KVKK Açık Rızası ile İYS (ETK) Onayı Arasındaki Fark

İki ayrı rejim: karşılaştırma

İYS'nin hizmet sağlayıcı SSS'si bu ayrımı kendisi de yapar: KVKK kapsamında aldığınız onayları İYS'ye yüklemeniz gerekmez, çünkü İYS 6563 sayılı Kanun kapsamındaki ileti izinlerinin veri tabanıdır. Ticaret Bakanlığı, Ticari Elektronik İletiler Genel Bilgiler sayfası ise açık rıza olmadan gönderilen iletiler için vatandaşların Kişisel Verileri Koruma Kurumu'na da başvurabileceğini belirtir. Yani tek bir izinsiz SMS iki ayrı kurumun önüne gidebilir.

KVKK tarafı: aydınlatma ve açık rıza

KVKK m.3/1-a açık rızayı belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar. m.5/1'e göre kişisel veriler kural olarak açık rıza olmadan işlenemez; m.5/2 ise açık rıza aranmayan şartları sayar (kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası, hukuki yükümlülük, meşru menfaat vb.).

Aydınlatma (KVKK m.10) bunlardan bağımsızdır. Veri elde edilirken veri sorumlusunun kimliği, işleme amacı, verinin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin m.11'deki hakları anlatılmalıdır. KVK Kurulu 2025/1072 kararının gerekçesinde de vurgulandığı gibi aydınlatma, açık rıza alınsa da alınmasa da yerine getirilmesi gereken bir yükümlülüktür; açık rızaya dayanılıyorsa aydınlatma ve rıza ayrı ayrı yapılmalıdır. Aydınlatma metni hazırlamak için aydınlatma metni nasıl hazırlanır yazısına bakabilirsiniz.

KVK Kurulu İlke Kararı 2018/119: rızasız reklam iletileri

16.10.2018 tarihli, 2018/119 sayılı karar 01.11.2018 tarihli Resmî Gazete'de (sayı 30582) yayımlandı ve 07.11.2018 tarihli Resmî Gazete'de (sayı 30588) düzeltildi. Kararın ana hükümleri:

• İlgili kişilerin rızasını almadan veya KVKK m.5/2'deki işleme şartlarını sağlamadan SMS, arama veya e-postayla reklam içerikli ileti yönlendiren veri sorumluları ve onlar adına bu verileri kullanan veri işleyenler, bu faaliyeti KVKK m.15/7 uyarınca derhal durdurmalıdır.
• Veri sorumlusu m.12 kapsamında gerekli teknik ve idari tedbirleri almak zorundadır ve veri başkası tarafından işleniyorsa bu tedbirlerden onunla birlikte müştereken sorumludur.
• Bu şekilde faaliyet gösterenler hakkında KVKK m.18 uyarınca işlem yapılır.
• Verilerin hukuka aykırı elde edilmiş olabileceği dikkate alınarak konu, TCK m.136 kapsamında Cumhuriyet Başsavcılığına bildirilir.

Düzeltmeyle ilk cümledeki "rızalarını almadan ve m.5'teki şartları sağlamadan" ifadesi "rızalarını almadan veya m.5/2'deki şartları sağlamadan" olarak değiştirildi. Bu ifade, reklam iletisi için açık rıza dışındaki bir hukuki sebebe dayanma ihtimalini teorik olarak açık bırakır; ancak hangi durumda bunun yeterli olacağı kararda açıklanmamıştır. Bu belirsizlik nedeniyle pazarlama amaçlı veri işlemede açık rızaya dayanmak daha güvenli bir yaklaşımdır.

KVK Kurulu İlke Kararı 2025/1072: tek SMS koduyla toplu rıza yasağı

10.06.2025 tarihli, 2025/1072 sayılı karar 26.06.2025 tarihli Resmî Gazete'de (sayı 32938) yayımlandı. Kurul, ödeme, kayıt açma, üyelik veya teklif süreçlerinde kişilere "ödeme veya fatura için gerekli" denilerek SMS doğrulama kodu sorulduğunu, ardından bu kodla ticari elektronik ileti için açık rıza alınmış sayılarak kişilerin yanıltıldığını tespit etti ve şunları kararlaştırdı:

• SMS'in amacı ve kodu vermenin sonuçları, katmanlı aydınlatma gereği ilk aşamada görevlilerce açık ve anlaşılır biçimde anlatılmalı; SMS içeriğinde de bilgilendirme kanalı sağlanmalı.
• Üyelik sözleşmesinin onaylanması, kişisel veri işleme izni ve ticari elektronik ileti onayı gibi farklı işlemleri tek bir eylemle (tek SMS koduyla) alma uygulamalarına son verilmeli; açık rıza gerektiren her işleme için seçenek sunularak ayrı ayrı rıza alınmalı.
• Açık rıza alma ve aydınlatma işlemleri ayrı ayrı yapılmalı.
• Ticari ileti için SMS koduyla rıza alınacaksa, bu rıza Kanun'daki tüm unsurları taşımalı.
• Ticari ileti için açık rıza, ürün veya hizmet sunumunun zorunlu bir unsuru gibi sunulmamalı.
• Bu rıza tercihen ürün veya hizmet sunumu tamamlandıktan sonra istenmeli; değilse rızanın zorunlu olmadığı, kod verilmese de hizmetin sunulacağı ve izinlerin her zaman değiştirilebileceği açıkça belirtilmeli.
• Bu süreçlerdeki personele periyodik eğitim ve farkındalık çalışmaları yapılmalı.

Kurul bu hususları KVKK m.12/1 kapsamında alınması gereken idari ve teknik tedbirler olarak nitelendirdi ve uyulmadığı tespit edilirse m.18 uyarınca işlem yapılacağını açıkladı. Kararın tam metni: KVK Kurulu 2025/1072 sayılı İlke Kararı (RG 26.06.2025).

Formda ayrı onaylar nasıl tasarlanır?

Üyelik veya sipariş formunda genellikle dört farklı şey bir arada istenir: sözleşmenin kabulü, KVKK aydınlatması, pazarlama amaçlı veri işlemeye açık rıza ve kanal bazında ticari ileti onayı. 2025/1072 bunların tek eylemle alınmasını sonlandırılması gereken bir uygulama sayar. Aşağıdaki yapı bu ayrımı gösteren bir örnektir; kendi süreçlerinize ve hukuk danışmanınızın görüşüne göre uyarlayın:

<!-- 1) Aydınlatma: onay kutusu değil, rızadan önce sunulan bilgi -->
<p>Kişisel verileriniz <a href="/aydinlatma-metni">Aydınlatma Metni</a> kapsamında işlenir.</p>

<!-- 2) Sözleşme kabulü: üyelik için gerekli -->
<label><input type="checkbox" name="sozlesme" required>
  Üyelik sözleşmesini okudum ve kabul ediyorum.</label>

<!-- 3) KVKK açık rızası: isteğe bağlı, önceden işaretli değil -->
<label><input type="checkbox" name="kvkk_pazarlama">
  İletişim ve alışveriş bilgilerimin bana özel kampanya sunulması amacıyla
  işlenmesine açık rıza veriyorum. (İsteğe bağlı)</label>

<!-- 4) ETK onayı: kanal bazında, isteğe bağlı, önceden işaretli değil -->
<fieldset>
  <legend>Ticari elektronik ileti (isteğe bağlı)</legend>
  <label><input type="checkbox" name="etk_mesaj"> SMS</label>
  <label><input type="checkbox" name="etk_eposta"> E-posta</label>
  <label><input type="checkbox" name="etk_arama"> Telefonla arama</label>
  <p>Bu onayları vermeden de üye olabilirsiniz. Onaylarınızı dilediğiniz zaman geri alabilirsiniz.</p>
</fieldset>

• Ayrı kayıtlar tutun: ETK onayını üç iş günü içinde İYS'ye gönderin (onay nasıl alınır); KVKK açık rızasını kendi sisteminizde, hangi aydınlatma metni sürümüyle alındığı bilgisiyle saklayın.
• Doğrulama kodunu karıştırmayın: ödeme veya üyelik için gönderdiğiniz OTP'yi pazarlama rızası için kullanmayın. SMS koduyla rıza alacaksanız amacını, isteğe bağlı olduğunu ve geri alınabileceğini kodu istemeden önce ve SMS metninde açıkça yazın.
• Zamanlama: 2025/1072 ticari ileti rızasının tercihen ürün veya hizmet sunumu tamamlandıktan sonra istenmesini önerir. Sipariş onay sayfası ya da teslimat sonrası hesap ekranı bu iş için uygun yerlerdir.
• Geri alma: ETK onayının reddi ve KVKK rızasının geri alınması ayrı süreçlerdir; birini işlerken diğerini de kontrol edin.

İYS'nin ViA hizmeti bu ayrımı teknik olarak da destekler: API dokümantasyonuna göre ETK izni marka adına, KVK onayı ise hizmet sağlayıcı adına kaydedilir ve istekte ETK ile KVK başlıklı izin türleri ayrı ayrı gönderilir. KVK türleri AYDINLATMA_METNI, ACIK_RIZA_METNI ve YURTDISI_AKTARIM değerlerinden oluşur. Ayrıntı: İYS ViA ile onay toplama.

SMS ve e-posta firmanız: veri işleyen

SMS, çağrı merkezi veya e-posta altyapı firması sizin adınıza ileti gönderirken KVKK açısından genellikle veri işleyen konumundadır. 2018/119 kararı, veri sorumlusunun gerekli tedbirleri almaktan bu kişilerle birlikte müştereken sorumlu olduğunu hatırlatır. Bu nedenle hizmet sözleşmesinde verilerin yalnızca sizin talimatınızla ve belirlediğiniz amaçla işleneceğini, güvenlik tedbirlerini ve sözleşme bitince verilerin akıbetini düzenlemek yerinde olur. Sunucular yurt dışındaysa yurt dışına veri aktarımı kurallarını da kontrol edin.

Sık Sorulan Sorular

İYS'de onayı olan biri için ayrıca KVKK açık rızası almam gerekir mi?

Aydınlatma her durumda gerekir. Açık rızanın gerekip gerekmediği, pazarlama amaçlı veri işlemeyi hangi KVKK hukuki sebebine dayandırdığınıza bağlıdır. 2018/119 kararının düzeltilmiş metni m.5/2'deki diğer sebepleri teorik olarak açık bırakır, ama bunların ne zaman yeterli olacağını açıklamaz. Belirsizlik karşısında açık rıza almak ve bunu ETK onayından ayrı almak daha güvenli yoldur.

KVKK açık rızalarını İYS'ye yüklemem gerekir mi?

Hayır. İYS SSS'sine göre İYS, 6563 sayılı Kanun kapsamındaki ileti izinlerinin veri tabanıdır ve KVKK kapsamındaki onayların yüklenmesi gerekmez. İsterseniz ViA ile KVK onayını da İYS üzerinden toplayabilirsiniz, ama bu bir zorunluluk değildir.

Tek bir kutu "KVKK ve kampanya iletilerini kabul ediyorum" yeterli mi?

Önerilmez. 2025/1072, kişisel veri işleme izni ile ticari elektronik ileti onayını birbirinden farklı işlemler olarak sayar ve bunların tek eylemle alınmasına son verilmesini ister. ETK tarafında da ret kanal bazında işlediği için kanal başına ayrı onay daha doğru bir kayıt sağlar.

Tacir ve esnafa gönderimde KVKK uygulanır mı?

KVKK gerçek kişilerin verilerine uygulanır (m.2). Bir tüzel kişinin unvanı veya kurumsal bilgisi kapsam dışındadır; ancak şahıs işletmesi sahibinin ya da çalışanın adı ve kişisel iletişim bilgisi kişisel veridir. ETK'daki tacir istisnası KVKK yükümlülüklerini kaldırmaz. Ayrıntı: tacir ve esnafa ticari ileti.

Bir kişi KVKK kapsamında verilerinin silinmesini isterse ne olur?

İlgili kişi taleplerini veri sorumlusuna iletir ve veri sorumlusu en geç otuz gün içinde ücretsiz olarak sonuçlandırır (KVKK m.13). Talep pazarlama iletilerine de ilişkinse ETK tarafında ret olarak da işleyip İYS'ye bildirmeyi unutmayın. Başvuru süreci için KVKK ilgili kişi başvurusu yazısına bakın.

Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.

İlgili içerikler: İYS nedir · Ticari ileti onayı nasıl alınır · Onay kaydı saklama ve ispat · İletişim formunda KVKK aydınlatma ve açık rıza · Aydınlatma metni nasıl hazırlanır · Web sitesi KVKK kontrol listesi · Üyelik ve bültende KVKK · Seçim kampanyasında SMS ve e-posta