KVKK Kapsamında Açık Rıza ve Rızasız Veri İşleme Şartları

Açık Rıza Nedir ve Hangi Unsurları Taşımalıdır?

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında açık rıza; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanmıştır. Bu doğrultuda bir rıza beyanının geçerli olabilmesi için rızanın belirli bir konuya yönelik bulunması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması gerekmektedir. Genel nitelik taşıyan battaniye rızalar hukuken geçerli kabul edilmemektedir.

Açık rızanın geçerli kabul edilmesi için aktif bir irade beyanı bulunmalıdır. Önceden işaretlenmiş kutular, sessiz kalma, pasif tutum veya itiraz etmeme halleri açık rıza yerine geçmemektedir. İlgili kişinin açık, anlaşılır ve tereddüde yer bırakmayacak biçimde rıza gösterdiği ispatlanabilir olmalıdır; zira rızanın varlığına ilişkin ispat yükü veri sorumlusuna aittir.

Açık rızanın bir hizmetin sunulmasının zorunlu şartı haline getirilmesi veya kişinin rıza vermeye fiilen mecbur bırakılması durumunda, bu rızanın özgür iradeye dayandığından söz etmek güçleşmektedir. Açık rıza beyanına ilişkin olarak mevzuatta belirlenmiş herhangi bir şekil şartı öngörülmemiştir; geçerlilik unsurlarını taşıdığı sürece sözlü, yazılı veya elektronik ortamda açık rıza alınabilmektedir.

Açık Rıza ve Aydınlatma Metinlerinin Ayrılığı İlkesi

Kişisel verilerin işlenmesinde açık rıza ile aydınlatma yükümlülüğünün iç içe geçirilmemesi gerekmektedir. Açık rıza ve aydınlatma metinlerinin ayrı başlıklar altında düzenlenmesi, aynı sayfada yer alsalar dahi iki metin için ayrı beyan alınması esastır. Ayrıca aydınlatma metinlerinde okudum ve onaylıyorum gibi rıza anlamına gelebilecek onay ifadelerinden kaçınılmalıdır.

Açık Rıza Aranmaksızın Kişisel Veri İşlenebilecek Haller

6698 sayılı Kanun'un 5. maddesinin birinci fıkrasına göre kişisel veriler kural olarak ilgili kişinin açık rızası bulunmaksızın işlenemez. Ancak aynı maddenin ikinci fıkrasında düzenlenen şartlardan birinin varlığı durumunda açık rıza alınmasına gerek bulunmamaktadır. Bu doğrultuda kanunlarda açık düzenleme yer alması veya fiilî imkânsızlık nedeniyle iradesini beyan edemeyecek halde bulunan yahut rızasına hukuken geçerlilik tanınmayan bir kimsenin kendisinin veya başkasının hayatı ya da beden bütünlüğünü korumak adına veri işlemenin zorunlu kılınması halinde açık rıza aranmaz. Benzer şekilde taraflar arasındaki bir sözleşmenin akdedilmesi veya ifasıyla doğrudan doğruya ilgili olmak koşuluyla akdin taraflarına ait kişisel verilerin işlenmesinin gerekli görülmesi, veri sorumlusunun kanuni yükümlülüklerini yerine getirebilmesi için veri işlemenin zorunlu olması, verinin bizzat ilgili kişi tarafından alenileştirilmiş bulunması ve bir hakkın tesis edilmesi, kullanılması veya korunması maksadıyla veri işlemenin mecburi olması hallerinde de rıza aranmaksızın kişisel veri işlenebilmektedir.

Bunun yanı sıra veri sorumlusunun meşru menfaatlerini sağlamak amacıyla veri işlemenin zorunlu görüldüğü hallerde, ilgili şahsın temel hak ve hürriyetlerine zarar vermemek kaydıyla açık rıza aranmaksızın kişisel veri işlenebilir. Söz konusu hukuki sebebe başvurulduğunda veri sorumlusunun menfaati ile ilgili bireyin temel hak ve özgürlükleri arasındaki dengenin kurulması esastır.

Özel Nitelikli Kişisel Verilerin İşlenme Şartları

Kişinin ırkına, etnik kökenine, siyasi kanaatine, felsefi inancına, din ve mezhep dahil tüm inançlarına, giyim ve kuşamına, dernek, vakıf yahut sendika üyeliklerine, sağlık durumuna, cinsel hayatına, ceza mahkûmiyeti ile güvenlik tedbirlerine ilişkin bilgiler ve biyometrik ile genetik veriler kanun gereğince özel nitelikli sayılır. 6698 sayılı Kanun'un 6. maddesinin ikinci fıkrası 7499 sayılı Kanun düzenlemesiyle yürürlükten kaldırılmış olup maddenin üçüncü fıkrasında yer verilen işleme şartları revize edilmiş ve yeni hukuki gerekçeler ihdas edilmiştir.

6698 sayılı Kanun'un 6. maddesinin üçüncü fıkrası uyarınca kural olarak özel nitelikli verilerin işlenmesi yasaklanmıştır. Bununla birlikte kişinin açık rıza göstermesi veya kanunda açıkça öngörülmesi durumunda bu veriler işlenebilir. Ayrıca fiilî imkânsızlık yüzünden rızasını bildiremeyecek vaziyette olan yahut beyanına hukuken geçerlilik bağlanmayan bir bireyin kendisinin ya da başka bir kimsenin yaşamı ile beden bütünlüğünü muhafaza etme zorunluluğunun bulunması halinde işleme hukuka uygun kabul edilir. Veri sahibinin bizzat alenileştirdiği verilere ilişkin bulunması ve alenileştirme iradesine sadık kalınması ile bir hakkın kurulması, icra olunması veya müdafaası bakımından işlemenin mecburi olduğu durumlar da istisnalar arasında sayılmıştır.

Özel nitelikli verilerin açık onay aranmaksızın işlenebileceği bir diğer alan sağlık ve koruyucu hekimliktir. Sır saklama mükellefiyeti taşıyan kimseler veya yetkilendirilmiş kurum ve kuruluşlar tarafından toplum sağlığının muhafazası, koruyucu hekimliğin icrası, tıbbi teşhis, tedavi ve bakım faaliyetlerinin sürdürülmesi ile sağlık alanındaki hizmetlerin planlanması, idaresi ve finansmanının sağlanması için gerek duyulması halinde işleme yapılabilir. Buna ek olarak istihdam ilişkisi, iş sağlığı ve güvenliği tedbirleri, sosyal güvenlik mevzuatı ile sosyal hizmet ve yardım alanındaki yasal yükümlülüklerin ifası için veri işlemenin zorunlu bulunduğu hallerde de bu tür veriler işlenebilmektedir.

Siyasi, felsefi, dini yahut sendikal gayeler güden dernek, vakıf ve benzeri kâr amacı gütmeyen teşekküller de bağlı oldukları mevzuat ve amaçlarına sadık kalmak, faaliyet alanlarının sınırlarını aşmamak ve üçüncü şahıslara ifşa etmemek şartıyla belirli verileri işleyebilir. Bu istisna yalnızca kuruluşun şimdiki veya geçmişteki üyelerine, mensuplarına ya da bu yapılarla devamlı irtibat halinde bulunan kişilere hasredilmiştir. Sayılan hukuki sebepler mevcut olsa dahi, özel nitelikli verilerin işlenmesi sürecinde Kişisel Verileri Koruma Kurulu tarafından kararlaştırılan yeterli güvenlik tedbirlerinin eksiksiz alınması yasal bir zorunluluktur.

Verilerin Değişmesi ve Açık Rızanın Geri Alınması

Açık rıza beyanı, işlenen her tür kişisel veriye özel olarak hazırlanmaktadır. Bu nedenle işlenen kişisel verilerin değişmesi hâlinde açık rıza beyanı geçersiz hâle gelmekte ve yeni veriler için ayrıca açık rıza alınması gerekmektedir. Bunun yanı sıra, açık rıza alındıktan sonra gerçekleştirilecek yurt dışına aktarım gibi ikincil işlemlerde de ayrıca bir açık rıza beyanının temin edilmesi zorunludur.

İlgili kişi tarafından veri sorumlusuna sunulan geri alma beyanı, veri sorumlusuna tebliğ edildiği andan itibaren sonuç doğurmaktadır. Geri alma beyanının tebliğinden önceki veri işleme faaliyetleri açısından herhangi bir hukuka aykırılık söz konusu olmamaktadır.

Hukuka Aykırı Veri İşleme Faaliyetinde Başvuru ve Şikâyet Yolu

Kişisel verileri hukuka aykırı işlenen veya açık rıza şartına uyulmadığını ileri süren ilgili kişi, öncelikle veri sorumlusuna başvurmalıdır. Veri sorumlusu kendisine yöneltilen başvuruları en geç otuz gün içinde sonuçlandırmakla yükümlüdür. Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâllerinde ilgili kişi Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilir.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy