Açık rızada en sık yapılan 7 hata

Açık rıza, KVKK uygulamasında en çok başvurulan ve en çok yanlış kullanılan kavramdır. Şirketler çoğu zaman rızayı bir güvence sanır; oysa geçersiz bir rıza, hiç rıza almamış olmakla aynı sonucu doğurur — üstelik hukuka aykırı işlemenin yazılı kanıtı hâline gelir.

Önce tanım: üç unsur

Kanun'un 3. maddesi açık rızayı tanımlar: belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.

Bu üç unsurdan biri eksikse ortada geçerli bir rıza yoktur. Aşağıdaki hataların hemen hepsi, bu üç unsurdan birini zedelemekten kaynaklanır.

1. Başka bir hukuki sebep varken rızaya sığınmak

En yaygın ve en maliyetli hata budur. Kanun'un 5. maddesi, açık rıza dışında işleme şartları sayar: kanunlarda açıkça öngörülme, sözleşmenin ifası için gereklilik, veri sorumlusunun hukuki yükümlülüğü, bir hakkın tesisi ve meşru menfaat gibi.

Bu şartlardan biri varsa açık rıza aranmaz. Buna rağmen rıza istemek, ilgili kişiye "istersem reddedebilirim" izlenimi verdiği hâlde reddi mümkün olmayan bir işleme için onay toplamak anlamına gelir. Kurul bu tür uygulamaları hakkın kötüye kullanılması olarak değerlendirmektedir.

Doğrusu: Önce hukuki sebep belirlenir. Açık rıza, geriye kalan işlemeler için başvurulan son seçenektir.

2. Aydınlatma ile rızayı tek metinde birleştirmek

Aydınlatma Tebliği, açık rıza alınması gereken hâllerde aydınlatmanın ve rızanın ayrı ayrı yerine getirilmesini şart koşar. Formun altına konan tek bir "Aydınlatma metnini okudum, kişisel verilerimin işlenmesine izin veriyorum" kutusu her iki yükümlülüğü birden karşılamaz — çünkü bilgilendirmeyi onaya dönüştürerek özgür iradeyi ortadan kaldırır.

Aydınlatma metninin nasıl kurulacağını ayrı bir yazıda ele aldık.

3. "Battaniye rıza": her türlü amaç için tek onay

"Kişisel verilerimin her türlü amaçla işlenmesine ve üçüncü kişilerle paylaşılmasına muvafakat ederim" cümlesi, belirli bir konuya ilişkin olma şartını karşılamaz. Rıza, hangi veri için hangi amaçla istendiği somutlaştığı ölçüde geçerlidir.

Doğrusu: Her işleme amacı için ayrı bir kabul/ret seçeneği sunmak. Kişi pazarlama e-postasına evet, profilleme çalışmasına hayır diyebilmelidir.

4. Ön işaretli kutu veya sessizliği onay saymak

Açık rıza aktif bir irade beyanı gerektirir. Sayfa açıldığında zaten işaretli gelen kutu, "itiraz etmezseniz kabul edilmiş sayılır" ifadesi veya kullanıma devam etmeyi onay sayan tasarımlar geçerli rıza üretmez.

5. Hizmeti rıza şartına bağlamak

Rızanın özgür iradeyle açıklanmış olması gerekir. Pazarlama izni vermeyene hizmet sunmamak, ürünü satmamak veya işe almamak, rızayı özgür olmaktan çıkarır.

Bu sorun çalışan-işveren ilişkisinde özellikle keskindir: aralarındaki bağımlılık nedeniyle çalışandan alınan rızanın özgür iradeye dayandığı tartışmalıdır. Bu yüzden İK süreçlerinde mümkün olduğunca rıza dışı hukuki sebeplere dayanılması önerilir.

6. Geri çekmeyi zorlaştırmak

Açık rıza her zaman geri alınabilir. Geri çekme, vermek kadar kolay olmalıdır: telefonla aranmayı, dilekçe yazmayı veya bir formu doldurup şubeye gitmeyi gerektiren bir geri çekme süreci, hakkın kullanımını fiilen engeller.

Geri çekme beyanından sonra, yalnızca rızaya dayanan işleme faaliyeti durdurulur. Başka bir hukuki sebeple işlenen veriler bundan etkilenmez — ancak bunun kişiye açıkça anlatılması gerekir.

7. Rızanın alındığını ispat edecek kaydı tutmamak

İspat yükü veri sorumlusundadır. Uygulamada en sık düğümlenen yer burasıdır: şirket rızanın alındığını söyler, ilgili kişi vermediğini; ortada tarih ve içerik bilgisi taşıyan bir kayıt yoksa tartışma veri sorumlusu aleyhine sonuçlanır.

Doğru kayıt yalnızca "rıza var" bilgisini değil, hangi amaç için, ne zaman, hangi metin gösterilerek alındığını ve varsa geri çekme anını da içermelidir. Eski beyanın üzerine yazan bir sistem, denetimde geçmişi gösteremez. Açık rıza yönetimi hizmetimiz her değişikliği yeni bir kayıt olarak saklar; tarihçe silinmez.

Hukuki sebebi değiştirmek zincirleme bir iştir

Yukarıdaki hataları düzeltmek çoğu zaman "rıza metnini yeniden yazmak"la bitmez. Bir sürecin açık rızadan başka bir işleme şartına taşınması — ya da tersine, dayanaksız kalan bir işleme için rıza yapısı kurulması — şirketin uyum belgelerinin tamamını ilgilendirir:

• Aydınlatma metinleri, hukuki sebebi bildirdiği için mutlaka güncellenir; metnin nasıl kurulacağını ayrı bir yazıda anlattık.
• Kişisel veri envanteri, her işleme faaliyetinin hukuki sebebini taşır; değişiklik önce buraya işlenir.
• VERBİS kaydı, envanterle tutarlı olmak zorundadır — sicil yükümlülüğü yazımızdaki uyarı burada da geçerlidir.
• Veri işleme politikaları ve saklama-imha süreleri, dayanağı değişen verinin akıbetini yeniden tanımlar.
• Geçmişte alınmış rızalar, yeni yapıya göre hâlâ geçerli mi diye değerlendirilmelidir; geçersiz bir rızayı taşımak riski büyütür.

Bu yüzden rıza düzeni kurulurken tek tek metinlerle değil, bütünle çalışılmasını ve hukuki destek alınmasını öneririz. Genç Partners bu haritayı çıkarma konusunda deneyimlidir; kisiselverilerim.com ise ortaya çıkan yapının işletilmesini — amaç bazlı toplama, geri çekme ve tarihçeli kayıt — üstlenir.

Özet

• Açık rıza belirli, bilgilendirmeye dayalı ve özgür olmalıdır; biri eksikse rıza yoktur.
• Başka bir işleme şartı varsa rıza istenmez.
• Aydınlatma ve rıza ayrı ayrı alınır; amaç bazında ayrıştırılır.
• Geri çekme, vermek kadar kolay olmalıdır.
• Rızanın ve geri çekmenin tarihçeli kaydı tutulmalıdır.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Rıza yapınızın kurulması ve diğer uyum belgelerinizle uyumlulaştırılması için hukuki destek alınız.