Açık Rıza Metinleriniz Gerçekten Geçerli mi? KVKK Kapsamında Sık Yapılan Hatalar

Açık Rıza Metinleriniz Gerçekten Geçerli mi? KVKK Kapsamında Sık Yapılan Hatalar

İşletmelerin büyük bölümü kişisel verileri işlerken açık rıza aldığını düşünür. Ancak uygulamada kullanılan birçok açık rıza metni, KVKK açısından geçerli kabul edilmeyebilir. Kullanıcıya bir kutucuk işaretletmek veya sözleşmenin altına genel bir onay eklemek tek başına yeterli değildir.

Peki bir açık rızayı gerçekten geçerli kılan unsurlar nelerdir? Şirketler hangi hatalar nedeniyle hukuki risk altına girer?

Açık Rıza Nedir?

6698 sayılı Kişisel Verilerin Korunması Kanunu'na göre açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır. Bu tanım ilk bakışta basit görünse de, uygulamada birçok şirket bu üç temel şartı aynı anda sağlayamamaktadır.

Bir rızanın geçerli sayılabilmesi için kişinin neye onay verdiğini açıkça bilmesi, kararını baskı altında kalmadan vermesi ve onayın belirli bir veri işleme faaliyetini kapsaması gerekir.

Her Onay Açık Rıza Değildir

Kullanıcıların sıkça karşılaştığı şu ifadeleri düşünelim:

• "Tüm kişisel verilerimin işlenmesini kabul ediyorum."

• "Verilerimin şirket tarafından her türlü amaçla kullanılmasına izin veriyorum."

• "Gizlilik politikasını okudum ve kabul ediyorum."

Bu tür genel ifadeler çoğu zaman yeterli değildir. Çünkü hangi verilerin, hangi amaçla ve ne kadar süreyle işleneceği net değildir. Belirsiz ve kapsamı sınırsız onaylar hukuken risk oluşturur. KVKK uygulamalarında bu tür yaklaşımlar genellikle "battaniye rıza" olarak değerlendirilmektedir.

Geçerli Bir Açık Rızanın 3 Temel Unsuru

1. Belirli Bir Konuya İlişkin Olmalıdır

Açık rıza belirli bir veri işleme faaliyeti için alınmalıdır. Kullanıcının e-posta adresinin bülten gönderimi amacıyla işlenmesine verdiği onay ile konum bilgisinin işlenmesine verdiği onay ayrı değerlendirilmelidir.

2. Bilgilendirmeye Dayanmalıdır

İlgili kişi, verilerinin hangi amaçla işlendiğini, kimlerle paylaşılabileceğini ve haklarının neler olduğunu anlayabilecek şekilde bilgilendirilmelidir. Bilgilendirme yapılmadan alınan onaylar geçerlilik tartışmasına yol açabilir.

3. Özgür İradeyle Verilmelidir

Kullanıcıya gerçek bir seçim hakkı tanınmalıdır. Eğer hizmetten yararlanmak için açık rıza vermek zorunlu tutuluyorsa, özgür irade unsuru zedelenebilir. Açık rıza bir zorunluluk değil, tercih olmalıdır.

Aydınlatma Metni ve Açık Rıza Aynı Şey Değildir

Şirketlerin en sık yaptığı hatalardan biri aydınlatma metni ile açık rıza metnini tek bir belge içinde birleştirmektir.

Oysa aydınlatma metni, veri sahibini bilgilendirmek için hazırlanır. Açık rıza ise kişinin belirli bir işleme faaliyetine onay vermesini sağlar. Bu iki süreç farklı hukuki amaçlara hizmet eder ve birbirinden ayrı şekilde yönetilmelidir. Son dönemde yayımlanan kurul kararları da bu ayrımın önemini açık şekilde vurgulamaktadır.

Önceden İşaretlenmiş Kutucuklar Risk Oluşturabilir

Birçok internet sitesinde kullanıcıların karşısına önceden işaretlenmiş onay kutuları çıkmaktadır. Kullanıcının kutucuğu kaldırmadığı durumlarda onay verdiği varsayılır.

Ancak geçerli bir açık rıza için kişinin aktif bir irade göstermesi gerekir. Bu nedenle varsayılan olarak işaretlenmiş kutucuklar yerine kullanıcının bilinçli şekilde seçim yapabileceği sistemler tercih edilmelidir.

Açık Rıza Nasıl İspatlanır?

KVKK, açık rızanın mutlaka yazılı olmasını şart koşmaz. Elektronik ortamda, mobil uygulamalarda veya çağrı merkezleri aracılığıyla da alınabilir. Ancak önemli olan, gerektiğinde bu rızanın ispat edilebilmesidir.

Bu nedenle işletmeler;

• Onayın tarihini,

• Kullanılan metin versiyonunu,

• Kullanıcının gerçekleştirdiği işlemi,

• Teknik kayıtları ve logları

güvenli şekilde saklamalıdır. Olası bir incelemede ispat yükümlülüğü veri sorumlusuna aittir.

Kullanıcı Açık Rızasını Geri Alabilir mi?

Evet. Açık rıza geri alınabilir bir haktır. Veri sahibi dilediği zaman verdiği onayı geri çekebilir. Bu durumda veri sorumlusu, rızaya dayanan ilgili veri işleme faaliyetlerini durdurmalı ve süreci yeniden değerlendirmelidir.

Sonuç

Açık rıza almak yalnızca bir kutucuk eklemekten veya standart bir metin hazırlamaktan ibaret değildir. Geçerli bir açık rıza; belirli, bilgilendirilmiş ve özgür iradeye dayalı olmalıdır. Ayrıca aydınlatma süreçlerinden ayrı yönetilmeli, gerektiğinde ispatlanabilmeli ve kullanıcıya geri alma hakkı tanınmalıdır.

KVKK uyum süreçlerinde en büyük risklerden biri, geçerli olduğu düşünülen ancak hukuken yetersiz kalan açık rıza mekanizmalarıdır. Bu nedenle şirketlerin kullandıkları metinleri ve onay toplama yöntemlerini düzenli olarak gözden geçirmesi büyük önem taşır.