Kişisel Verilerde Açık Rıza

Kişisel verilerin işlenmesi sürecinde, ilgili kişilerin açık rızası önemli bir yere sahiptir. Anayasa’nın 20. maddesi ve Kişisel Verilerin Korunması Kanunu’na göre, kişisel veriler ancak belirli koşullarda veya ilgili kişinin açık rızasıyla işlenebilir. Bu açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan bir rıza olmalıdır. Açık rıza alınırken ilgili kişinin tam olarak bilgilendirilmesi ve rızasının hür iradesiyle verilmesi gerekmektedir. Aksi halde, açık rıza geçersiz hale gelebilir ve kişisel verilerin işlenmesi hukuka aykırı olabilir. Bu nedenle, veri sorumlularının açık rıza alırken dikkatli olmaları ve ilgili kişileri doğru bir şekilde bilgilendirmeleri önemlidir.

Kişisel Veri İşlemede Açık Rıza

Anayasa m.20/3 hükmüne göre, “kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir”. Dolayısıyla kişisel veri işleme kural olarak yasak olup, ancak ilgili kişinin rızası ile hukuka uygun hale gelecektir. İlgili kişinin kişisel verisinin işlenmesine ilişkin rızası, KVKK’da açık rıza olarak anılmış ve bu yönde bir tanımlamaya gidilmiştir. KVKK’da açık rıza, “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanmıştır. Kanunun gerekçesinde açık rızaya ilişkin “ilgili kişinin özgürce, konuyla ilgili yeterli bilgi sahibi olarak, tereddüde yer bırakmayacak açıklıkta ve sadece o işlemle sınırlı olarak verdiği onay beyanı” denmek suretiyle, açık rızanın unsurlarına vurgu yapılmıştır.

Açık rızanın belirli bir konuya ilişkin verilmiş olması gerekir. İlgili kişiden açık rıza alınırken, veri işleme konusunun ilgili kişiye bildirilmiş olması gerekir. Açık rıza alınan konunun dışında veri işleme yapılırsa, açık rıza geçersiz hale gelir. Bu yüzden açık rızanın verildiği konu belirli olmalı, veri işlenirken bu konunun dışına çıkılmamalıdır. Aksi halde verilen açık rıza; sadece o veri işleme konusu bakımından geçerli olacağından, diğer veri işleme konuları yönünden geçerliliğini yitirecektir. Yine açık rızanın verildiği konunun dışında veri işlemenin yapılması dürüstlük kuralına da aykırılık teşkil edecektir.

Kişisel veri işlenirken alınan açık rızanın bilgilendirmeye dayalı olması gerekir. İşleme faaliyetinden evvel ilgili kişi, kişisel verilerine yönelik “neden, nasıl, nerede, kimle, ne zaman, ne kadar” gibi sorularına yanıt alabilmeli, aklında herhangi bir soru işareti kalmamalıdır. Ancak bu hallerde açık rıza alınmadan evvel ilgili kişinin yeterince bilgilendirildiği (aydınlatıldığı) sonucuna varılabilir ve verilen açık rıza geçerli olur. Aksi halde açık rızanın sakatlandığı yorumu yapılabilecektir. Yine açık rıza alınırken genel ifadelerin yer aldığı, belirgin olmayan amaç bildirimleri açık rızayı geçersiz hale getirebilecektir. Ayrıca bilgilendirme yapılırken uzun, okuyucu dostu olmayan, küçük puntolarla okumu zorlaştırılmış metinler ile açık rıza talebi dürüstlük ilkesi ile bağdaşmaz.

Açık rıza beyanına ilgili kişinin hür iradesinin hâkim olması gerekir. İlgili kişi, açık rıza beyanı verirken kendi kararını kendi vermeli, beyanını dışarıya açıklama özgürlüğüne sahip ve onay beyanının bilincinde olmalıdır. Açık rıza alınırken ilgili kişi üzerinde cebir, tehdit, hile gibi hukuka aykırılıkların meydana gelmesi halinde açık rızanın varlığından söz edilemez. Hür irade ile açık rıza verilmesi unsuru, özellikle tarafların eşit durumda olmadığı anlarda önemlidir. Örneğin, işçi-işveren ilişkisinde işverenin açık rızayı dayatması, aksi halde iş akdine son vereceği tehdidi ile karşılaşılması mümkündür. Ya da tüketici ve satıcı arasındaki sözleşmelerde de zayıf taraf olan tüketicinin açık rıza vermesi, aksi halde malın satılamayacağı şart koşulabilir. Bu durumlarda açık rızanın geçersizliği söz konusu olabilecekken, somut her olaya göre değerlendirmenin yapılması gerekir. Açık rıza alınırken, rızanın hizmet şartına bağlanmaması hür irade ile rızanın verilmesi gerekliliğinin özel bir görünümüdür.

Diğer yandan veri sorumlularınca açık rıza alınmasının, kişisel veriler işlenmeden her koşulda uygulanması lazım gelen garanti bir yol olduğu anlaşılmamalıdır. Rıza yorgunluğu olarak adlandırılabilecek kişisel veri işleme şartlarının varlığına rağmen açık rıza alınmasını Kişisel Verileri Koruma Kurulu, ilgili kişinin yanıltılması ve yanlış yönlendirilmesi dolayısıyla hakkın kötüye kullanılması olarak yorumlanmıştır.

Yine verilen açık rıza, koşulsuz şartsız ilgili kişi tarafından geri alınabilecektir. Verilen açık rızanın ilgili kişi tarafından istendiği anda geri alınması, kişisel verilerin geleceğini belirleme hakkının uzantısıdır. Bu yüzden veri sorumlusu verilen açık rızanın geri alınmasını dürüstlük kuralı gereği engellememeli, geri alma yolunu zorlaştırmamalıdır. İlgili kişinin veri işlemeye yönelik açık rızasını geri alması ileriye etkili olarak sonuç doğuracaktır. Nitekim geri almadan evvel, rıza dahilinde kişisel veriler işlenmiş olduğundan, önceki işleme faaliyetlerinin sonucu ortadan kaldırılamayacaktır. Ancak veri sorumlusuna geri alma beyanı ulaştığı an itibariyle veri işleme faaliyetinin durdurulması gerekir.

Açık rızanın alınma şekline yönelik kanunda herhangi bir şekil şartı aranmamışsa da, veri sorumlusunun yükümlülükleri ve ispat yükü gereği, açık rızanın yazılı olarak fiziksel ortamda veya elektronik ortamda alınmasında fayda vardır.