Açık Rıza Nedir? KVKK’ya Göre Açık Rızanın Unsurları, Şartları ve Örnekler

1. Açık Rıza Nedir?

Açık rıza; bireylerin özgür iradeleriyle, belirli bir konuya ilişkin olarak ve yeterli bilgilendirme sonrasında kişisel verilerinin işlenmesine verdikleri onaydır. Bu onay, veri işleme amaçları, yöntemleri ve kapsamı hakkında bireyin bilinçli seçim yapmasını gerektirir.

Açık rıza, veri koruma düzenlemelerinin merkezinde yer alır ve:

• Bireyin kişisel verileri üzerindeki kontrolünü güçlendirir,
• Veri işleme süreçlerini şeffaf ve hesap verebilir hâle getirir,
• Kuruluşların veri işleme faaliyetlerinde hukuki dayanaktan biri olabilir.

Özetle açık rıza; “neye, neden ve nasıl izin verdiğini bilen” ilgili kişinin net, özgür ve bilgilendirilmiş onayıdır.

2. Açık Rızanın 3 Temel Unsuru

KVKK ve benzeri veri koruma düzenlemelerine göre geçerli bir açık rızadan bahsedebilmek için üç temel unsurun birlikte bulunması gerekir:

2.1. Belirli Bir Konuya İlişkin Olması

Açık rıza, belirli ve somut bir konuya ilişkin olmalıdır. Genel ve ucu açık ifadelerle verilen rızalar çoğu zaman geçerli kabul edilmez.

• “Kişisel verilerimin işlenmesini kabul ediyorum” gibi tamamen genel ifadeler yeterli değildir.
• Hangi veri kategorilerinin (kimlik, iletişim, alışveriş, konum vb.) hangi amaçlarla (fatura, kampanya, analiz vb.) işleneceği belirtilmelidir.
• Rıza, mümkün olduğunca amaç bazlı ve ayrıştırılmış olmalıdır (örneğin; zorunlu işlemler ayrı, pazarlama faaliyetleri ayrı rıza konusu yapılabilir).

2.2. Rızanın Bilgilendirmeye Dayanması

Açık rıza, ancak ilgili kişi yeterince bilgilendirildikten sonra verildiğinde geçerlidir. Bilgilendirme; anlaşılır, sade ve şeffaf olmalıdır.

• Veri sorumlusu kimdir?
• Hangi kişisel veriler işlenecektir?
• İşleme amaçları nelerdir?
• Veriler kimlere ve hangi amaçlarla aktarılacaktır?
• Saklama süresi nedir ve ilgili kişinin hakları nelerdir?

Metinlerde karmaşık hukuki terimlerden, çok küçük puntolardan, “gizlenmiş” ifadelerden kaçınılmalı; özellikle dijital ortamlarda bilgiye tek tıkla erişilebilir kısa ve net açıklamalar tercih edilmelidir.

2.3. Özgür İradeyle Açıklanması

Açık rıza, ilgili kişinin serbestçe karar verebildiği koşullarda verilmelidir. Zorlama, baskı, tehdit, hile veya ciddi bir dengesizlik varsa rızadan söz edilemez.

• Bir çalışan, işini kaybetmekten korktuğu için “mecburen” imzalıyorsa, bu durumda rızanın özgür irade ile verildiği söylenemez.
• Temel bir hizmete erişim için gerekmeyen veriler için “hizmeti kullanmak istiyorsan mutlaka izin ver” yaklaşımı da özgür iradeyi zedeler.
• İlgili kişiye her zaman “hayır” deme ve dilerse rızasını sonradan geri çekme imkânı tanınmalıdır.

Kısaca; belirli + bilgilendirilmiş + özgür iradeli üçlüsünden biri eksikse, “açık rıza” hukuken tartışmalı hâle gelir.

3. Açık Rızanın Sınırları ve Önemi

Açık rıza, veri koruma alanında birey haklarının ve verilerin güvenliğinin temel taşlarından biridir. Ancak her durumda “tek ve zorunlu” hukuki sebep değildir; KVKK’da açık rıza dışında da veri işleme şartları bulunmaktadır.

Açık rızanın önemi:

• İlgili kişinin verileri üzerinde kontrol sahibi olmasını sağlar,
• Veri işleme süreçlerine şeffaflık ve güven kazandırır,
• Özellikle pazarlama, profil çıkarma, çerezler, üçüncü taraf paylaşımları gibi alanlarda sıkça kullanılır.

Ancak:

• Aşırı geniş, tek seferde “her şeye rıza” talep eden metinler,
• Hizmet kullanımını gereksiz yere rızaya bağlayan uygulamalar,
• Geri alma mekanizması olmadan alınan rızalar

hem birey haklarını hem de veri sorumlusunun yasal uyumunu riske atar.

4. Geçerli Açık Rıza İçin Şartlar

Pratikte “rıza aldık” demek tek başına yeterli değildir. Veri sorumlusunun, rızanın varlığını ve niteliğini ispat edebilmesi gerekir. Bu nedenle aşağıdaki noktalara dikkat edilmelidir:

4.1. İspatlanabilirlik

• Rızanın ne zaman, hangi metin üzerinden, hangi yöntemle alındığı kayıt altına alınmalıdır.
• Dijitalde; log kayıtları, zaman damgası, IP bilgisi gibi kanıtlayıcı unsurlar saklanabilir.
• Veri sorumlusu, gerektiğinde “bu kişiden şu içerikle rıza aldım” diyebilmelidir.

4.2. Ayrıştırılmış ve Katmanlı Yaklaşım

• Zorunlu işleme faaliyetleri ile isteğe bağlı faaliyetler ayrıştırılmalıdır.
• Örneğin; “hizmet sunumu için gerekli veriler” ile “kampanya/iletişim için veriler” farklı kutucuklarla rızaya sunulabilir.
• İlgili kişi, her bir amaç için ayrı ayrı seçim yapabilmelidir.

4.3. Geri Alma Hakkı

• Açık rıza, her zaman geri alınabilir nitelikte olmalıdır.
• Rızanın geri alınması, rızanın verilmesi kadar kolay olmalıdır (örneğin; tek tıkla abonelikten çıkma bağlantısı).
• Geri alma talebi sonrasında, ilgili amaç için veri işleme faaliyeti durdurulmalıdır.

Unutulmamalıdır ki; açık rıza, diğer hukuki sebepler varken “otomatik” başvurulacak yol değildir. Uygun olduğu durumlarda, gerekliliği ve unsurları titizlikle değerlendirilmelidir.

5. Açık Rıza İçin Örnek Senaryolar

5.1. Hazır Giyim Mağazası Örneği

Bir hazır giyim mağazası; satış işlemini gerçekleştirebilmek için müşterinin fatura bilgilerini (ad, soyad, adres vb.) işleyebilir. Bu çoğu zaman sözleşmenin kurulması ve ifası kapsamında açık rıza dışında bir veri işleme şartına dayanabilir.

Ancak aynı mağaza, müşteriye kampanya, indirim ve özel teklif SMS/e-posta’ları göndermek istiyorsa, bu amaç için müşteriden:

• Belirli (pazarlama iletişimi),
• Bilgilendirilmiş (hangi kanallardan, hangi sıklıkta vb.),
• Özgür iradeli

bir açık rıza almalıdır.

5.2. İşyerinde Personel Verileri

İşverenin; bordro, SGK bildirimi, izin yönetimi gibi zorunlu süreçler için çalışan verilerini işlemesi çoğu zaman kanun ve sözleşme temeline dayanır. Bu faaliyetler için “açık rıza alıyorum” demek hem gereksiz hem de hatalı olabilir.

Buna karşın, örneğin; çalışanların fotoğraflarının web sitesinde veya sosyal medyada paylaşılması gibi zorunlu olmayan durumlarda, açık rıza alınması gerekebilir.

6. Açık Rıza Konusunda Sık Yapılan Hatalar

• Tek metinle “her şeye rıza” istemek:
  Zorunlu ve isteğe bağlı amaçların karıştırılması; ilgili kişiye gerçek bir tercih hakkı bırakmaz.
• Bilgilendirme yapmadan rıza almak:
  Sadece onay kutusu göstermek, arka planda uzun ve okunmayan metinlerle yetinmek; bilgilendirme unsurunu zayıflatır.
• Hizmet sunumunu gereksiz rızaya bağlamak:
  Temel hizmete erişim için zorunlu olmayan, pazarlama gibi ek amaçlar için de “zorunlu” rıza talep edilmesi.
• Rızanın geri alınmasını zorlaştırmak:
  Abonelikten çıkma bağlantısını gizlemek, karmaşık süreçler talep etmek veya geri alma talebini görmezden gelmek.
• Sözlü rızayı hiç kayıt altına almamak:
  Özellikle çağrı merkezlerinde; sözlü rızanın kayda alınmaması, ispat yükümlülüğünü riske sokar.

Açık rıza, yalnızca bir “metin” değil; uçtan uca tasarlanmış bir süreçtir. Metinler, arayüzler, loglar ve geri alma mekanizmaları birlikte düşünülmelidir.

7. Açık Rıza Metni Hazırlama ve Yönetme Rehberi

Açık rıza metni hazırlarken ve süreci tasarlarken aşağıdaki adımları kontrol listesi gibi kullanabilirsiniz:

• Veri sorumlusunun kimliği ve iletişim bilgileri net mi?
• Hangi veri kategorilerini işlediğinizi açıkça söylüyor musunuz?
• Her amaç için ayrı ve anlaşılır bir açıklama var mı?
• Rıza metni, aydınlatma metniyle karıştırılmadan tamamlayıcı şekilde kurgulandı mı?
• İlgili kişi, onay kutularını aktif ve bilinçli şekilde işaretliyor mu? (Önceden işaretli kutucuklar tercih edilmemeli.)
• Rızanın alındığı tarih, saat, kanal ve içerik kayıt altına alınıyor mu?
• Rızanın geri alınması için kolay ve görünür bir yol sunuyor musunuz?

Bu adımlar, hem bireylerin haklarını korumanıza hem de KVKK, GDPR gibi veri koruma düzenlemelerine uyum sağlamanıza yardımcı olur.