Açık Rıza Metni: Ne Zaman Gerekir, Nasıl Hazırlanır?

Açık rıza metni, ilgili kişinin belirli bir veri işleme faaliyetine bilgilendirilmeye dayanarak ve özgür iradesiyle onay verdiğini gösteren belgedir. Açık rıza, Kişisel Verilerin Korunması Kanunu'nun 5. maddesinin ikinci fıkrasındaki işleme şartlarından hiçbiri bulunmadığında gerekir; bu şartlardan biri varken açık rıza alınması hem gereksiz hem de yanıltıcıdır.

Uygulamada açık rıza, çoğu zaman her veri işleme faaliyeti için zorunluymuş gibi kullanılır. Açık rıza metni bu şekilde gereksiz yere kullanıldığında, kişi rızasını geri aldığında şirketin zorunlu faaliyetlerini sürdürememesi gibi beklenmedik sonuçlar doğabilir.

Bu yazıda açık rızanın geçerlilik şartları, hangi durumlarda gerektiği, aydınlatmadan farkı, sık yapılan hatalar, rızanın geri alınması ve metnin hazırlanma usulü ayrıntılı olarak ele alınacaktır.

1. Açık Rıza Nedir ve Geçerlilik Şartları Nelerdir?

Kanunun 3. maddesi açık rızayı, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar. Bu üç unsurdan birinin eksik olması, rızanın geçersiz sayılmasına yol açar.

Rıza, olumlu bir eylemle verilmelidir; önceden işaretlenmiş kutucuklar veya sessiz kalma rıza sayılmaz. Bu nedenle rızanın alındığı anın ve yöntemin kayıt altına alınması önem taşımaktadır.

2. Açık Rıza Hangi Durumlarda Gerekir?

Açık rıza, kanunda sayılan diğer işleme şartları uygulanamadığında gerekir. Sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat gibi şartlardan biri varsa ayrıca açık rıza alınmamalıdır.

Uygulamada açık rızanın gerektiği başlıca durumlar şunlardır:

• pazarlama ve kişiye özel kampanya amaçlı profilleme,

• internet sitesinde zorunlu olmayan analitik ve reklam çerezleri,

• kanunda sayılan diğer şartlara dayanmayan özel nitelikli veri işleme,

• arızi nitelikteki bazı yurt dışı veri aktarımları,

• çalışanların fotoğraflarının tanıtım amaçlı kullanılması.

Çerezler için açık rıza alınmasına ilişkin kurallar çerez politikası yazısında açıklanmıştır. Bu nedenle her işleme faaliyeti için önce diğer şartların bulunup bulunmadığının değerlendirilmesi gerekir.

2.1. Ticari İleti Onayı ile Açık Rıza Farkı

Elektronik ticari ileti gönderimi için alınan onay, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun'a dayanır ve kişisel veri işleme rızasından ayrıdır. İki onay aynı formda alınabilse de ayrı ayrı ve açıkça gösterilmelidir.

Ticari ileti onaylarının kaydı İYS nedir yazısında ele alınmıştır. Bu ayrım yapılmadığında hem kişisel veri mevzuatı hem de elektronik ticaret mevzuatı bakımından yaptırım riski doğar.

3. Açık Rıza Hizmet Şartına Bağlanabilir mi?

Hayır, açık rıza ürün veya hizmetin sunulması şartına bağlanamaz. Hizmetin sunulması için zorunlu olmayan bir veri işleme faaliyetine rıza verilmemesi, kişinin hizmetten yararlanmasını engellememelidir.

Örneğin bir e-ticaret sitesinin alışverişin tamamlanmasını pazarlama amaçlı veri işlemeye onay verilmesine bağlaması, rızanın özgür iradeyle verilmediği sonucunu doğurur. Sipariş için gerekli veriler ise sözleşmenin ifası şartına dayanılarak açık rıza alınmadan işlenebilir.

4. Açık Rıza Geri Alınabilir mi?

Evet, ilgili kişi verdiği açık rızayı her zaman geri alabilir. Rızanın geri alınması, geri alma anından itibaren hüküm doğurur ve önceki işlemlerin hukuka uygunluğunu etkilemez.

Rıza geri alındığında, o rızaya dayanan veri işleme faaliyeti durdurulmalı ve başka bir işleme şartı yoksa veriler silinmeli, yok edilmeli veya anonim hâle getirilmelidir. Bu nedenle rızanın geri alınmasının, verildiği kadar kolay bir yöntemle mümkün kılınması gerekir.

5. Açık Rıza Metni Nasıl Hazırlanır?

Metin, aydınlatma metninden ayrı olarak ve her işleme faaliyeti için ayrı onay seçeneği sunacak biçimde hazırlanmalıdır. Tek bir onay kutusuyla birden fazla faaliyete rıza alınması, rızanın belirli bir konuya ilişkin olma şartını zedeler.

1. rızanın hangi veri kategorisi için alındığının belirtilmesi,

2. işleme amacının somut olarak yazılması,

3. varsa aktarım alıcılarının gösterilmesi,

4. her faaliyet için ayrı onay ve ret seçeneği sunulması,

5. rızanın nasıl geri alınacağının açıklanması.

Aydınlatma metninin içeriği ve hazırlanması aydınlatma metni yazısında açıklanmıştır. Bu nedenle iki belgenin birbirine atıf yapacak ancak birbirinden ayrı duracak şekilde tasarlanması önem taşımaktadır.

6. Açık Rızanın İspatı Nasıl Sağlanır?

Açık rızanın alındığını ispat yükü veri sorumlusuna aittir. Bu nedenle rızanın hangi tarihte, hangi metinle ve hangi kanaldan alındığının kayıt altına alınması gerekir.

Elektronik ortamda alınan rızalarda zaman damgası, kullanıcı bilgisi ve onaylanan metnin sürümü saklanmalıdır. Fiziki ortamda alınan rızalarda ise imzalı formun aslı veya taranmış kopyası muhafaza edilmelidir.

7. 2024 Değişiklikleri Açık Rızayı Nasıl Etkiledi?

2024 yılında yapılan değişikliklerle özel nitelikli kişisel verilerin işlenmesinde açık rıza dışındaki işleme şartları genişletilmiştir. İstihdam, iş sağlığı ve güvenliği ve sosyal güvenlik alanındaki hukuki yükümlülükler için açık rıza alınması artık zorunlu değildir.

Yurt dışına veri aktarımında ise açık rıza, yalnızca arızi nitelikteki aktarımlarda ve kişinin olası riskler hakkında bilgilendirilmesi şartıyla kullanılabilir. Bu değişiklikler nedeniyle 2024 öncesinde hazırlanmış rıza metinlerinin gözden geçirilmesi önem taşımaktadır.

8. Açık Rıza Metninde Sık Yapılan Hatalar

Kurul kararlarında açık rızaya ilişkin hataların önemli bir kısmının, rızanın gereksiz yere veya genel ifadelerle alınmasından kaynaklandığı görülmektedir. Bu hatalar, rızanın geçersiz sayılmasına ve veri işlemenin dayanaksız kalmasına yol açar.

Sık görülen hatalar arasında bütün veri işleme faaliyetleri için tek bir rıza alınması, rızanın sipariş veya üyelik şartına bağlanması ve rıza metninin aydınlatma metniyle birleştirilmesi sayılabilir. Bu nedenle metnin hazırlanmasından önce her faaliyet için hukuki sebebin ayrı ayrı belirlenmesi önem taşımaktadır.

9. Sıkça Sorulan Sorular

Açık rıza sözlü olarak alınabilir mi?

Kanun açık rıza için belirli bir şekil öngörmediğinden rıza sözlü olarak da alınabilir; ancak ispat yükü veri sorumlusunda olduğundan sözlü rızanın ispatı güçtür. Telefonla alınan rızalarda görüşme kaydının saklanması bir ispat aracı olabilir. Uygulamada rızanın yazılı veya elektronik ortamda kayıt altına alınması tercih edilmektedir.

Çalışanlardan açık rıza almak gerekir mi?

Çalışan verilerinin büyük kısmı, iş sözleşmesinin ifası ve işverenin hukuki yükümlülükleri kapsamında açık rıza alınmadan işlenebilir. Bordro, SGK bildirimi ve iş sağlığı kayıtları bu kapsamdadır. Çalışanın fotoğrafının tanıtımda kullanılması gibi bu şartların dışında kalan faaliyetler için ise açık rıza gerekebilir.

Açık rıza süresiz geçerli midir?

Açık rıza, geri alınmadığı ve işleme amacı devam ettiği sürece geçerliliğini korur; kanunda belirli bir geçerlilik süresi öngörülmemiştir. Ancak işleme amacı ortadan kalktığında veya metinde öngörülen süre dolduğunda veriler silinmelidir. Uzun süre kullanılmayan rızaların güncellenmesi, rızanın bilgilendirilmeye dayanma şartı bakımından yararlı olur.

Çocukların verileri için kimden açık rıza alınır?

Kanunda reşit olmayan kişiler için ayrı bir rıza yaşı öngörülmemiştir; bu nedenle genel hükümler uygulanır. Ayırt etme gücüne sahip olmayan veya kişiliğe sıkı sıkıya bağlı haklar dışındaki işlemlerde çocuğun verileri için kural olarak veli veya vasinin açık rızası alınır. Çocuklara yönelik hizmetlerde ek özen gösterilmesi gerekir.

Açık rıza metni ile aydınlatma metni birleştirilebilir mi?

Hayır, aydınlatma metni ile açık rıza metninin ayrı tutulması gerekir. Aydınlatma, kişinin onayına bağlı olmayan bir bilgilendirmedir; açık rıza ise ayrı bir irade beyanıdır. İki metnin birleştirilmesi, kişinin bilgilendirme metnini onaylayarak rıza verdiği izlenimi yaratır ve rızanın geçerliliğini tartışmalı hâle getirir.

10. Sonuç

Açık rıza 6698 sayılı Kanun'un 3. maddesinde belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanmıştır ve yalnızca 5. maddedeki diğer işleme şartları bulunmadığında gerekir. Rıza hizmet şartına bağlanamaz ve her zaman geri alınabilir.

Gereksiz yere açık rızaya dayanılması, rızanın geri alınmasıyla şirketin zorunlu faaliyetlerinin dayanaksız kalmasına yol açabilir. Bu nedenle her işleme faaliyeti için doğru hukuki sebebin belirlenmesi önem taşımaktadır.

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır; somut olayınıza ilişkin hukuki danışmanlık yerine geçmez.