6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında açık rıza, kişisel verilerin işlenmesine yasal dayanak oluşturan mekanizmalardan biridir. Kanun ve Kişisel Verileri Koruma Kurulu kararları, açık rızanın geçerli sayılması için belirli şartların sağlanmasını öngörmektedir. Bu yazıda açık rızanın geçerlilik şartları, yaygın hatalar ve uygulama önerileri hakkında genel bilgi sunulmaktadır. Bu metin hukuki danışmanlık yerine geçmez.
Açık Rıza Nedir?
KVKK madde 3’e göre açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Açık rıza, ilgili kişinin ne için onay verdiğini bilmesi, baskı altında kalmaması ve rızasını açıkça ifade etmesi anlamına gelir. Özel nitelikli kişisel verilerin işlenmesinde Kanunda öngörülen istisnalar dışında açık rıza aranmaktadır. Açık rıza metni ne zaman gerekir rehberimizde detay bulabilirsiniz.
Geçerlilik Şartları
Kurul kararları ve mevzuat uyarınca açık rızanın geçerli sayılması için aşağıdaki şartların birlikte sağlanması genel çerçevede gerek görülmektedir:
Belirli Bir Konuya İlişkin Olma
Rıza, genel ve belirsiz bir ifadeyle değil, somut veri işleme faaliyetiyle sınırlı olmalıdır. Örneğin "tüm kişisel verilerimin işlenmesine rıza gösteriyorum" şeklinde genel bir onay, belirli bir konuya ilişkin olmadığı gerekçesiyle geçersiz sayılabilir. Her işleme amacı için ayrı rıza alınması veya tek metinde her amacın ayrı ayrı belirtilip onaylanması önerilir.
Bilgilendirmeye Dayanma
İlgili kişi, rıza vermeden önce veri sorumlusunun kimliği, işleme amacı, veri türleri, aktarım ve saklama süreleri hakkında bilgilendirilmiş olmalıdır. Bilgilendirme yetersizse rıza geçersiz sayılabilir. Aydınlatma metni rıza alınmadan önce sunulmalıdır.
Özgür İradeyle Açıklanmış Olma
Rıza, baskı, zorlama veya aldatma olmadan serbest iradeyle verilmelidir. İş ilişkisi veya hizmet sunumu koşuluna bağlı "rıza vermezseniz hizmet alamazsınız" gibi durumlar, özgür iradenin varlığı bakımından tartışmalı olabilir. Özellikle işveren-çalışan ilişkisinde bu hususa dikkat edilmesi önerilir. Çalışan verileri rehberimizde ayrıntı bulabilirsiniz.
Geçersiz veya Zayıf Rıza Örnekleri
Pratikte sık karşılaşılan ve geçerliliği tartışmalı olan durumlar:
- Ön işaretli (pre-ticked) kutular: Çerez veya pazarlama onayında kutu önceden işaretliyse rıza serbest iradeyle verilmiş sayılmayabilir.
- Genel ifadeler: "Şartları ve gizlilik politikasını kabul ediyorum" gibi tek tıkla birden fazla konuya onay verilmesi.
- Hizmete erişim koşulu: Temel hizmetin sunulması için zorunlu olmayan veri işleme faaliyetlerinin rızaya bağlanması.
- Okunamayan metinler: Küçük puntolu veya gizlenmiş bilgilendirme metinleri.
Kurul, çerez onayı konusunda kullanıcının "açık bir eylem" ile (örneğin tıklayarak) rıza vermesini ve ön işaretli kutuların kullanılmamasını önermektedir.
Rıza Geri Alınabilir mi?
KVKK, açık rızanın geri alınabileceğini düzenlemektedir. İlgili kişi rızasını her zaman geri alabilir; geri alma, rıza verilmeden önce yapılan işlemlere etki etmez ancak sonrasında veri işlemenin devam ettirilmesi mümkün olmaz. Rızanın geri alınması kolaylaştırılmalı, örneğin e-posta veya ayarlar üzerinden tek tıkla iptal imkânı sunulabilir.
Özel Nitelikli Verilerde Açık Rıza
Sağlık, biyometrik veri, siyasi düşünce gibi özel nitelikli kişisel verilerin işlenmesi, Kanunda öngörülen istisnalar dışında açık rızaya bağlıdır. Bu verilerde rıza şartları daha sıkı yorumlanabilir. Sadece "KVKK'yı kabul ediyorum" ifadesi tek başına yeterli olmayabilir; özel nitelikli veri türünün ve işleme amacının açıkça belirtilmesi önerilir.
Sonuç
Açık rızanın geçerli sayılması için belirli konuya ilişkin olma, bilgilendirmeye dayanma ve özgür iradeyle açıklanmış olma şartlarının birlikte sağlanması önem taşır. Web sitelerinde ve mobil uygulamalarda rıza mekanizmalarının bu ilkelere uygun tasarlanması genel olarak tavsiye edilir. Somut durumunuz için hukuk danışmanına başvurmanız önerilir.