Kişisel veri, kimliği belirli veya belirlenebilir her türlü bilgidir. Kişisel Verilerin Korunması Kanunu’ndaki (KVKK) haliyle kişisel verilerin işlenmesinde açık rıza alınması kuraldır. İstisnai olarak KVKK’da yer alan bazı hallerde açık rıza alınmaksızın kişisel verilerin işlenmesi mümkündür. Açık rıza dahilinde veya KVKK’daki kişisel verilerin işlenme şartları dahilinde hukuka uygun kişisel veri işleme yapılabilmektedir. KVKK’da belirtilen kişisel veri işleme şartlarından en az birine dayanarak işleme yapılamıyorsa, açık rıza alınarak kişisel veri işlenebilmektedir. KVKK m.5’te yer alan kişisel veri işleme şartlarının en az biriyle veri işlenebilecekken, açık rıza alarak kişisel veri işlenmesi hakkın kötüye kullanılması anlamlarına gelmektedir. Bu yüzden öncelikle KVKK m.5’te yer alan kişisel veri işleme şartlarına dayanarak kişisel veri işlenip işlenemediği irdelenmeli, bu şartlar uygun değilse açık rıza alınması şartına başvurulmalıdır.
İçindekiler
Açık rıza nedir?
Aslında hukuken rıza ifadesi yeterli iken, KVKK terminolojisinde açık rıza kavramı tercih edilmiş ve bu sayede nitelikli bir rıza hali düzenlenmiştir. Nitelikli rıza ifadesi olarak açık rıza kavramının tercih edilmesi ilk defa 95/46/EC sayılı AB Direktifi ile olmuştur. Direktif’te rıza yerine açık rıza (explicit consent) kavramı tercih edilmiştir. Nitekim açık rıza kavramı KVKK ile Türk hukukunda da yer bulmuş ve belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza şeklinde tanımlanmıştır.
Kişisel veri işleme için açık rıza verenin aktif bir hareketle bilinçli olarak rıza vermesi gereklidir. Yani açık rıza verilirken, rıza verenin bu yönde bir olumlu bir iradesinin olması, rıza vermek adına aktif bir hareket içerisine girmesi gereklidir. Örneğin, bir aydınlatma metni içerisine gömülü halde metin imzalandığında açık rıza verilmiş sayılacağı veya rıza açıklamasını zorunlu kılma gibi hallerin yer aldığı metinler KVKK anlamında nitelikli rızayı (açık rıza) oluşturmayacaktır. Standart ifadelerin yer aldığı hazır metinlerde, açık rıza vermiş sayılma benzeri örtülü irade beyanları açık rıza kapsamında değerlendirilmemekte ve battaniye rıza olarak adlandırılmaktadır. Battaniye rızalar KVKK için geçerli irade açıklamaları değildir. Bu yüzden rıza veren kişinin rıza verdiği hususa yönelik açık ve olumlu bir irade açıklaması şarttır.
Açık rızanın unsurları
O halde KVKK’da açık rızanın unsurları, rızanın belirli bir konuya ilişkin olması, bilgilendirilmeye dayanması ve özgür iradeyle açıklanması şartlarına bağlanmıştır.
Açık rıza belirli bir konuya ilişkin olmalıdır
Açık rıza, belirli bir konuya ilişkin verilmelidir. Veri sorumlusu açık rızayı ne için istiyorsa bunu özel ve dar olarak belirtmeli ve veri ilgisinden de bu yönde açık rıza beyanı almalıdır. Genel ifadeler içeren belirli bir konuya ilişkin olmayan açık rıza beyanları hukuken geçerli değildir. Açık rızaların sınırlı olması ve istenen konu doğrultusunda verilmiş olması gereklidir. Bir konuda verilen açık rıza beyanı, başka bir konuda kişisel verinin işlenmesi için gerekçe değildir. Örneğin, müşterisine reklam SMS’i göndermek için açık rıza isteyen veri sorumlusu, aynı telefon numarasını mağaza içerisindeki ayın müşterisi panosunda sergileyemez. Nitekim açık rıza sadece reklam SMS’i gönderimi konusunda verilmiştir, diğer konulara yönelik açık rıza alındığı iddia edilemeyecektir. Bu yüzden açık rıza beyanları, verildikleri konu dahilinde geçerli olur. Aksi halde kişisel veri işleme için verilen rıza geçersizdir.
Açık rıza bilgilendirilmeye dayanmalıdır
Açık rıza verilmeden önce, ilgili kişi bilgilendirilmelidir. Nitekim açık rıza zaten kavram bakımından bilgilendirme niteliğini de içinde barındırır. Yeterince bilgilendirme yapılmamış ise kişi hangi hususa ilişkin açık rıza verdiğini de bilmeyecektir. Bu yüzden açık rıza noktasının olmazsa olmazlarından biri bilgilendirme şartıdır.
Açık rıza verecek kişi, kişisel veri işleme süreçlerine ve açık rızanın anlam ve sonuçlarına ilişkin ve geri alınıp alınmayacağına ilişkin bilgilendirilmelidir. Yapılacak bu bilgilendirme kural olarak kişisel veri işlemeden önce yapılmalıdır ki ilgili kişi ne için açık rıza vereceğini bilsin. Ancak en geç kişisel verilerin işlenmesi sırasında verilebileceği de kabul edilmelidir. Yine işin doğası gereği kişisel veri işlemek için açık rıza almadan evvel ilgili kişi bilgilendirilmelidir.
Açık rıza özgür iradeyle açıklanmalıdır
İlgili kişi, kişisel verisinin işlenmesi noktasında açık rıza verecekse bu irade açıklamasını özgür bir şekilde yapmalıdır. İradesini sakatlayacak bir ortam mevcut olmamamalı, kişi herhangi bir şekilde baskı, tehdit, cebir altında açık rıza vermiş olmamalıdır. Eğer özgür irade dışında bir rıza alınması söz konusu ise burada geçerli bir açık rızadan bahsedilemeyecektir. Veri sorumlusu tarafından kişisel veri işleme süreçlerinde açık rıza alınırken tehdit, baskı, şantaj, hile, aldatma söz konusu ise buradaki irade beyanı açık rıza değildir. Çünkü açık rıza ancak ve ancak özgür iradenin bir sonucu olarak verilebilecektir. Örneğin, işçi-işveren ilişkisi içerisinde olan bir kişi grubu arasında işverenin açık ve örtülü baskısı ile işçinin rıza vermesi mümkün olabilir. Çünkü burada işçi, işten atılma tehlikesi ve baskısı ile ilgili işleme sürecine rıza göstermiş olabilir. Ancak bu tipteki irade açıklamalarının geçerli olduğunu söylemek doğru değildir.
Ayrıca açık rızanın hizmet şartına dayandırılması halinde geçersizlik söz konusu olmaktadır. Açık rıza vermemesi halinde o hizmetten faydalanamayacağını veya o ürünü satın alamayacağını bilen bir kişinin baskı altında olmadığını söylemek mümkün değildir. Bu şartlar altında ilgili kişinin özgür iradeyle açık rıza verdiği söylenemeyecektir. Bu yüzden açık rıza bir hizmet şartına bağlanırsa geçersizlik söz konusu olur. Örneğin, giyim mağazasında indirimden faydalanmak için kişisel verilerinizin reklam amacıyla işlenmesine rıza göstermeniz halinde verilen rıza, açık rıza değildir ve geçersizdir.
