Yeni - Açık Rıza

-- 1 of 14 -- AÇIK RIZA KVKK Yayınları No: 98 Haziran 2025, Ankara KİŞİSEL VERİLERİ KORUMA KURUMU Adres: Nasuh Akar Mahallesi 1407. Sokak No: 4 Çankaya/ANKARA Telefon: 0 312 216 50 00 Web: www.kvkk.gov.tr -- 2 of 14 -- “Bu kitapta yer alan içeriklerin, bireysel kullanım dışında izin alınmadan kısmen ya da tamamen kopyalanması, çoğaltılması, kullanılması, yayınlanması ve dağıtılması kesinlikle yasaktır. Bu yasağa uymayanlar hakkında 5846 sayılı Fikir ve Sanat Eserleri Kanunu uyarınca yasal işlem yapılacaktır. Ürünün tüm hakları saklıdır.” ©Kişisel Verileri Koruma Kurumu -- 3 of 14 -- -- 4 of 14 -- AÇIK RIZA 6698 sayılı Kanun’un yürürlüğe girmesi sonrasın- da, kişisel veri ve bu verinin işlenmesi ile birlikte hayatımıza giren kavramlardan biri de “açık rıza” kavramıdır. 6698 sayılı Kanun’un 3. maddesinde açık rıza; “Belirli bir konuya ilişkin, bilgilendiril- meye dayanan ve özgür iradeyle açıklanan rıza.” şeklinde tanımlanmıştır. Ayrıca Anayasa’nın 20. maddesinin 3. fıkrasında, ki- şisel verilerin, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebileceği hüküm al- tına alınmıştır. Açık rıza, 6698 sayılı Kanun’da hem özel nitelikli kişisel verilerin hem de özel nitelikli olmayan kişisel verilerin işlenmesi bakımından söz konusu olan hukuka uygunluk sebeplerinden bir tanesidir. -- 5 of 14 --

veya kişinin açık rızasıyla işlenebileceği hüküm al- tına alınmıştır. Açık rıza, 6698 sayılı Kanun’da hem özel nitelikli kişisel verilerin hem de özel nitelikli olmayan kişisel verilerin işlenmesi bakımından söz konusu olan hukuka uygunluk sebeplerinden bir tanesidir. -- 5 of 14 -- 6 | AÇIK RIZA Buna göre sırasıyla 6698 sayılı Kanun’un; • 5. maddesinin 1. fıkrasında “Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez”, • 6. maddesinin 3. fıkrasında “Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu verilerin işlenmesi; a) İlgili kişinin açık rızasının olması”, • 8. maddesinin 1. fıkrasında “Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz.”, • 9. maddesinin 6. fıkrasının (a) bendinde; “İlgili kişinin, muhtemel riskler hakkında bilgilendiril- mesi kaydıyla, aktarıma açık rıza vermesi” düzenlemeleri yer almaktadır. Açık rıza, uluslararası metinlerde de kendine yer bulan önemli bir kavramdır. Bununla birlikte GDPR’da rıza ve açık rıza kavramlarının her ikisi de yer almakta ancak sadece rıza kavramının tanımı verilmektedir. GDPR’a göre rıza; bir beyan veya olumlayıcı eylem şeklinde ilgili kişinin kendisiyle ilgili kişisel verilerin işlenmesine mutabık kaldığını -- 6 of 14 --

GDPR’da rıza ve açık rıza kavramlarının her ikisi de yer almakta ancak sadece rıza kavramının tanımı verilmektedir. GDPR’a göre rıza; bir beyan veya olumlayıcı eylem şeklinde ilgili kişinin kendisiyle ilgili kişisel verilerin işlenmesine mutabık kaldığını -- 6 of 14 -- AÇIK RIZA | 7 gösteren özgürce verilmiş, konuya özel, bilgilendi- rilmiş ve ilgili kişinin isteklerinin belirsizlik içer- meyen bir ifadesi olarak tanımlanmıştır. GDPR’da kişisel verilerin işlenmesi için rıza alınması aranır- ken özel nitelikli kişisel verilerin işlenmesi için açık rızaya ihtiyaç duyulmaktadır. 6698 sayılı Kanun’da ise hem kişisel verilerin hem de özel nitelikli kişi- sel verilerin işlenmesi için açık rıza alınması kişisel veri işleme şartları arasında sayılmaktadır. 6698 sayılı Kanun çerçevesinde açık rıza, kişinin kişisel verisinin işlenmesine, kendi isteği ile ya da karşı taraftan gelen istek üzerine, onay vermesi anlamını taşımaktadır. Açık rıza açıklamasının bir diğer önemi de; kişisel veri işleyecek kişilere ger- çekleştirecekleri fiil konusunda yol göstermesidir. Kişi açık rıza açıklaması ile aslında veri sorumlu- suna kendi hukuksal değerine ilişkin verdiği kararı bildirmiş olmaktadır. Açık rıza açıklaması; ilgili kişi- nin, işlenmesine izin verdiği kişisel verinin sınırları ile kapsamını ve işleme faaliyetinin gerçekleştiril- me biçimini de belirlemesini sağlayacaktır. -- 7 of 14 --

suna kendi hukuksal değerine ilişkin verdiği kararı bildirmiş olmaktadır. Açık rıza açıklaması; ilgili kişi- nin, işlenmesine izin verdiği kişisel verinin sınırları ile kapsamını ve işleme faaliyetinin gerçekleştiril- me biçimini de belirlemesini sağlayacaktır. -- 7 of 14 -- 8 | AÇIK RIZA Açık rızanın bu anlamda, rıza veren kişinin “olum- lu irade beyanı”nı içermesi gerekmektedir. Diğer mevzuattaki düzenlemeler saklı kalmak üzere, açık rızanın alınması şekil şartına bağlı değildir. Açık rızanın elektronik ortam ve çağrı merkezi vb. yollarla alınması da mümkündür. Burada 6698 sa- yılı Kanun’a uygun bir şekilde açık rıza alındığına ilişkin ispat yükümlülüğü veri sorumlusuna aittir. 6698 sayılı Kanun’un 3. maddesinde yer verilen açık rıza tanımı kapsamında, açık rızanın 3 unsuru bulunmaktadır: • Belirli bir konuya ilişkin olma. • Bilgilendirmeye dayanma. • Özgür iradeyle açıklanma. a. Belirli Bir Konuya İlişkin Olma Kişisel veri işlemek üzere verilen açık rızanın geçer- li olması için açık rızanın belirli bir konuya ilişkin ve o konu ile sınırlı olması gerekir. Veri sorumlusu tarafından açık rıza beyanının hangi konuya ilişkin -- 8 of 14 --

• Özgür iradeyle açıklanma. a. Belirli Bir Konuya İlişkin Olma Kişisel veri işlemek üzere verilen açık rızanın geçer- li olması için açık rızanın belirli bir konuya ilişkin ve o konu ile sınırlı olması gerekir. Veri sorumlusu tarafından açık rıza beyanının hangi konuya ilişkin -- 8 of 14 -- AÇIK RIZA | 9 olarak istenildiğinin açıkça ortaya konulması ge- rekmektedir. Buna göre; ilgili kişinin genel bir irade açıklaması ile “kişisel verilerimin işlenmesini kabul ediyorum” şeklinde açık uçlu ve belirsiz rıza beyanı, tek başına 6698 sayılı Kanun bağlamında “açık rıza” olarak kabul edilemez. Eğer birden çok kategoriye ilişkin kişisel verinin iş- lenmesine dair açık rıza beyanında bulunulacaksa, açık rızanın hangi kişisel verilerin hangi amaçlarla işleneceği gibi işlemenin farklı noktaları açısından da verilmiş olması gerekir. Veri sorumlusunun, kişisel veriyi kullanımı son- rasında gerçekleştireceği ikincil işlemler için ise (örneğin yurt dışına kişisel veri aktarımı gibi), baş- kaca bir işleme şartı bulunmuyorsa, ayrıca açık rıza alması gerekecektir. Aynı durum, kişisel verilerin işlenme amaçlarının değişmesi halinde de geçer- lidir. Yani her amaç için ayrı bir açık rıza alınması gerekir. -- 9 of 14 --

kaca bir işleme şartı bulunmuyorsa, ayrıca açık rıza alması gerekecektir. Aynı durum, kişisel verilerin işlenme amaçlarının değişmesi halinde de geçer- lidir. Yani her amaç için ayrı bir açık rıza alınması gerekir. -- 9 of 14 -- 10 | AÇIK RIZA b. Bilgilendirmeye Dayanma Açık rıza bir irade beyanı olup kişinin özgür bir şe- kilde rıza gösterebilmesi için neye rıza gösterdiğini de bilmesi gerekir. Kişinin sadece konu üzerinde değil, aynı zamanda rızasının sonuçları üzerinde de tam bir bilgi sahibi olması gerekir. Bilgilendirme, kişisel veri işleme ile ilgili bütün ko- nularda açık ve anlaşılır bir biçimde gerçekleşti- rilmelidir. Bilgilendirmenin mutlaka kişisel verinin işlenmesinden önce yapılması gerekir. İşlenecek verinin niteliği, aynı zamanda bilgilendirme düze- yini belirleyecektir. İlgili kişinin bilgilendirilmesi aynı zamanda kişinin kendi kişisel verilerinin ge- leceğini belirleme hakkının bir yansımasını oluş- turmaktadır. Bilgilendirme yapılırken elde edilecek kişisel veri- lerin hangi amaçlarla kullanılacağı açıkça belirtil- meli, kişinin anlamayacağı terimler ya da yazılı bil- gilendirme yapıldığında okumakta güçlük çekeceği oranda küçük puntolar kullanılmamalıdır. -- 10 of 14 --

turmaktadır. Bilgilendirme yapılırken elde edilecek kişisel veri- lerin hangi amaçlarla kullanılacağı açıkça belirtil- meli, kişinin anlamayacağı terimler ya da yazılı bil- gilendirme yapıldığında okumakta güçlük çekeceği oranda küçük puntolar kullanılmamalıdır. -- 10 of 14 -- AÇIK RIZA | 11 c. Özgür İradeyle Açıklanma Kişinin irade beyanı olan rıza, kişinin yaptığı dav- ranışın bilincinde olması ve bu davranışın kişinin kendi kararından kaynaklanması halinde geçerli- lik kazanacaktır. Kişinin iradesini sakatlayacak her türlü fiil, kişisel verilerin işlenmesi için verdiği açık rızayı da sakatlayacaktır. Cebir, tehdit, hata ve hile gibi iradeyi sakatlayan hallerde, kişinin özgür bi- çimde karar vermesi mümkün değildir. Dolayısıyla, bu gibi durumlarda özgür bir irade açıklamasından bahsedilemez. Ancak, buradaki her sebep kendi içerisinde değerlendirilmeli ve her bir sebebin rı- zayı etkileme derecesi belirlenmelidir. Tarafların eşit konumda olmadığı veya taraflardan birinin diğeri üzerinde etkili olduğu durumlarda rızanın özgür iradeyle verilip verilmediğinin dikkatle de- ğerlendirilmesi gerekir. Özellikle işçi-işveren iliş- kisinde, işçiye rıza göstermeme imkânının etkin bir biçimde sunulmadığı veya rıza göstermemenin işçi açısından muhtemel bir olumsuzluk doğura- cağı durumlarda, rızanın özgür iradeye dayandığı kabul edilemez. -- 11 of 14 --

ğerlendirilmesi gerekir. Özellikle işçi-işveren iliş- kisinde, işçiye rıza göstermeme imkânının etkin bir biçimde sunulmadığı veya rıza göstermemenin işçi açısından muhtemel bir olumsuzluk doğura- cağı durumlarda, rızanın özgür iradeye dayandığı kabul edilemez. -- 11 of 14 -- 12 | AÇIK RIZA Öte yandan, açık rızanın özgür irade ile açıklanması gerektiğinden, ilgili kişinin açık rızasının alınması bir ürün veya hizmetin sunulmasının ya da ürün veya hizmetten yararlandırılmasının ön şartı ola- rak ileri sürülmemelidir. Yani açık rıza herhangi bir hizmet şartına bağlanamaz. Örneğin; bir hizmetten yararlanılmasının üyelik şartına bağlandığı yerlerde, üye olmak isteyen il- gili kişinin parmak izinin alınması ve işlenmesinin üyelik sözleşmesinin kurulması için zorunluluk olarak öngörülmesi hukuka aykırı olacaktır. Çünkü bu şekilde alınan açık rıza, açık rızanın özgür irade ile verilmesi unsurunu taşımayacak ve parmak izi almak suretiyle biyometrik verinin işlenmesi ölçü- lülük ilkesine aykırı olacaktır. -- 12 of 14 -- AÇIK RIZA | 13 -- 13 of 14 -- Adres: Nasuh Akar Mahallesi 1407. Sokak No: 4 Çankaya/ANKARA Telefon: 0 312 216 50 00 Web: www.kvkk.gov.tr kvkkurumu -- 14 of 14 --