KVKK m. 3'e göre açık rıza; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Kişisel veriler, m. 5 uyarınca kural olarak ilgili kişinin açık rızası olmaksızın işlenemez; ancak kanunda sayılan hâllerde açık rıza aranmadan işleme mümkündür.
Geçerli bir açık rıza üç unsuru birlikte taşımalıdır: rıza belirli bir konuya ilişkin olmalı (battaniye rıza geçersizdir), bilgilendirilmeye dayanmalı (neye rıza verildiği bilinmeli) ve özgür iradeyle açıklanmalıdır (baskı, yanıltma veya dayatma bulunmamalıdır).
Rızanın yazılı olması şart değildir; ancak ispat yükü veri sorumlusunda olduğundan uygulamada yazılı veya kayıt altına alınmış rıza tercih edilir.
Rızanın kapsamı, verildiği amaçla sınırlıdır; amaç değişirse yeni rıza alınması veya başka bir işleme şartına dayanılması gerekir.
Bir ürün veya hizmetin sunulması açık rıza şartına bağlanmışsa, rızanın özgür iradeyle verildiği söylenemez; Kurul uygulamasında hizmetin rıza koşuluna bağlanması, rızayı sakatlayan bir unsur olarak değerlendirilir.
Aynı şekilde işçi-işveren ilişkisindeki bağımlılık, rızanın özgürlüğünü tartışmalı kılar; iş ilişkisinde açık rıza yerine diğer işleme şartlarına dayanmak çoğu kez daha doğrudur.
KVKK m. 5/2; kanunlarda açıkça öngörülme, fiili imkânsızlık, sözleşmenin kurulması veya ifası için gereklilik, veri sorumlusunun hukuki yükümlülüğü, verinin ilgili kişice alenileştirilmesi, bir hakkın tesisi-kullanılması-korunması ve meşru menfaat hâllerinde açık rıza aranmaksızın işlemeye izin verir.
Bu şartlardan biri varsa ayrıca açık rıza alınması yanıltıcıdır: Kurul, işleme şartı mevcutken açık rızaya başvurulmasını, ilgili kişiyi hakları konusunda yanıltan bir uygulama olarak görür.
Şart seçiminin doğru yapılması, hem aydınlatma metninin hukuki sebep hanesini hem olası denetim savunmasını belirler.
Açık rıza, kişiye sıkı sıkıya bağlı bir haktır ve her zaman geri alınabilir; geri alma, ileriye etkili sonuç doğurur ve rızaya dayalı işleme faaliyeti durdurulur.
Geri almanın ardından, başka bir işleme şartı da yoksa veriler silinir, yok edilir veya anonim hâle getirilir.
Geri alma, o ana kadar yapılmış işlemlerin hukuka uygunluğunu etkilemez; etkisi geleceğe dönüktür.
Sağlık, din, dernek üyeliği ve biyometrik veriler gibi özel nitelikli kişisel verilerin işlenmesi daha sıkı şartlara tabidir; bu verilerde açık rızanın kapsamı ve alternatif işleme şartları kanunda ayrıca düzenlenir.
Özel nitelikli verilerde yeterli önlemlerin alınması da zorunludur; ihlaller, hem idari yaptırım hem ceza sorumluluğu doğurabilir.
Bu alandaki ihlallerin yaptırımı ağırdır; özel nitelikli veri işleyen kuruluşların süreçlerini ayrıca gözden geçirmesi gerekir.
Rıza metinleri; işleme amacını, veri kategorilerini ve aktarım alıcılarını ayrı ayrı göstermeli, her amaç için ayrı onay kutusuyla alınmalıdır; tek kutuda toplanan çoklu amaçlar rızayı belirsizleştirir.
Aydınlatma ile açık rıza aynı metinde birleştirilmemelidir; Kurul, iki işlemin ayrı yürütülmesini arar.
Rızanın alındığı tarih, kanal ve metin sürümü kayıt altına alınmalı; geri alma kanalının da rıza verme kadar kolay olması sağlanmalıdır.
Belirli bir konuya ilişkin olması, bilgilendirilmeye dayanması ve özgür iradeyle açıklanması gerekir.
Hayır; ancak ispat yükü veri sorumlusunda olduğundan kayıt altına alınmış rıza tercih edilir.
Hayır; hizmetin rıza koşuluna bağlanması rızanın özgür iradeyle verilmediği sonucunu doğurur.
Evet, her zaman; geri alma ileriye etkilidir ve başka işleme şartı yoksa veriler imha edilir.
Kanunda sayılan şartlardan biri varsa evet: kanuni öngörü, sözleşme gerekliliği, hukuki yükümlülük, alenileştirme, hakkın korunması ve meşru menfaat gibi.
KVKK başvuruları, Kurul şikâyetleri ve tazminat süreçlerinde hukuki destek için bize ulaşın.