Açık Rıza Hangi Hallerde Gerekmez?
Açık rıza aranmayan haller KVKK md. 5/2'de sayılır: kanuni öngörü, sözleşmenin ifası, hukuki yükümlülük, alenileştirme, hakkın tesisi ve meşru menfaat.
Açık Rıza Hangi Hallerde Gerekmez?
İlgili hizmet sayfası → Fikri Mülkiyet Avukatı: Marka, telif, haksız rekabet ve dijital hukuk uyuşmazlıkları için hizmet sayfası.
Kısa cevap: KVKK md. 5/2'de sayılan yedi halden biri varsa açık rıza aranmaz. Bu haller kanunlarda açıkça öngörülme, fiili imkansızlık nedeniyle hayati menfaatin korunması, sözleşmenin kurulması veya ifasıyla doğrudan ilgililik, veri sorumlusunun hukuki yükümlülüğü, ilgili kişinin veriyi alenileştirmesi, bir hakkın tesisi kullanılması veya korunması ve veri sorumlusunun meşru menfaatidir1.
Sıralama önemlidir. Açık rıza, işleme şartlarının ilki değil son çaresidir. Doğru yöntem, önce diğer altı sebebin uygulanabilirliğini test etmek, hiçbiri karşılanmıyorsa rızaya başvurmaktır.
1. Açık Rızanın Üç Geçerlilik Unsuru
KVKK md. 3, açık rızayı belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan onay olarak tanımlar. Üç unsurdan biri eksikse rıza yok hükmündedir ve işleme dayanaksız kalır.
Belirlilik, rızanın tek bir işleme faaliyeti için alınmasını gerektirir. "Kişisel verilerimin işlenmesini kabul ediyorum" biçimindeki genel onay, hangi veriyi hangi amaçla kapsadığını göstermediği için geçersizdir.
Bilgilendirme, rızanın aydınlatma sonrasında alınmasını zorunlu kılar. Ancak aydınlatma metni ile rıza beyanı aynı belgede birleştirilemez; ikisi farklı hukuki işlemdir ve birleştirildiğinde her ikisi de sakatlanır.
Özgür irade, rızanın reddedilebilir olmasını gerektirir. Rıza verilmediğinde hizmet sunulmuyorsa irade özgür değildir. Uygulamadaki en yaygın geçersizlik sebebi budur.
Önemli: Açık rıza her zaman geri alınabilir. Geri alma ileriye etkilidir ve gerekçe gerektirmez. Zorunlu bir işleme faaliyetini rızaya dayandıran veri sorumlusu, rıza geri alındığı anda hukuki sebepsiz kalır. Bu nedenle rıza, gerçekten opsiyonel olan işlemeler için ayrılmalıdır.
2. Rıza Aranmayan Yedi Hal
Kanunlarda açıkça öngörülme. Vergi, sosyal güvenlik, iş, bankacılık ve suç gelirlerinin aklanmasının önlenmesi mevzuatı gibi düzenlemeler, belirli verilerin işlenmesini doğrudan emreder. Ölçüt kanunun açık hükmüdür; ikincil düzenlemeye dayanan genel bir yorum yeterli olmaz.
Fiili imkansızlık. Rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olan işleme. Acil tıbbi müdahale tipik örnektir; kapsam dardır.
Sözleşmenin kurulması veya ifası. Sözleşmenin taraflarına ait verilerin, sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması. Sipariş için adres, iş sözleşmesi için banka hesabı bu kapsamdadır. "Doğrudan doğruya" ölçütü sınırı çizer: teslimat için gereken adres bu şarta girer, sonraki kampanya bildirimleri girmez.
Hukuki yükümlülüğün yerine getirilmesi. Veri sorumlusunun kanundan doğan bir yükümlülüğü ifa etmesi için işlemenin zorunlu olması. Fatura düzenleme, bordro tutma ve kanuni saklama süreleri bu sebebe dayanır.
Alenileştirme. İlgili kişinin veriyi kendisinin alenileştirmiş olması. Kapsam sınırlıdır: aleniyet, alenileştirme iradesinin kapsadığı amaçla sınırlıdır. Web sitesinde kurumsal iletişim için yayımlanan telefon numarası, pazarlama listesine eklenmeyi meşrulaştırmaz.
Hakkın tesisi, kullanılması veya korunması. Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması. Dava dosyası hazırlığı, alacak takibi ve delil saklama bu kapsamda değerlendirilir.
Meşru menfaat. İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için işlemenin zorunlu olması. Bu sebep bir denge testi gerektirir ve yedi sebep içinde en çok tartışılanıdır.
3. Meşru Menfaat Testi
Meşru menfaat, otomatik bir dayanak değildir. Üç aşamalı bir değerlendirme yapılmadan bu sebebe dayanılamaz.
İlk aşamada menfaatin meşruluğu belirlenir: menfaat hukuka uygun, gerçek ve güncel olmalıdır. İkinci aşamada zorunluluk sınanır: aynı amaca daha az veri işleyerek ulaşmak mümkünse şart karşılanmaz. Üçüncü aşamada denge kurulur: ilgili kişinin makul beklentisi, işlemenin öngörülebilirliği ve doğurduğu risk tartılır.
Ağırlıklı olarak kabul gören uygulama alanları iç idari süreçler, bilgi güvenliği ve dolandırıcılık önleme faaliyetleridir. Buna karşılık davranışsal reklam, profilleme ve üçüncü taraf veri zenginleştirme faaliyetlerinde denge çoğunlukla ilgili kişi lehine kurulur. Kişisel Verileri Koruma Kurulu'nun yerleşik yaklaşımında, meşru menfaat iddiasının yazılı bir denge testiyle desteklenmesi beklenmektedir.
Test yapılmadan meşru menfaate dayanmak, incelemede savunma değil boşluk üretir. Analiz, işleme başlamadan önce yazılı hale getirilmeli ve envanterde ilgili faaliyetin karşısına işlenmelidir.
4. Rızanın Zorunlu Kaldığı Alanlar
Rıza aranmayan haller listesi geniştir, ancak bazı faaliyetler bu listeye sığmaz.
Elektronik ticari ileti gönderimi kendi rejimine tabidir. 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun uyarınca alıcının önceden onayı alınmadan ticari elektronik ileti gönderilemez2. Bu onay, KVKK açık rızasından ayrı ve ek bir gerekliliktir. İki rejimin birlikte uygulanması müşteriye SMS göndermek yasal mı başlığında ele alınmıştır.
Zorunlu olmayan çerezler ile ölçümleme ve reklam teknolojileri de rıza gerektirir. Site işleyişi için zorunlu çerezler dışındaki izleme araçlarında meşru menfaat dayanağı kural olarak kabul görmez. Çerçeve web sitemde çerez izni almak zorunda mıyım başlığındadır.
Özel nitelikli veriler ayrı bir liste ile korunur. KVKK md. 6, bu veriler için kendi işleme şartlarını kurar; md. 5/2'deki sebepler doğrudan uygulanmaz. Ayrım özel nitelikli kişisel veri nedir başlığında açıklanmıştır.
Uygulamada
En sık yapılan hata, tek bir rıza metniyle tüm işleme faaliyetlerini kapsama girişimidir. İşe alım, bordro, müşteri ilişkileri ve pazarlama; her biri farklı hukuki sebebe dayanır ve tek bir onay kutusuna sığmaz. Doğru yöntem, veri işleme envanterinde her faaliyetin karşısına ayrı hukuki sebep yazmaktır.
İkinci hata, rızanın gereksiz yere alınmasıdır. Sözleşmenin ifası için zorunlu bir işlemede ayrıca rıza istemek, ilgili kişide bu işlemenin reddedilebilir olduğu izlenimi yaratır. Rıza geri alındığında veri sorumlusu ya işlemeyi durdurmak ya da hukuki sebebin aslında rıza olmadığını sonradan savunmak zorunda kalır. İkinci yol, çelişkili beyan nedeniyle zayıftır.
Üçüncü hata ispat eksikliğidir. Rızanın alındığını ispat yükü veri sorumlusundadır. Kimin, ne zaman, hangi metne, hangi kanaldan onay verdiği kayıt altında değilse rıza hukuken yok sayılır. Rıza kayıtları, metnin o tarihteki sürümüyle birlikte saklanmalıdır; metin sonradan değiştiğinde eski onay yeni kapsamı meşrulaştırmaz.
Dördüncü nokta hukuki sebep değişikliğidir. Bir işleme faaliyetinin dayanağı sonradan değiştirilemez. Rızaya dayanılarak başlanan bir işlemeye, rıza geri alındığında meşru menfaat gerekçesiyle devam edilmesi kabul görmez. Sebep, işleme başlamadan önce doğru seçilmelidir.
İlgili içerikler için bkz. Haksız Rekabet, Kişisel Verilerin Korunması: Temel Çerçeve ve Yükümlülükler, İletişim Formu İçin KVKK Açık Rıza Gerekir mi?, Özel Nitelikli Kişisel Veri Nedir?.
Dipnotlar
Sonraki dosya · Soru
Aracı Hizmet Sağlayıcı ile Yer Sağlayıcı Arasındaki Fark Nedir?
Dosyayı aç →