayıtları: Hukuki yükümlülüğe dayanır.
• Pazarlama iletileri: Bülten, kampanya e-postası ya da SMS siparişin gerektirdiği bir işlem değildir. Bunun için müşterinin ayrı izni gerekir; ticari elektronik iletiler için bu izin ayrıca Ticari İletişim Yönetmeliği'ndeki kurallara tabidir (İYS).
• Çerezler: KVKK'nın çerez rehberine göre sitenin çalışması için kesin zorunlu çerezler izin gerektirmez; analitik, reklam ve pazarlama çerezleri için açık rıza gerekir.

Hangi işlemenin hangi şarta dayandığı konusunda emin değilseniz bunu hukuk danışmanınızla netleştirin ve sonucu aydınlatma metnine açıkça yazın.

İkisini ayrı tutmak neden önemli?

Aydınlatma Tebliği net: işleme açık rızaya dayanıyorsa aydınlatma yükümlülüğü ile açık rızanın alınması ayrı ayrı yerine getirilir (Tebliğ m.5). Yani "Aydınlatma metnini okudum ve kabul ediyorum" kutusu tek başına açık rıza yerine geçmez; ikisini tek metinde ya da tek kutuda birleştirmek de "ayrı ayrı" kuralına aykırıdır.

KVKK'nın çerez rehberinde aktarılan Kurul değerlendirmesi (27/02/2020 tarihli ve 2020/173 sayılı karar) bu ayrımı bir üyelik örneği üzerinden açıklar. Gizlilik bildirimine "siteyi ziyaret ederek bildirimdeki uygulamaları kabul etmiş olursunuz" yazmak, aydınlatma yapılırken aynı anda açık rıza alınmış izlenimi yaratır. Kurul'a göre açık rıza dışında bir işleme sebebi varken açık rıza alınması dürüstlük kuralına aykırı yorumlanabilir; açık rıza gerektiren işlemlerde de aydınlatmanın ve rızanın birlikte yapılması mevzuata uygun kabul edilmez. Rıza ayrıca opt-in biçiminde, yani bireyin bilinçli eylemiyle verilmelidir; otomatik onay sayıp sonradan kaldırma imkânı tanıyan (opt-out) bir sistem yeterli değildir.

Ticari elektronik iletilerde kurallar daha da somuttur (Ticari İletişim Yönetmeliği m.7): onay, yazılı olarak ya da elektronik iletişim aracıyla ya da İYS üzerinden alınabilir; onay metninde olumlu irade beyanı önceden seçilmiş olamaz; onay vermek, mal ya da hizmeti sunmanın ön şartı yapılamaz; alıcıya gönderilen bir ticari iletiyle onay istenemez. Sözleşmenin içine dahil edilen onaylar sözleşmenin sonunda, ayrı bir başlık altında ve en az 12 punto olmalıdır.

Sık yapılan altı hata

1. Aydınlatmaya onay kutusu koymak. Aydınlatma bilgilendirmedir; bağlantı yeterlidir. Kutu, müşteriye onayın gerektiği izlenimini verir ve rızayla karışır.
2. Her şeyi tek kutuda toplamak. Üyelik sözleşmesi, aydınlatma ve pazarlama izni tek kutuda birleşirse ayrı ayrı yapılması gereken işlemler karışır ve rızanın özgür iradeyle verildiğini göstermek zorlaşır.
3. İşaretli kutu sunmak. Ticari elektronik ileti onayında önceden işaretlenmiş kutu açıkça yasaktır; açık rıza da aktif bir eylemle verilmelidir.
4. Pazarlama iznini sipariş şartı yapmak. Ticari ileti onayı, ürünü sunmanın ön şartı olarak istenemez.
5. Belirsiz amaç yazmak. "Hizmetlerimizin geliştirilmesi ve pazarlama faaliyetleri" gibi genel ifadeler Tebliğ'in aradığı belirlilikten uzaktır.
6. E-posta ve SMS için KVKK rızasını yeterli saymak. Ticari elektronik ileti için ayrıca onay alınır ve onay İYS'ye kaydedilir (Yönetmelik m.5 ve m.7). Ayrıntı için İYS rehberine bakın.

Mağazanızda hangi noktada ne gösterilir?

Nokta	Aydınlatma	Rıza ya da izin
Üyelik formu	Aydınlatma metnine bağlantı	İsteğe bağlı, işaretsiz kutular (açık rıza, ticari ileti izni)
Ödeme sayfası	"Kişisel verilerinizin işlenmesine ilişkin bilgi için" bağlantısı	İsteğe bağlı, işaretsiz ek onay kutusu (örneğin ticari ileti)
Bülten formu ve açılır pencereler	Formun altında bilgilendirme	Ticari ileti izni; e-postada çift onay
İletişim formu	"Bu formdaki bilgiler yalnızca talebinizi yanıtlamak için kullanılır" notu ve aydınlatma bağlantısı	Gerekmez
Çerez penceresi	Çerez politikası bağlantısı	Analitik ve pazarlama kategorileri için ayrı izin
Sosyal hesapla giriş	İlk girişte üyelik formundaki aydınlatma gösterilir	Üyelik formundaki onay kutuları yine gösterilir

Sepetya bu ayrımı panelde de korur. Online Mağaza › Müşteri Ayarları'ndaki "Üyelik onay kutuları" bölümünün notu şöyledir: aydınlatma metni bilgilendirmedir, onay kutusu değildir; açık rıza ayrı ve isteğe bağlı bir kutu olmalıdır; kutular işaretsiz gösterilir. Ödeme sayfasındaki ek onay kutuları da Ödeme Ayarları › Ödeme sayfası bölümünden eklenir ve işaretsiz gelir. Çerez penceresinde zorunlu olmayan kategoriler, ziyaretçi izin verene kadar yüklenmez.

Veri toplarken ölçülü olun

Kanun, kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını ister (m.4). Ödeme sayfasında her alanı sormak yerine siparişi teslim etmek ve faturalamak için gerçekten gerekenleri sorun. Sepetya Ödeme Ayarları › Ödeme sayfası bölümünde telefon, T.C. kimlik numarası, posta kodu ve kurumsal fatura alanlarını gizli, isteğe bağlı ya da zorunlu yapabilirsiniz. Bazı ödeme sağlayıcıları ve e-fatura entegrasyonları kimlik numarası ister; böyle bir zorunluluğunuz yoksa alanı gizli tutmak hem müşteriyi hem sizi korur. Zorunlu yaptığınız her alanın neden istendiğini aydınlatma metnindeki amaçlarda yazın.

Kanıt ve veri talepleri

Aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır; ticari ileti onaylarında da İYS üzerinden alınmayan onayların ispatı hizmet sağlayıcıya aittir. Bu yüzden kayıt tutmak gerekir. Sepetya siparişte verilen ticari ileti iznini, onayın IP adresi ve tarayıcı bilgisiyle sipariş kaydında saklar; bülten kayıtlarında kaynağı (üyelik formu, ödeme adımı, açılır pencere gibi) ve onay zamanını tutar. Müşteri kartındaki izinlerin kaynağı kayıtlıdır ve İYS yüklemelerinde kullanılır.

İlgili kişiler Kanun m.11 uyarınca verileri hakkında bilgi isteyebilir, düzeltme ve silme talep edebilir; başvurular talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılır (m.13). Müşteriler hesaplarından veri indirme ya da silme talebi gönderebilir; panelde Müşteriler › KVKK talepleri bölümünde bu talepleri görür, verileri JSON olarak indirir ve silme talebini tamamlarsınız. Siparişi olan bir müşterinin kişisel verileri silinmek yerine anonimleştirilir; sipariş, fatura ve sözleşme kayıtları mevzuattaki saklama süreleri boyunca anonim olarak korunur. Saklama sürelerini hukuk danışmanınızla doğrulayın.

Kontrol listesi

• Aydınlatma metni üyelik, ödeme, iletişim ve bülten formlarından bağlantıyla erişilebilir; yanında onay kutusu yok.
• Metinde veri sorumlusunun kimliği, belirli işleme amaçları, aktarılan alıcı grupları, toplama yöntemi, hukuki sebep ve m.11 hakları yazılı.
• Amaçlar genel değil, somut yazılmış ("siparişin teslimi", "faturalandırma", "onay verdiyseniz kampanya iletisi").
• Açık rıza ve ticari ileti izni ayrı, isteğe bağlı ve işaretsiz kutular; hiçbiri sipariş için zorunlu değil.
• Pazarlama iznini aldığım her müşteri için kaynağı ve zamanı kayıtlı.
• Çerez penceresinde zorunlu olmayan kategoriler kapalı geliyor ve reddetme seçeneği kabul kadar görünür.
• Veri talepleri için bir e-posta adresi ya da KEP adresi yayında; başvurulara otuz gün içinde yanıt veriyorum.
• Metni işletmeme göre düzenledim ve bir hukuk danışmanına gösterdim.

Sonraki adım

Çerezlerde izin nasıl kurulur sorusunu çerez onayı rehberinde, pazarlama iletilerinin izin kurallarını İYS rehberinde anlattık. Sitede bulunması gereken diğer yasal sayfalar için 12 sayfa rehberine bakabilirsiniz.

Aydınlatma ve rıza akışını Sepetya ile denemek isterseniz hesabınızı oluşturun; üyelik formunu ve ödeme sayfasını müşteri gözüyle kontrol edebilirsiniz.

Bu yazı hukuki/mali danışmanlık değildir.