Uygulamanızdaki Tek Tik Kutusu: Mart 2026'da Değişen Kural

O tek kutu, 24 Mart 2026'dan beri Kişisel Verileri Koruma Kurulu'nun doğrudan işaret ettiği yapı. Buradaki mesele metninizi kimin yazdığı değil. Metin dünyanın en iyi metni olsa bile, kutu tekse süreç baştan yanlış kurulmuş oluyor.

Bu rehber üç şeyi sırayla veriyor: neyin değiştiği, kayıt ekranının doğru halinin nasıl göründüğü (kopyalayıp kullanabileceğiniz şablonlarla) ve mağaza beyanınızla uygulamanızın gerçekte ne yaptığını yirmi dakikada karşılaştırabileceğiniz bir kontrol listesi. Hukuk bilmenize gerek yok.

Uygulamanızı yayınlamak için Apple ve Google sizden bir gizlilik politikası linki istedi, siz de bir tane koydunuz. Buraya kadar doğru, çünkü her iki mağaza için de bu zorunlu.

Ama o metin mağazaya yazılmış bir metin. Aydınlatma metni bambaşka bir yükümlülük. İkisi arasındaki fark şurada:

• Kimin isteği. Gizlilik politikası Apple ve Google'ın isteği; aydınlatma metni KVKK madde 10'un.
• Muhatabı. Gizlilik politikasının muhatabı mağaza ve genel kamuoyu; aydınlatma metninin muhatabı verisini aldığınız kişi.
• Zamanı. Gizlilik politikası mağaza listesinde sürekli durur; aydınlatma metni verinin elde edildiği anda sunulur.
• İçeriği. Gizlilik politikası serbest biçimlidir; aydınlatma metninde kanunun saydığı zorunlu unsurlar bulunmak zorundadır.
• Amacı. Biri şeffaflık beyanı, diğeri bilgilendirme yükümlülüğü.

Aydınlatma metninde bulunması gerekenler kanunda tek tek sayılmış: veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi, bir de kullanıcının sahip olduğu haklar.

Bunun zamanlaması da serbest değil. Aydınlatma Tebliği, aydınlatmanın verinin elde edilmesi sırasında yapılmasını istiyor. Yani kayıt ekranında, veriyi topladığınız anda. Mağaza sayfasındaki bir link, kullanıcı hiç tıklamadan kaydolabiliyorsa o anı karşılamıyor.

Buradan çıkan pratik sonuç şu: iyi yazılmış bir gizlilik politikası, kanunun saydığı tüm unsurları içeriyorsa ve veriyi aldığınız anda kullanıcının önüne geliyorsa aydınlatma işlevi görebilir. Ama mağaza için yazılmış tipik bir gizlilik politikası bu iki şartı da karşılamaz. Çoğu uygulamada durum budur.

18 Şubat 2026 tarihli ve 2026/347 sayılı İlke Kararı, 24 Mart 2026 tarihli Resmî Gazete'de yayımlanarak yürürlüğe girdi.

Kurul kararın gerekçesinde çok net bir tespit yapıyor: açık rıza metni ile aydınlatma metninin iç içe geçmiş şekilde sunulması, Kuruma gelen ihbar ve şikâyetlerde en çok karşılaşılan hukuka aykırılıklardan biri. Yani bu teorik bir ince ayar değil, sahada en sık görülen hatanın adının konulması.

Mantığı da basit. Aydınlatma bir bilgilendirmedir, onaylanacak bir şey değildir. Açık rıza ise ayrı, özgür ve belirli bir iradedir. İkisini tek kutuda birleştirdiğinizde kullanıcının neye onay verdiği belirsizleşiyor.

Kararın uygulamaya dönük hükümleri şunlar:

• İşleme açık rızaya dayanıyorsa, iki ayrı metin olacak. Aydınlatma metni ve açık rıza metni farklı başlıklar altında, ayrı ayrı düzenlenecek.
• Aynı sayfada durabilirler ama ayrı beyan alınacak. İki metin aynı sayfadaysa, farklı başlıklar altında ve alt alta gelecek şekilde, her biri için ayrı beyan alınacak biçimde kurgulanacak.
• Aydınlatma metni için onay istenmeyecek. Kullanıcıdan sadece metnin okunduğuna ve bilgi edinildiğine ilişkin geri bildirim alınacak. "Kabul ediyorum" ifadesi aydınlatma metnine bağlanmayacak.
• Rızaya dayanmıyorsanız, rıza metni hiç sunulmayacak. Bu, çoğu kurucunun ters bulduğu madde. İşlemeniz sözleşmenin ifası ya da hukuki yükümlülük gibi başka bir şarta dayanıyorsa, sadece aydınlatma yükümlülüğünü yerine getireceksiniz. Gereksiz yere ayrıca rıza istemek, işleme şartını muğlaklaştırdığı için hatalı bulunuyor. "Her ihtimale karşı rıza da alalım" refleksi sizi korumuyor, tam tersine sorun yaratıyor.
• Başka bir şirketin metnini birebir kopyalamayacaksınız. Metinler somut veri işleme faaliyetinize özgü olacak, genel ve muğlak ifadelerden kaçınılacak.

Kurul bu yükümlülükleri kanunun 12. maddesindeki idari ve teknik tedbirler kapsamında değerlendiriyor ve uyulmadığının tespiti halinde 18. madde hükümlerine göre işlem tesis edileceğini duyurmuş durumda. İdari para cezası tutarları her yıl yeniden değerleme oranıyla güncellendiği için burada rakam vermiyorum, güncel tutarı Kurumun sitesinden teyit edin.

Bir noktanın altını çizeyim, çünkü panik yaratmak istemiyorum: tek kutu kullanıyor olmanız otomatik ceza demek değil. Sonuç somut olaya, şikâyete ve incelemeye göre değişir. Buradaki doğru okuma şu: süreciniz yanlış kurulmuş ve bunu düzeltmek bir hafta sonu işi.

Şimdi somuta inelim. Aşağıdakileri kendi ekranınızla karşılaştırabilirsiniz.

Buradaki üç problem: aydınlatma ile rıza tek kutuda birleşmiş, aydınlatma metnine "kabul ediyorum" bağlanmış ve kullanıcı tek hareketle birbirinden farklı iki hukuki işlemi geçmiş oluyor. İkinci varyantta da birleşik başlık ve birleşik onay var; Kurulun kötü uygulama olarak gösterdiği yapı tam olarak bu.

Dikkat edilecek dört nokta var. Aydınlatma kutusunda "kabul ediyorum" değil "okudum ve anladım" yazıyor. Rıza kutuları ayrı ve her amaç için ayrı. Hiçbir kutu önceden işaretli gelmiyor. Ve rızanın geri alınabileceği belirtiliyor.

Uygulamanız sadece hizmeti sunmak için gereken veriyi işliyorsa, yani işleme sözleşmenin ifasına dayanıyorsa ekran bu kadar sade. Rıza kutusu yok, çünkü rızaya dayanmıyorsunuz. Buraya "bir de rıza alalım" diye kutu eklemek faydalı değil, hatalı.

Kayıt ekranını düzelttiniz diyelim. Bir katman daha var ve bu katman KVKK'da değil, mağazada.

Google Play'de Data Safety formu, App Store'da App Privacy bölümü var. Bunlar beyandır: siz doldurursunuz, mağaza size güvenir.

Google'ın kendi geliştirici dokümanı net: uygulamanızda kullandığınız üçüncü taraf kütüphaneler ve SDK'lar aracılığıyla toplanan ve paylaşılan veriyi de Data Safety formunda göstermek zorundasınız. Google bir adım daha ileri gidip bir SDK'nın uygulamanız içinden topladığı veriyi sizin doğrudan topladığınız gibi değerlendirmenizi istiyor. Beyanın eksiksiz ve doğru olmasından yalnızca siz sorumlusunuz. Apple tarafında mantık aynı: sizin ya da üçüncü taraf ortaklarınızın topladığı tüm veriyi tanımlamanız isteniyor ve üçüncü taraf ortaklar arasında analitik araçları, reklam ağları ve SDK'lar açıkça sayılıyor.

Pratikte tipik bir uygulamada şunlar var:

• Analitik SDK'sı: ekran görüntüleme, oturum süresi, cihaz kimliği.
• Crash raporlama SDK'sı: hata kaydı, cihaz modeli, işletim sistemi, bazen kullanıcı kimliği.
• Reklam ağı SDK'sı: reklam kimliği, cihaz bilgisi, bazen konum.
• Push bildirim servisi: cihaz token'ı, uygulama kullanım sinyalleri.
• Ödeme veya abonelik SDK'sı: satın alma geçmişi, e-posta.

Bunların hiçbirini siz kodlamadınız. Ama beyanınız hepsini kapsıyor.

Yanlış beyanın sonucu KVKK tarafında kalmıyor. Mağaza tarafında uygulamanın reddine veya listeden kaldırılmasına kadar gidebiliyor. Bu otomatik bir sonuç değil, bir yaptırım imkânı. Ama şunu unutmayın: KVKK riski gecikmeli gelir, mağaza riski bir sonraki güncellemenizde gelir.

Buraya kadar okuduysanız muhtemelen nereden başlayacağınızı düşünüyorsunuz. Cevap tek bir tabloda.

Aydınlatma metnini yazabilmek için hangi veriyi hangi amaçla ve hangi hukuki sebeple işlediğinizi bilmeniz gerekiyor. Mağaza formunu doldurabilmek için hangi SDK'nın ne topladığını bilmeniz gerekiyor. İkisinin de girdisi aynı: veri envanteri.

Metni envanterden yazarsınız. Envanteri metinden yazamazsınız. Sıralama bu.

Bir netleştirme: kişisel veri işleme envanteri hazırlama yükümlülüğü mevzuatta VERBİS'e kayıt yükümlüsü veri sorumluları bakımından düzenlenmiş. Küçük ölçekli bir geliştirici istisna kapsamında olabilir; ana faaliyeti özel nitelikli veri işleme olmayan, yıllık çalışan sayısı elliden az ve yıllık mali bilançosu yüz milyon lirayı aşmayan veri sorumluları istisnaya giriyor. Ama VERBİS'ten muaf olmanız KVKK'dan muaf olmanız anlamına gelmiyor, yükümlülükleriniz aynen devam ediyor. Envanteri burada hukuki zorunluluk olarak değil, diğer her şeyin ön koşulu olan pratik araç olarak öneriyorum.

Son sütunu boş bırakmayın. Analitik ve crash SDK'larının çoğu veriyi yurt dışındaki sunuculara gönderiyor ve bu, KVKK'da ayrı bir rejime tabi olan yurt dışına aktarım demek. Bu rehberin konusu değil ama envanterde görünmesi gerekiyor, çünkü göremediğiniz şeyi yönetemezsiniz.

Oturun ve şunlara dürüst cevap verin. İkinci bölümü doldurmadan birinci ve üçüncü bölümü doğru dolduramazsınız, sıralama önemli.

Tek kişilik geliştiriciyim, bu kadarını yapmak zorunda mıyım?

KVKK'nın uygulaması şirket büyüklüğüne göre değişmiyor. Türkiye'deki kullanıcıların kişisel verisini işliyorsanız veri sorumlususunuz. Değişen tek şey VERBİS kaydı gibi bazı ek yükümlülükler. İyi haber şu: küçük bir uygulamada envanter genelde on satırı geçmiyor.

Uygulamam yurt dışında kurulu bir şirkete ait, yine de geçerli mi?

Türkiye'deki kişilerin verisini işliyorsanız kanun kapsamındasınız. Şirketinizin nerede kurulu olduğu tek başına sizi kapsam dışına çıkarmıyor.

Aydınlatma metnini kullanıcı hiç okumuyor, ne fark eder?

Yükümlülük kullanıcının okumasını sağlamak değil, bilgiyi doğru zamanda ve anlaşılır biçimde sunmak. Okumaması sorumluluğunuzu ortadan kaldırmıyor ama sunmamış olmanız yükümlülüğü doğrudan ihlal ediyor.

Rıza kutusunu kaldırırsam veriyi işleyemez miyim?

Tam tersi. Çoğu uygulamada temel işleme zaten sözleşmenin ifasına dayanıyor ve rızaya ihtiyaç yok. Rıza sadece pazarlama, kişiselleştirme ve ticari analiz gibi ek amaçlar için gerekiyor. Doğru hukuki sebebi belirlemek, gereksiz rıza istemekten hem daha sağlam hem daha kolay.

Metinlerimi hazır şablondan alsam olmaz mı?

Kurul kararı bu konuda özellikle uyarıyor: başka bir veri sorumlusunun metninin birebir aynısı kullanılmayacak. Şablon başlangıç noktası olabilir ama sizin veri akışınıza göre yeniden yazılması gerekiyor. Zaten envanteri çıkardığınızda metin kendiliğinden şekilleniyor.

Sıra şu: envanteri çıkarın, hukuki sebepleri belirleyin, metinleri envanterden yazın, kayıt ekranını ikiye ayırın, mağaza beyanını envanterle karşılaştırın.

Küçük bir uygulama için bu bir hafta sonu işi. Ertelediğinizde büyüyen bir iş, çünkü her yeni SDK ve her yeni özellik envantere bir satır daha ekliyor.

Kayıt ekranınızda tek kutu mu var, iki kutu mu? Cevabınız "tek" ise, düzeltmeniz gereken yer belli.

Kaynaklar: 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 5, 6, 10, 12, 18. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m. 5. Kişisel Verileri Koruma Kurulu'nun 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı, Resmî Gazete 24.03.2026, sayı 33203, ve Kurumun buna ilişkin kamuoyu duyurusu. VERBİS istisna kriterleri için Kurulun 06.07.2023 tarihli ve 2023/1154 sayılı kararı. Google Play Console Help, Data safety bölümü ve SDK gereklilikleri sayfaları. Apple App Store Connect, App Privacy Details.

Bu rehber genel bilgilendirme amaçlıdır, hukuki görüş değildir. Kendi uygulamanıza özgü durum için ayrı bir değerlendirme gerekir.