Açık Rıza Metni Ne Zaman Gerekir?
Uyarı: Bu metin bilgilendirme amaçlı şablondur; mevzuata uyum için hukuk danışmanına başvurun.
KVKK kapsamında kişisel veri işleme faaliyetleri için çeşitli hukuki sebepler bulunmaktadır. Açık rıza, bu sebeplerden yalnızca biridir ve her durumda gerekli değildir. Bu yazıda açık rızanın ne olduğu, hangi koşullarda gerekli olduğu ve aydınlatma metninden farkı hakkında genel bir çerçeve sunulmaktadır. Açık rıza, Kanunun öngördüğü diğer hukuki sebeplerin bulunmadığı veya yeterli olmadığı durumlarda devreye giren bir işleme sebebidir. Önemle belirtmek gerekir ki bu metin genel bilgilendirme amaçlıdır; somut durumunuz için hukuk danışmanına başvurmanız önerilir.
Açık Rıza Nedir?
KVKK madde 3’e göre açık rıza; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Yani ilgili kişi, hangi verilerin hangi amaçla işleneceğini anlamış olmalı, baskı veya zorlama olmadan, kendi kararıyla bu işlemeye onay vermelidir. Rıza, belirli bir konuya özgü olmalı; genel ve belirsiz ifadeler yeterli sayılmayabilir.
Açık rızanın geçerli sayılması için genel olarak üç unsurun birlikte bulunması önerilmektedir: bilgilendirilme (aydınlatma metni ile sağlanır), özgür irade (zorlama veya yanıltma olmaması) ve belirli konu (hangi işleme için rıza verildiğinin net olması). Genel ve belirsiz ifadelerle alınan rıza, belirli konu unsuru açısından zayıf kalabilir. Örneğin "tüm verilerin işlenmesine rıza gösteriyorum" gibi geniş ifadeler yerine "pazarlama e-postaları gönderilmesine rıza veriyorum" gibi somut ifadeler tercih edilebilir. Bu örnek genel çerçeve niteliğindedir; somut durumunuz için hukuk danışmanına başvurmanız önerilir.
Ne Zaman Gerekir?
Açık rıza, KVKK madde 5’te sayılan diğer hukuki sebeplerin bulunmadığı durumlarda gerekebilir. Örneğin sözleşmenin ifası, hukuki yükümlülük, meşru menfaat veya hayati çıkar gibi sebepler varsa, açık rıza tek başına gerekli olmayabilir. Ancak özellikle pazarlama iletişimi, profil oluşturma, yurt dışına veri aktarımı gibi faaliyetlerde genellikle açık rıza alınması önerilir. Her somut durumun kendi koşullarına göre değerlendirilmesi gerekir; bu konuda hukuk danışmanına başvurulması tavsiye edilir.
Aydınlatma ile Fark
Aydınlatma metni, bilgilendirme yükümlülüğünün yerine getirilmesi amacıyla kullanılır; veri sorumlusu ne yaptığını anlatır. Açık rıza ise ilgili kişinin bu faaliyete onay vermesidir. Yani önce aydınlatma yapılır, ardından uygun durumlarda açık rıza alınır. Açık rıza alınmadan önce mutlaka aydınlatma metninin sunulması önerilir; aksi halde rızanın bilgilendirilmeye dayalı olma şartı karşılanmamış olabilir.
Aydınlatma tek taraflı bir bilgilendirme iken, açık rıza ilgili kişinin irade açıklamasıdır. Her iki metinde de kullanılan dilin sade ve anlaşılır olması önem taşır. Aydınlatma metni genellikle sayfa veya doküman formatında sunulur; açık rıza ise checkbox, imza veya elektronik onay gibi yöntemlerle alınır. Pazarlama amaçlı rıza ile hizmet sunumu amaçlı rıza birbirinden ayrı tutulmalıdır; "çerez kullanımına rıza" ile "bülten aboneliğine rıza" da genellikle ayrı alanlarda toplanır. Bu ayrım, rızanın belirli konuya ilişkin olması ilkesiyle uyumludur.
Ne Zaman Gerekmez?
KVKK madde 5/2’de sayılan istisnalar kapsamında, örneğin sözleşmenin kurulması veya ifası, hukuki yükümlülük, meşru menfaat, hayati çıkar veya veri sorumlusunun meşru menfaati gibi sebeplerle işleme yapılıyorsa açık rıza aranmayabilir. Bu istisnaların sizin işlemenize uygulanıp uygulanmayacağı, faaliyetinizin niteliğine bağlıdır; kesin değerlendirme için hukuk danışmanına danışmanız önerilir. İstisnalardan birinin varlığı halinde aydınlatma yükümlülüğü devam eder; yani açık rıza gerekmezken bilgilendirme yine de yapılmalıdır.
Örnek Senaryolar
Pazarlama amaçlı e-posta gönderimi, SMS veya telefonla ticari ileti gönderimi için genellikle açık rıza alınması önerilir. 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik uyarınca ticari elektronik iletiler için alıcı onayı gerekebilir; KVKK açısından da açık rıza alınması genel olarak önerilmektedir.
Profil oluşturma veya otomatik karar verme süreçlerinde de benzer şekilde açık rıza gerekebilir. Kullanıcı davranışlarının analiz edilmesi, kişiselleştirilmiş reklam sunumu gibi faaliyetlerde çoğu durumda açık rıza temel alınmaktadır. Yurt dışına kişisel veri aktarımında, yeterli koruma sağlanamayan ülkelere aktarım söz konusuysa KVKK madde 9’a göre açık rıza veya Kurulun izni gibi mekanizmalardan biri gerekebilir. Bu örnekler genel çerçeve niteliğindedir; somut durumunuz için hukuki danışmanlık almanız önerilir.
Özel Nitelikli Veriler için Açık Rıza
KVKK madde 6 kapsamında özel nitelikli kişisel veriler (sağlık, biyometrik, genetik veriler vb.) için işleme sebepleri daha kısıtlıdır. Bu tür verilerin işlenmesinde genellikle açık rıza veya Kanunun öngördüğü diğer istisnalar aranır. Sağlık verisi örneğinde sır saklama yükümlülüğü veya kamu sağlığı gibi istisnalar söz konusu olabilir. Özel nitelikli veri işleyenlerin mutlaka hukuk danışmanı ile çalışması önerilir.
Rızanın Şekli
KVKK, açık rızanın belirli bir şekle bağlanmasını öngörmemektedir; yazılı veya elektronik ortamda verilebilir. Web sitelerinde çerez banner'ında "Kabul Et" butonuna tıklama, e-posta kayıt formunda checkbox işaretleme veya imzalı form gönderme yaygın yöntemlerdendir. Rıza kaydının saklanması, hangi tarihte ve hangi konuya ilişkin verildiğinin belgelenmesi genel olarak önerilir. Rıza geri alındığında bu bilginin de kayıt altına alınması, sonradan ortaya çıkabilecek uyuşmazlıklarda kanıt oluşturabilir. Rıza vermeyen veya geri alan kişinin verilerinin işlenmeye devam etmemesi, mevcut verilerin silinmesi veya anonimleştirilmesi gerekebilir; bu prosedürlerin önceden planlanması tavsiye edilir. Ancak rızanın kanıtlanabilir olması, hangi tarihte ve hangi konuya ilişkin verildiğinin belgelenmesi genel olarak önerilir. Elektronik form onayı, e-posta ile onay, çerez banner onayı gibi yöntemler kullanılabilir. Rıza alırken ilgili kişinin kimliğinin tespiti gerekip gerekmediği somut duruma bağlıdır; bu konuda hukuk danışmanına danışılması tavsiye edilir.
Rıza Yönetimi ve Saklama
Açık rıza alındıktan sonra, rızanın hangi tarihte, hangi konuya ilişkin verildiğinin ve içeriğinin belgelenmesi genel olarak önerilir. Veri sorumlusu, rıza verenlerin listesini veya rıza kayıtlarını tutarak gerektiğinde Kurula veya ilgili kişiye sunabilir. Rıza yönetimi yazılımı veya CRM modülü kullanan işletmeler, rıza bilgisini ilgili kişi kaydıyla ilişkilendirebilir. Periyodik olarak rıza veritabanının güncelliğinin kontrol edilmesi, eski veya geçersiz rızaların ayıklanması önerilir. Çok sayıda veri işleme faaliyeti olan işletmeler için rıza matrisi (hangi faaliyet için kimin rıza verdiği) hazırlanması yönetim açısından faydalı olabilir. Rıza geri alındığında ise Kanun uyarınca işlemeye devam edilmemesi, mevcut verilerin silinmesi veya anonim hale getirilmesi gerekebilir. Rıza geri alma prosedürünüzün net olması ve ilgili kişiye duyurulması tavsiye edilir. Rızanın kanıtı için e-posta kaydı, form onayı veya log tutma gibi yöntemler kullanılabilir; hangi yöntemin sizin için uygun olduğu hukuk danışmanınızla değerlendirilebilir.
Özet
Açık rıza, KVKK’da diğer hukuki sebeplerin bulunmadığı durumlarda gerekebilen bir işleme sebebidir. Bilgilendirilme, özgür irade ve belirli konu unsurlarının sağlanması önemlidir. Pazarlama, profil oluşturma ve yurt dışı aktarım gibi faaliyetlerde açık rıza alınması genel olarak önerilir. Sözleşme ifası, hukuki yükümlülük gibi sebeplerle açık rıza gerekmez. Somut durumunuz için hukuk danışmanına başvurmanız önerilir.