KVKK Açık Rıza Beyanı Nedir?

Açık rıza, 6698 sayılı KVKK’nın 3. maddesinde tanımlandığı üzere belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır ve kişisel veri işlemenin tek değil, istisnai bir hukuki dayanağıdır. Uygulamada sık karşılaşılan yanlış kanının aksine her veri işleme faaliyeti açık rızaya bağlanmak zorunda değildir, açık rızaya ancak Kanun’un 5. ve 6. maddelerinde sayılan diğer hukuki sebeplerin bulunmadığı durumlarda başvurulur. Bu istisnai niteliğin gözden kaçırılması, uygulamada hem gereksiz rıza toplanmasına hem de rızanın hukuken geçersiz sayılmasına yol açan hatalara neden olur.

Açık Rızanın Unsurları Nelerdir?

KVKK’nın 3. maddesinin birinci fıkrasının (a) bendi açık rızayı üç unsur üzerinden tanımlar. Rızanın belirli bir konuya ilişkin olması, ilgili kişinin yeterli düzeyde bilgilendirilmiş olması ve irade açıklamasının herhangi bir baskı olmaksızın özgürce yapılması gerekir.^[1]

Belirlilik unsuru, rızanın hangi veri için ve hangi amaçla alındığının açıkça ortaya konulmasını gerektirir, gelecekte gerçekleştirilebilecek belirsiz işlemleri kapsayacak genel ifadeler bu şartı karşılamaz. Bilgilendirme unsuru ise rıza istenmeden önce ilgili kişinin veri işleme faaliyetinin kapsamı hakkında anlaşılır şekilde aydınlatılmasını arar, yeterli bilgi verilmeden alınan onay hukuken geçerli kabul edilmez.

Not: Gelecekteki belirsiz işlemleri kapsayacak genel ifadeler belirlilik şartını karşılamaz.

Özgür irade unsuru bu üç unsur içinde en hassas olanıdır çünkü kişinin, hizmetten yararlanabilmek için zorunlu olarak rıza vermeye mecbur bırakılmaması gerekir. Bu unsurlardan herhangi biri eksikse alınan onay, KVKK bakımından geçerli bir açık rıza sayılmaz.

Açık Rızanın 3 Unsuru

Açık Rıza Hangi Durumlarda Gereklidir?

Açık rıza, KVKK’da temel kural değil veri işleme şartlarından yalnızca biridir. Veri sorumlusu önce Kanun’un ^[2] ve ^[3]‘sında sayılan diğer hukuki sebeplerden birinin mevcut olup olmadığını değerlendirmelidir.

Bir sözleşmenin kurulması veya ifası, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi ya da bir hakkın tesisi gibi başka bir dayanak yoksa açık rızaya başvurulması gerekir. Sağlık verileri, biyometrik veriler gibi özel nitelikli kişisel veriler için de Kanun’un 6. maddesindeki istisnai şartlar sağlanmıyorsa açık rıza aranır.

Açık Rıza İle Aydınlatma Yükümlülüğü Arasındaki Fark Nedir?

En sık karışan iki kavram açık rıza ile aydınlatma yükümlülüğüdür. Aydınlatma yükümlülüğü, ^[4] uyarınca veri sorumlusunun kişisel verilerin elde edilmesi sırasında ilgili kişiyi bilgilendirmesini ifade eden tek taraflı bir yükümlülüktür.

Açık rıza ise ilgili kişinin, gerekli olduğu hallerde verdiği özgür iradeye dayalı bir onay beyanıdır. Aydınlatma her koşulda yapılması gereken bir bilgilendirme iken açık rıza yalnızca diğer hukuki sebeplerin bulunmadığı hallerde aranan bir izin niteliğindedir. Bu iki metnin tek bir belge veya tek bir onay kutusunda birleştirilmesi Kurul kararlarında sıkça eleştirilen bir uygulamadır.

Açık Rıza Nasıl Alınmalıdır?

Açık rıza alınmadan önce ilgili kişiye ^[5] kapsamında gerekli aydınlatma yapılmalıdır. Aydınlatma yapılmadan alınan bir onay, şeklen var olsa bile hukuken geçerli açık rıza sayılmaz.

Rıza, ilgili kişinin aktif bir irade açıklamasıyla alınmalıdır. Önceden işaretlenmiş onay kutuları, sessiz kalmayı rıza sayan uygulamalar veya “devam ederek kabul etmiş sayılırsınız” ifadeleri geçerli bir açık rıza yöntemi oluşturmaz. Birden fazla veri işleme amacı varsa her biri için ayrı tercih imkanı tanınmalıdır.

Uyarı: Önceden işaretlenmiş onay kutuları veya sessiz kalmayı rıza sayan uygulamalar geçerli bir açık rıza oluşturmaz.

KVKK, açık rızanın yazılı olması gerektiğine dair bir şekil şartı öngörmez, rıza sözlü veya elektronik ortamda da geçerli şekilde verilebilir. Ancak ispat yükü veri sorumlusuna ait olduğundan rızanın hangi tarihte, hangi kapsamda alındığının kayıt altına alınması büyük fayda sağlar.

Açık Rızanın Geri Alınması Ne Anlama Gelir?

İlgili kişi, verdiği açık rızayı herhangi bir gerekçe göstermeksizin her zaman geri alabilir. Kanun’da açık bir hüküm bulunmasa da bu hak, rızanın özgür iradeye dayanan bir beyan olması nedeniyle Kurul kararları ve doktrinde istikrarlı biçimde kabul edilir.

Geri alma işlemi ileriye etkilidir, yani geri alma talebi veri sorumlusuna ulaşmadan önce gerçekleştirilen işlemleri hukuka aykırı hale getirmez. Ancak talebin ulaşmasından sonra veri sorumlusu, açık rızaya dayanarak veri işlemeye devam edemez ve ^[6] uyarınca verileri silme, yok etme veya anonim hale getirme yükümlülüğü doğabilir. Bu durum özellikle ticari elektronik ileti gönderimi ve pazarlama faaliyetlerinde sık karşılaşılan bir sonuçtur.

Çalışanlardan ve Müşterilerden Açık Rıza Alınırken Nelere Dikkat Edilmelidir?

İşveren-çalışan ilişkisindeki ekonomik bağımlılık, açık rızanın özgür iradeyle verilip verilmediği konusunda özel bir hassasiyet gerektirir. Çalışanlara ait birçok veri zaten İş Kanunu, Sosyal Sigortalar Kanunu veya iş sözleşmesinin ifası gibi başka hukuki sebeplerle işlenebildiğinden işveren her veri için açık rıza almaya çalışmamalıdır.

Müşteri ilişkilerinde de aynı mantık geçerlidir, açık rızaya başvurmadan önce verinin sözleşmenin ifası veya meşru menfaat gibi başka bir sebebe dayanıp dayanmadığı değerlendirilmelidir. Her iki grupta da rıza metinlerinin sözleşme veya taahhütname içine gizlenmemesi, ayrı ve anlaşılır bir belge olarak sunulması şeffaflık ilkesinin gereğidir.

Açık Rıza Beyanlarında Sık Yapılan Hatalar

Tekrarlanan hatalar arasında şunlar öne çıkar:

• Her veri işleme faaliyetinin otomatik olarak açık rızaya dayandırılması ve diğer hukuki sebeplerin değerlendirilmemesi.
• “Her türlü amaçla işlenmesini kabul ediyorum” gibi kapsamı belirsiz, genel ifadeler kullanılması.
• Açık rızanın, sunulan hizmetten yararlanmanın ön şartı haline getirilerek özgür iradeyi zedelemesi.
• Önceden işaretlenmiş onay kutuları veya sessiz kalmayı rıza sayan uygulamaların kullanılması.
• Reklam, profilleme ve üçüncü kişiye aktarım gibi farklı amaçların tek bir rızada toplanması.

Bu hataların büyük kısmı, açık rızanın istisnai niteliğinin gözden kaçırılmasından kaynaklanır ve Kurul kararlarında tekrar eden gerekçeler arasında yer alır.

Açık Rızada Sık Yapılan 3 Hata

Özel Nitelikli Kişisel Veriler İçin Açık Rıza Gerekli Midir?

Irk, etnik köken, siyasi düşünce, din, kılık kıyafet, sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ile biyometrik ve genetik veriler ^[7] kapsamında özel nitelikli kişisel veri sayılır. Bu veriler kural olarak açık rıza ile işlenebilir, ancak Kanun’un öngördüğü istisnai şartların bulunması halinde rıza aranmaksızın da işlenebilir.

Özel nitelikli veriler için alınan açık rızanın da yine belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilmiş olması şarttır. Sağlık verileri ve biyometrik veriler söz konusu olduğunda veri sorumlularının bu üç şartı eksiksiz sağlaması özellikle önem taşır.

Geçersiz Açık Rıza Beyanının Sonuçları Nelerdir?

Şartları taşımayan bir açık rıza beyanı hukuken geçersiz sayılır ve veri işleme için hukuki dayanak oluşturmaz. Bu durumda veri sorumlusu ^[8] uyarınca verileri silme, yok etme veya anonim hale getirme yükümlülüğüyle karşılaşabilir.

Önemli: Geçersiz bir açık rızaya dayanarak işlenen veriler, veri sorumlusu için silme yükümlülüğü ve idari para cezası riski doğurur.

İlgili kişiler, ^[9] kapsamında veri sorumlusuna başvurarak verilerinin silinmesini talep edebilir ve şartları oluşmuşsa zararlarının giderilmesini isteyebilir. Geçersiz rızaya dayalı veri işleme aynı zamanda Kişisel Verileri Koruma Kurulu’nun incelemesine ve ^[10] kapsamında idari para cezasına da yol açabilir. Cezaların kapsamı hakkında KVKK Nedir? Cezalar ve Tüm Detaylar yazımızdan bilgi alınabilir.

Açık Rıza Konusunda Kurul Kararlarının Yaklaşımı Nedir?

Kişisel Verileri Koruma Kurulu kararları, açık rızanın yalnızca şeklen alınmış bir onaydan ibaret olmadığını, belirli bir konuya ilişkin ve özgür iradeyle açıklanmış bir beyan olması gerektiğini istikrarlı şekilde vurgular. Kurul özellikle işveren-çalışan ilişkisi gibi bağımlılık içeren durumlarda özgür irade unsurunun titizlikle aranması gerektiğini belirtir.

Bu konularda hukuki danışmanlık almak isteyenler Kişisel Verilerin Korunması Kanunu (KVKK) eğitimi içeriğimizi inceleyebilir. 6698 sayılı Kanun’un tam metnine 6698 sayılı Kişisel Verilerin Korunması Kanunu bağlantısından, Kurul kararlarına ise Kişisel Verileri Koruma Kurumu resmi sitesinden ulaşılabilir.

KVKK Açık Rıza Beyanı Hakkında Sıkça Sorulan Sorular

Açık rıza uygulamasına dair en çok merak edilen sorular aşağıda cevaplanmıştır.

Av. Şamil Kaya

Ankara Üniversitesi Hukuk Fakültesi’nden 2014 yılında onur derecesiyle mezun olmuştur. Lise öğrenimini yatılı şekilde Erdoğan Akdağ Anadolu Öğretmen Lisesi’nde 2010 yılında birincilikle tamamlayan Şamil Kaya, 2018 yılında başladığı Anadolu Ünivers...

Tüm yazıları