Açık Rıza

Açık rıza, KVKK’da “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanır (m. 3). Kişisel veri işleme şartlarından biridir; ancak uygulamada en sık yanlış kullanılan şarttır.

Geçerli Bir Açık Rızanın Üç Unsuru

1. Belirli konuya ilişkin olmak: Rıza, belirli bir işleme faaliyetine yönelik olmalıdır. “Kişisel verilerimin işlenmesine onay veriyorum” gibi her şeyi kapsayan genel ifadeler geçersizdir.
2. Bilgilendirmeye dayanmak: Kişi, neye rıza gösterdiğini bilmelidir. Rıza alınmadan önce işlemenin amacı, kapsamı ve sonuçları açıkça anlatılmalıdır.
3. Özgür iradeyle açıklanmak: Rıza, bir ürün veya hizmetin ön şartı hâline getirilemez. Rıza vermeyen kişinin hizmetten yararlanamaması, iradenin özgür olmadığını gösterir.

Açık rıza her zaman geri alınabilir. Geri alma ileriye etkilidir: o ana kadar yapılan işleme hukuka uygun kalır, ancak rızaya dayalı işleme durdurulmalıdır.

Ne Zaman Açık Rızaya Başvurulmalı?

Açık rıza, KVKK’daki işleme şartlarından yalnızca biridir ve öncelikli şart değildir. İşleme; bir sözleşmenin kurulması veya ifası, veri sorumlusunun hukuki yükümlülüğü ya da meşru menfaati gibi başka bir şarta dayanabiliyorsa açık rıza istenmemelidir. Başka bir şart mevcutken rıza istenmesi, kişiyi işlemenin kendi iradesine bağlı olduğu konusunda yanıltır ve Kurul uygulamasında hakkın kötüye kullanılması olarak değerlendirilir.

Açık rıza, özellikle şu durumlarda gündeme gelir: başka bir şarta dayanmayan pazarlama ve profilleme faaliyetleri, kanunda öngörülmeyen bazı özel nitelikli kişisel veri işlemeleri ve arızi nitelikteki yurt dışı aktarımlar. 2024 değişikliğinden sonra düzenli yurt dışına veri aktarımları artık açık rızaya dayandırılamaz.

Sık Yapılan Hatalar

• Aydınlatma ile rızayı aynı metinde birleştirmek: Aydınlatma yükümlülüğü ile açık rıza ayrı yükümlülüklerdir ve ayrı ayrı yerine getirilmelidir.
• Önceden işaretlenmiş kutular: Kişinin aktif bir beyanı olmadan rıza alınmış sayılmaz.
• Ticari elektronik ileti onayı ile karıştırmak: Pazarlama e-postası ve SMS’leri için 6563 sayılı Kanun kapsamında alınan onay ile KVKK kapsamındaki açık rıza farklı rejimlerdir.
• İspat edememek: Rızanın alındığını ispat yükü veri sorumlusundadır; rızanın ne zaman, hangi metinle ve hangi kanaldan alındığı kayıt altında tutulmalıdır.