Ana Sayfa Hakkımızda Hizmetler Ödüller Ekip Yayınlar Kariyer İletişim TÜRKÇEENGLISH Devin Law & IP — İstanbul
← Tüm Yayınlar
KategoriVeri Koruma
Yayın Tarihi12 Şubat 2026
Yazarlar
Uğurcan TekinOrtak
İnci ÖzçilsalAvukat

Mobil Uygulamalar Üzerinden Gönderilen Anlık Bildirimlerin KVKK Kapsamında İncelenmesi

Kişisel Verileri Koruma Kurumu’na (“Kurum”) intikal eden şikâyetler ve yapılan incelemeler neticesinde; mobil uygulamalar üzerinden kullanıcılara gönderilen anlık bildirimlerin, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) temel ilkeleri ve açık rıza unsurları ile uyumu konusunda bir değerlendirme yapılması ihtiyacı hâsıl olmuştur. Bu bilgi notu, anlık bildirim süreçlerindeki veri işleme faaliyetlerinin hukuki sınırlarını ve "parçalı açık rıza" ilkesinin uygulama esaslarını ele almaktadır.

Hukuki Çerçeve ve Temel İlkeler

Kişisel verilerin işlenmesinde, Kanun’un 4. maddesinde yer alan genel ilkelere ve 5. maddesinde belirtilen işleme şartlarına uyulması yasal bir zorunluluktur. Mobil uygulama sağlayıcıları, veri sorumlusu sıfatıyla gerçekleştirdikleri her türlü teknik kurguda aşağıdaki hukuki standartları gözetmekle yükümlüdür

  • Anayasal Güvence ve Özel Hayatın Gizliliği: Kişisel verilerin korunması, Anayasa’nın 20. maddesi uyarınca temel bir haktır. Mobil uygulamalar, sundukları hizmetin doğası gereği bireylerin özel yaşam alanına doğrudan erişim sağladığından, bu hakkın özünü zedeleyecek müdahalelerden kaçınmalıdır.
  • Hukuka ve Dürüstlük Kurallarına Uygunluk: Veri işleme faaliyetleri, ilgili kişilerin makul beklentileriyle uyumlu olmalı ve yanıltıcı yöntemler içermemelidir. Kullanıcıyı farkında olmadan rıza vermeye iten karmaşık onay mekanizmaları bu ilkeye aykırılık teşkil etmektedir.
Bir bildirim izni ekranı, tüm veri işleme faaliyetinin hukuka uygunluğunun karara bağlandığı yerdir.

Belirlilik, Açıklık ve Meşru Amaç İlkesi: Veri sorumlusu, veriyi hangi somut amaçla işlediğini net bir şekilde ortaya koymalıdır. "Hizmet kalitesini artırmak" gibi muğlak ifadeler yerine, "anlık kargo bildirimi" veya "indirim kuponu tanımlama" gibi spesifik amaçlar tanımlanmalıdır.

  • İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma: Bir mobil uygulamanın temel fonksiyonu için gerekli olmayan veriler (örneğin; sadece kampanya bildirimi için konum verisinin zorunlu tutulması), ölçülülük ilkesini ihlal eder. Veri minimizasyonu prensibi uyarınca, sadece amaç için "vazgeçilmez" olan veri işlenmelidir.
  • İşleme Şartlarının Kümülatif Değerlendirilmesi: Kanun’un 5. maddesi uyarınca; açık rıza dışındaki istisnai haller dar yorumlanmalıdır. Operasyonel bildirimler sözleşmenin ifası kapsamında değerlendirilebilirken, pazarlama amaçlı bildirimler ancak açık rıza şartına dayandırılabilir. 2. ANLIK BİLDİRİM MEKANİZMALARINDA TESPİT EDİLEN SORUNLAR Kurum’a intikal eden şikayetler ve re'sen yürütülen incelemelerde, mobil uygulama yükleme veya ilk açılış aşamasında kullanıcılara sunulan onay mekanizmalarının Kanun’un emredici hükümlerine aykırı kurgulandığı saptanmıştır. Özellikle teknik altyapının ve yetkilendirme süreçlerinin doğrudan incelenmesi sonucunda, öne çıkan temel aykırılıklar şu başlıklar altında detaylandırılmaktadır:

Birleştirilmiş Onay Yapısı ve Belirlilik İlkesine Aykırılık: Veri sorumluları tarafından,

"sipariş durumu/kargo takibi" gibi operasyonel ve sözleşmenin ifasıyla doğrudan ilgili bildirimler ile "kampanya/reklam" içerikli pazarlama bildirimlerinin tek bir onay kutucuğu altında toplandığı görülmüştür. Bu durum, Kanun’un 4. maddesindeki belirli, açık ve meşru amaçlar için işlenme" ilkesini zedelemektedir; zira ilgili kişi hangi amaca ne ölçüde onay verdiğini ayrıştıramamakta, veri işleme faaliyeti

  • Özgür İradeyi Sakatlayan Tasarımlar: Kullanıcının hizmetin doğası gereği makul bir beklentiyle ihtiyaç duyduğu (örneğin siparişinin yola çıkıp çıkmadığı bilgisi) bildirimleri alabilmesi, kendisi için hiçbir faydası bulunmayan pazarlama içeriklerine rıza göstermesi şartına bağlanmaktadır. Bu kurgu, açık rızanın en temel unsuru olan "özgür irade" kriterini ortadan kaldırmaktadır. Kullanıcı, işlevsel bir özellikten mahrum kalmamak adına rıza vermeye mecbur bırakılmakta, bu da rızayı sakat hale getirmektedir.
Operasyonel, tanıtım ve analiz bildirimlerinin her biri ayrı ayrı geri alınabilir bir tercih taşımalıdır.

Hizmet Şartına Bağlama Yasağı: Bir ürün veya hizmetin sunulmasının, o hizmetin ifası için zorunlu olmayan bir veri işleme amacına rıza gösterilmesi ön şartına bağlanması hukuka aykırıdır. Kurul uygulamalarında, pazarlama amaçlı bildirimlerin "hizmetin ayrılmaz bir parçası" gibi sunulması, Kanun’un ruhuna ve dürüstlük kuralına aykırı bir "dayatma" olarak değerlendirilmektedir. Nitekim Kurulun, 10/06/2025 tarihli ve 2025/1072 sayılı İlke Kararı da ilgili hususu doğrulamaktadır. Ürün ve hizmet sunumu sırasında gönderilen SMS doğrulama kodlarının, eş zamanlı olarak ticari ileti onayı veya üyelik sözleşmesi onayı gibi farklı amaçlarla birleştirilmesini “ilgili kişilerin yanıltılması” olarak nitelendiren Kurul; operasyonel süreçlerin pazarlama faaliyetlerine bir “ön şart” veya “tek işlemle onay” şeklinde kurgulanmasının açık rızayı sakatlayacağını kararlaştırmıştır.

Parçalı Açık Rıza İlkesi

Açık rızanın hukuken geçerli bir veri işleme şartı teşkil edebilmesi için; belirli bir konuya ilişkin olması, bilgilendirilmeye dayanması ve her türlü dış etkiden arındırılmış bir "özgür irade" ile açıklanması gerekmektedir. Mobil uygulama ekosisteminde bu kriterler, "Parçalı Açık Rıza" ilkesiyle somutlaşmaktadır. Birden fazla ve birbirinden farklı mahiyetteki veri işleme amaçlarının bulunduğu senaryolarda, ilgili kişiye her bir amaç için ayrı ve bağımsız bir seçim hakkı sunulması emredici bir zorunluluktur. Kurul’un denetim yetkisi kapsamında gerçekleştirdiği incelemelerde, amaçların birbirine eklenerek "toplu onay" şeklinde sunulması, Kanun’un temelindeki "belirlilik" ilkesine aykırı bir uygulama olarak nitelendirilmektedir. Kurul'un 2025/1072 sayılı İlke Kararı uyarınca da; üyelik sözleşmesinin onaylanması, kişisel verileri işleme izni alınması ve ticari elektronik ileti onayı alınması gibi birbirinden tamamen farklı işleme faaliyetlerinin tek bir eylemle (örneğin mobil uygulamada tek bir “Kabul Et” butonu veya tek bir kod girişi) gerçekleştirilmesine yönelik uygulamalara son verilmesi, her bir amaç için ayrı seçenekler sunulması yönünde hüküm kurulmuştur. Tek bir rıza beyanının teknik veya idari olarak bölünemez bir biçimde kurgulanması, kullanıcıyı ya tüm veri işleme faaliyetlerini kabul etmeye ya da hepsini reddederek sunulan dijital hizmetten mahrum kalmaya (ya hep ya hiç) zorlamaktadır. Bu kurgu, rızanın "özgür irade" ile verilmesi unsurunu temelinden sarsmakta ve alınan rızayı başlangıçtan itibaren hukuken geçersiz kılmaktadır. Kişisel veri işleme faaliyetinin, sunulan temel hizmetin (örneğin mobil ticaret uygulamasında sipariş takibi) ifası için teknik veya hukuki olarak zorunlu olmadığı hallerde, bu işlemenin hizmetin ön şartı haline getirilmesi "dürüstlük kuralı" ile bağdaşmamaktadır. Parçalı rıza ilkesi, yalnızca teorik bir hukuki formül değil, aynı zamanda kullanıcının kendi verileri üzerindeki kontrol yetkisini fiilen kullanabilmesini sağlayan en önemli güvencedir. Veri sorumluları, uygulama mimarilerini ve kullanıcı arayüzlerini bu özerkliği koruyacak, her bir veri işleme amacını şeffaf bir şekilde ayrıştıracak şekilde yapılandırmakla yükümlüdür.

Teknik ve İdari Tedbirler Kapsamındaki Yükümlülükler

Kanun’un 12. maddesi uyarınca veri sorumluları, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini engellemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almak zorundadır. Veri sorumluları, uygulama mimarisini kullanıcıların tercihlerini herhangi bir teknik engel olmaksızın yönetebileceği şekilde yapılandırmalıdır. Bu kapsamda, uygulama içi ayarlar veya cihazın işletim sistemiyle entegre çalışan bildirim yönetim panelleri üzerinden kullanıcılara; "operasyonel/kargo bilgisi", "kampanya/promosyon duyurusu" veya "kişiselleştirilmiş analiz" gibi farklı bildirim türlerini tek tek seçme veya reddetme imkânı tanınmalıdır. Nitekim veri sorumluları, Kanun’un 12. maddesi kapsamında sistemlerini periyodik olarak denetlemek ve personeline gerekli eğitimleri vermekle yükümlüdür. Kurul'un 07/10/2022 tarihli ve 2022/1072 sayılı Kararı’nda görüleceği üzere; reklam içerikli iletinin bir çalışan tarafından şirket bilgisi dışında gönderildiği savunması dahi veri sorumlusunu sorumluluktan kurtarmamaktadır. Kurul, uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirleri almayan veri sorumlusu hakkında idari para cezası uygulanmasına ve verilerin imhasına karar vermiştir.

Her amacın kendi anahtarı olmalı — hukuken olduğu kadar teknik olarak da.

SONUÇ

Mobil uygulama sağlayıcılarının, anlık bildirim onay süreçlerini "parçalı açık rıza" ve "belirlilik" ilkeleri ışığında yeniden gözden geçirmeleri gerekmektedir. Bildirim amaçlarının ayrıştırılması ve kullanıcılara tercihlerini yönetme imkânı tanınması hem yasal uyum hem de veri güvenliği açısından bir zorunluluktur. Bu ilkelere aykırı uygulamalar, Kanun kapsamında idari yaptırımlara konu olabilecektir.

Ortak Avukat/ Marka Vekili Ortak / Marka Vekili

Stajyer Avukat Stajyer Avukat Sınai Mülkiyet Uzmanı