Açık rıza, kişisel veri işlemenin tek hukuki sebebi değildir. Gerektiği durumlarda geçerli bir açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olmalıdır. Kapsamı belirsiz “her türlü veri işlemeye onay” beyanları geçerli sayılmayabilir. İlgili kişi açık rızasını daha sonra geri alabilir; geri alma ileriye etkili sonuç doğurur ve beyan veri sorumlusuna ulaştığında açık rızaya dayalı işleme faaliyeti durdurulmalıdır.
Açık rızanın üç temel unsuru nedir?
Kişisel Verileri Koruma Kurumu açık rızanın üç unsurunu belirli bir konuya ilişkin olma, bilgilendirmeye dayanma ve özgür iradeyle açıklanma olarak ifade eder. Rızanın hangi veri, hangi amaç ve hangi işlem için verildiği anlaşılmalıdır. Genel, belirsiz ve sınırsız onaylar “battaniye rıza” niteliğine yaklaşır. Ayrıca ilgili kişi neye onay verdiğini anlayabilecek bilgiyi rızadan önce edinmiş olmalıdır. Bilgilendirme eksikse rızanın bilinçli iradeye dayandığı tartışmalı hale gelir.
Her veri işleme için açık rıza gerekir mi?
Hayır. Kanunun 5. ve 6. maddelerinde veri işleme için açık rıza dışında da hukuki şartlar öngörülmüştür. Bir sözleşmenin kurulması veya ifası için zorunluluk, veri sorumlusunun hukuki yükümlülüğü, bir hakkın tesisi veya meşru menfaat gibi şartlar somut olaya göre uygulanabilir. Geçerli başka bir hukuki sebep varken sırf her ihtimale karşı açık rıza alınması, hukuki sebebin belirsizleşmesine ve ilgili kişinin gerçekte seçim hakkı bulunmadığı izlenimine yol açabilir.
Özgür irade ne zaman zedelenir?
İlgili kişi hizmetten yararlanabilmek, iş ilişkisini sürdürebilmek veya temel bir işlemi tamamlamak için aslında gerekli olmayan veri işlemeye onay vermeye zorlanıyorsa özgür irade tartışması doğar. Rızanın reddedilmesi ile orantısız bir olumsuz sonuç arasında bağ kurulmamalıdır. Özellikle çalışan-işveren veya tüketici-hizmet sağlayıcı ilişkilerinde tarafların güç dengesi değerlendirilmelidir. Rıza gerçekten seçim imkanı sunmalı; reddedildiğinde esas hizmet, gerekli olmayan veri işlemi nedeniyle otomatik olarak engellenmemelidir.
Aydınlatma ve açık rıza nasıl ayrılmalıdır?
Aydınlatma, veri sorumlusunun yerine getirmesi gereken bağımsız bir yükümlülüktür; açık rıza ise ilgili kişinin irade beyanıdır. Aynı metin içinde birbirine karışmış “okudum, kabul ediyorum, izin veriyorum” formu bu ayrımı ortadan kaldırabilir. İlgili kişi önce veri işleme faaliyeti hakkında aydınlatılmalı, gerekiyorsa bundan ayrı biçimde belirli amaç için rızası sorulmalıdır. Aydınlatma metnini kabul etmeyi reddetmek diye bir kavram yoktur; metin bilgi verme işlevi görür.
Açık rıza elektronik ortamda alınabilir mi?
Evet. Açık rızanın mutlaka ıslak imzalı kağıt üzerinde alınması gerekmez. Elektronik kutucuk, mobil uygulama, çağrı merkezi veya başka ispatlanabilir yöntemler kullanılabilir. Önemli olan rızanın ilgili kişiye ait olduğunun, hangi metne ve amaca yönelik verildiğinin ve ne zaman alındığının gösterilebilmesidir. İspat yükümlülüğü veri sorumlusundadır. Bu nedenle rıza kayıtlarının sürüm numarası, tarih-saat bilgisi ve ilgili veri işleme amacıyla birlikte tutulması uygulamada önem taşır.
Açık rıza nasıl geri alınır?
Açık rıza kişiye sıkı sıkıya bağlı bir irade açıklaması olduğundan ilgili kişi rızasını geri alabilir. Geri alma beyanının veri sorumlusuna ulaştığı andan itibaren ileriye yönelik sonuç doğurması esastır. Veri sorumlusu, rızaya dayalı faaliyet için başka bir hukuki sebep bulunmuyorsa işleme faaliyetine devam etmemelidir. Geri alma kanalı, rıza verme kanalından gereksiz biçimde daha zor hale getirilmemeli; kişinin hangi rızayı geri aldığı açıkça belirlenebilmelidir.
Rıza geri alınınca bütün veriler hemen silinir mi?
Her zaman değil. Rızanın geri alınması, rızaya dayalı gelecekteki işlemeyi sona erdirir; ancak veri sorumlusunun hukuki yükümlülük, dava hakkının korunması veya başka geçerli bir işleme şartı nedeniyle belirli verileri saklaması gerekebilir. Bu nedenle “rızayı geri aldım, bütün kayıtlar derhal silinmeli” sonucu otomatik değildir. Hangi veri kategorisinin hangi hukuki sebebe dayanarak tutulduğu ayrıştırılmalı, artık işleme şartı kalmayan veriler için silme, yok etme veya anonimleştirme değerlendirilmelidir.
Geçersiz rıza hangi uyuşmazlıklara yol açar?
Geçersiz rızaya dayanılarak yapılan veri işleme faaliyeti hukuka aykırılık iddiasına konu olabilir. İlgili kişi veri sorumlusuna başvuru yapabilir, Kurula şikayet edebilir ve somut zarar varsa genel hükümlere göre tazminat talep edebilir. Kurul incelemelerinde yalnız formun imzalanmış olması değil, rızanın gerçekten özgür, belirli ve bilgilendirilmiş olup olmadığı önem taşır. Bu nedenle veri sorumlusu süreç tasarımında rıza metninin içeriği kadar, rızanın hangi koşullarda alındığını da belgelemelidir.
İlgili hukuki konular
Mevzuat ve kaynaklar
Bu yazı genel bilgilendirme amaçlıdır. Somut olayda işlem veya karar metni, tebliğ tarihleri, kişisel durum ve güncel mevzuat birlikte değerlendirilmelidir.
Her uyuşmazlık, somut olayın özellikleri ve mevcut deliller doğrultusunda ayrı değerlendirilir. Dosyanız bakımından uygulanabilecek hukuki yolların belirlenmesi için bizimle iletişime geçebilirsiniz.
İletişime geçin