Kişisel Verileri Koruma Kurumu (“Kurum”), mobil uygulamalar üzerinden kullanıcılara gönderilen anlık bildirimlere (push notification) ilişkin artan şikâyetler üzerine 14 Ocak 2026 tarihinde bir Kamuoyu Duyurusu (“Duyuru”) yayımlayarak, bu bildirimlere ilişkin izin ve onay süreçlerinin kişisel verilerin korunması mevzuatına uygun şekilde tasarlanması gerektiğini hatırlatmıştır. Duyuruda özellikle, kullanıcıdan tek bir onay alınarak birden fazla veri işleme amacının aynı anda kabul ettirilmesi uygulamasının, açık rızanın geçerlilik şartlarıyla bağdaşmadığı vurgulanmıştır.

Kurum tarafından incelenen örnek bir olayda, bir mobil uygulamanın yükleme aşamasında kullanıcılara sunulan anlık bildirim onayının, birden fazla veri işleme amacını kapsayacak şekilde tek bir onay altında kurgulandığı tespit edilmiştir. Bu kapsamda, “kampanya ve reklam bildirimleri” ile “sipariş durumunun anlık takibi” amaçlarının ayrıştırılmadığı; kullanıcının, sipariş takibi gibi hizmetin doğal bir parçası olan operasyonel bildirimleri alabilmek için pazarlama içerikli bildirimleri de kabul etmek zorunda bırakıldığı değerlendirilmiştir. Kurum, bir hizmetin sunulmasının, o hizmetle doğrudan bağlantılı olmayan başka veri işleme amaçlarına rıza gösterilmesi şartına bağlanmasının, açık rızanın özgür irade unsurunu zedelediğine dikkat çekmiştir.

İlgili Duyuruda Kurum, birden fazla veri işleme amacının bulunduğu hallerde, ilgili kişilere her bir amaç yönünden ayrı ve bağımsız bir tercih imkânı sunulmasının zorunlu olduğuna işaret etmiş ve bu yaklaşımı “parçalı açık rıza (granularity)” ilkesi kapsamında ele almıştır. Bu kapsamda, farklı veri işleme amaçlarının tek bir rıza altında toplanmasının, kullanıcıları tüm amaçları birlikte kabul etmeye ya da tamamını reddetmeye yönelttiği; bu nedenle söz konusu rıza mekanizmasının hukuka uygun bir veri işleme dayanağı oluşturmadığı ifade edilmiştir.