Hizmetin Açık Rıza Şartına Bağlanması KVKK Kurul Kararı 2021/389

1. Karar 2021/389 Neyi Konu Ediniyor?

Kuruma intikal eden ihbarda; bir sigorta şirketinden bireysel emeklilik sözleşmesi (BES) yaptıran ilgili kişinin, şirketin internet sayfasındaki poliçe/sözleşme bilgilerine erişmek için giriş yapmak istediğinde bir onay kutucuğu ile karşılaştığı, bu kutucuk işaretlenmeden sistemde hiçbir işlem yapılamadığı ve bu durumun “kişisel verilerin işlenmesine onay vermeye zorlamak” anlamına geldiği ileri sürülmüştür.

2. İşlenen Veri Türleri ve İşleme Amaçları

İnceleme kapsamında veri sorumlusu; web üzerinden sunulan hizmetlerde müşterinin kim olduğunun anlaşılması ve kimlik doğrulama, tazminat taleplerinin alınması, poliçe/sözleşme ve teminatların kontrolü, hasar takibi ve e-posta ile bilgilendirme gibi amaçlarla kişisel veri işleyebildiğini belirtmiştir. Bu kapsamda, karar özetinde yer alan veri türleri arasında:

• Kimlik / doğrulama verileri: T.C. kimlik numarası, doğum tarihi, baba adı vb.
• İletişim verileri: Telefon numarası, e-posta adresi
• Özel nitelikli veri olabilecek içerikler: Sağlık bilgileri, sağlık hizmeti faturaları ve sağlık harcama bedeli talepleri

“Amaç” ile “Hukuki Sebep” Ayrımı Neden Kritik?

Birçok kurum, aydınlatma metinlerinde amaçları sıralamakla yetinerek “hukuki sebep” kısmını muğlak bırakabilmektedir. Oysa aydınlatma kapsamında hukuki sebep; KVKK m.5 ve m.6’da sayılan işleme şartlarından hangisine dayanıldığını ifade eder. Bu ayrım net değilse, veri işleme faaliyetinin “neden açık rıza istediği” veya “neden rıza istemediği” denetlenebilir şekilde ortaya konulamaz.

3. Kurulun Kritik Tespitleri (Aydınlatma + Açık Rıza)

Kurul, ihbar dilekçesi, veri sorumlusunun savunması ve ilgili mevzuat hükümlerini birlikte değerlendirerek iki ana eksende kritik tespitler yapmıştır: (i) aydınlatma metninin mevzuata uygunluğu, (ii) açık rızanın hizmet şartına bağlanıp bağlanmadığı ve rızanın geçerliliği.

A) Aydınlatma Metnine İlişkin Tespitler

• Hukuki sebep belirsizliği: “Hukuki sebep” başlığı altında KVKK m.5/m.6’daki hangi işleme şartına dayanıldığı açıkça gösterilmemesi, uyumsuzluk riski yaratır.
• Muğlak aktarım ifadeleri: “Sigortacılık ve sair mevzuat” gibi genel ibarelerin; aktarımın hangi mevzuata dayanarak yapıldığını açıkça belirtmemesi nedeniyle şeffaflık zafiyeti doğurabilir.
• Metinlerin güncelliği: Aydınlatmada yer alan kurum/kuruluş isimlerinin güncel olmaması, aydınlatmanın doğruluk/güncellik beklentisini zedeleyebilir.
• Aydınlatma ve rıza tek kutuda: Tek bir kutucukla hem “aydınlatmayı okudum/kabul ediyorum” hem de “açık rıza veriyorum” kurgusu, süreçlerin ayrıştırılması gerekliliğiyle çelişir.

B) Açık Rızanın Niteliği ve “Hizmete Bağlama” Tartışması

Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Kurul değerlendirmesinde; açık rızanın genel nitelikte olamayacağı, açık uçlu veri işleme faaliyetleri için rıza alınamayacağı, ayrıca taraflar arasında güç dengesizliği varsa özgür iradenin daha dikkatle ele alınması gerektiği vurgulanmıştır.

Bununla birlikte kararda; ilgili dijital uygulamanın kullanımında talep edilen verilerin, sözleşmenin kurulması/ifası ile bağlantılı bir işleme şartı kapsamında değerlendirilebileceği ve bu yönüyle “hizmetin açık rızaya şart koşulmasından söz edilemeyebileceği” yönünde bir değerlendirme de yer almıştır. Ancak aynı uygulamada açık rıza alınması ve aydınlatma ile rızanın iç içe geçirilmesi, veri sorumlusunun hukuki sebebi net ifade etme yükümlülüğünü daha da kritik hale getirmiştir.

Kararın En Stratejik Mesajı

Eğer veri işleme faaliyeti KVKK m.5/2 veya m.6 kapsamındaki açık rıza dışındaki bir şartla yürütülebiliyorsa, buna rağmen açık rıza alınması; aldatıcı veya hakkın kötüye kullanımı niteliğinde görülebilir ve bu durum KVKK m.4’teki “hukuka ve dürüstlük kurallarına uygun olma” ilkesine aykırılık riski doğurabilir.

4. Hukuki Çerçeve: KVKK m.4, m.5, m.10 ve Tebliğ

Karar özeti; özellikle aşağıdaki düzenlemelerin birlikte değerlendirilmesiyle şekillenmiştir:

• KVKK m.10 (Aydınlatma yükümlülüğü): Veri sorumlusunun, veri elde edilirken ilgili kişiyi belirli unsurlarla bilgilendirmesi gerekir.
• Aydınlatma Tebliği: Aydınlatmanın kapsamı ve usulü; ayrıca aydınlatma ile açık rızanın birbirinden ayrıştırılması yaklaşımı.
• KVKK m.5 (Kişisel verilerin işlenme şartları): Açık rıza kural; m.5/2’deki şartlar mevcutsa rıza aranmaksızın işleme mümkündür.
• KVKK m.4 (Genel ilkeler): Hukuka ve dürüstlük kurallarına uygunluk, amaçla bağlantılı-sınırlı-ölçülü olma, süreyle sınırlılık vb.

Sigorta/BES Özelinde Pratik Risk Noktaları

Sigorta ve BES süreçlerinde; sözleşmesel yükümlülükler, mevzuat gereği saklama/raporlama, fraud yönetimi ve kimlik doğrulama gibi süreçler, veri işleme faaliyetlerinin hukuki dayanağını çoğu zaman “açık rıza” dışına taşıyabilir. Bu durumda “genel rıza” yaklaşımı yerine; işleme faaliyetini doğru şartla gerekçelendirme ve yalnızca gerçekten rıza gerektiren kısımlar için rıza alma, uyumun daha sağlıklı yönetilmesini sağlar.

5. Sigorta/BES Dijital Kanallarda Uyum Yol Haritası (Uygulanabilir Kontrol Listesi)

Aşağıdaki adımlar; sigorta ve BES online işlemlerinde (web/mobil) “onay kutucuğu tasarımı”, aydınlatma/rıza ayrımı ve hukuki sebep netliği açısından 2021/389 kararında öne çıkan riskleri azaltmaya yönelik pratik bir çerçeve sunar.

1) İşleme Faaliyetlerini Haritalayın

• Dijital giriş/kimlik doğrulama, poliçe görüntüleme, hasar/tazminat, bildirimler ve destek süreçlerini ayrı ayrı listeleyin.
• Her süreç için veri kategorisi, amaç, saklama süresi, alıcı grupları ve hukuki sebep eşleştirmesi yapın.
• Özel nitelikli veri (örn. sağlık) geçen adımlarda ayrı risk değerlendirmesi uygulayın.

2) Aydınlatma Metnini Tebliğe Uyumlu Hale Getirin

• Hukuki sebebi, KVKK m.5/m.6’daki işleme şartlarına açıkça bağlayın (genel ifadelerden kaçının).
• “Sair mevzuat” gibi muğlak aktarım ifadelerini netleştirin; alıcı gruplarını ve aktarım amaçlarını güncel tutun.
• Metin güncelliği için periyodik gözden geçirme takvimi oluşturun (versiyonlama + yürürlük tarihi).

3) Açık Rıza Mekanizmasını Ayrıştırın ve Sınırlayın

• Aydınlatma kabulü ile açık rıza beyanını aynı kutucukta toplamayın.
• Rıza gerekiyorsa; rızayı belirli konuya özgü ve granüler (kategori bazlı) tasarlayın.
• Rızanın geri alınması ve tercih yönetimi için erişilebilir bir mekanizma kurun (panel/hesap ayarları).

4) “Hizmete Bağlama” Algısını Yönetin

• Rıza gerektirmeyen zorunlu işlemler için rıza istemeyin; rıza istenecekse hangi hizmetin hangi kısmı için istendiğini açıkça belirtin.
• Rıza verilmediğinde kullanıcıya “hiç işlem yaptırtmama” kurgusu oluşturulacaksa, bunun hukuki gerekçesini ve alternatif kanalları kurumsal olarak değerlendirin.
• Kullanıcı arayüzünde yanıltıcı/tek seçenekli tasarımlardan kaçının (şeffaf ve anlaşılır dil).

5) İspat ve Denetlenebilirlik

• Rıza kayıtlarını zaman damgası, kanal (web/mobil), metin versiyonu ve kullanıcı aksiyonu ile birlikte saklayın.
• Aydınlatma metninin ilgili kişiye sunulduğunu ve erişilebilir olduğunu gösterecek kayıt/kanıt mekanizması oluşturun.
• Çağrı merkezi ve acente kanallarında da aynı standartta aydınlatma/tercih süreçlerini uyumlu hale getirin.

6. Sık Sorulan Sorular (SSS)