Açık Rıza Ne Zaman Gerekir, Ne Zaman Gerekmez?

Açık rıza ne zaman gerekir sorusu, KVKK uyum çalışmalarında en çok karıştırılan konulardan biridir. Birçok işletme, kişisel veri işlediği her durumda açık rıza alması gerektiğini düşünür. Oysa KVKK sisteminde açık rıza tek hukuki sebep değildir. Kanuni yükümlülük, sözleşmenin kurulması veya ifası, bir hakkın tesisi, kullanılması veya korunması, meşru menfaat gibi başka hukuki sebepler varsa, her işlem için ayrıca açık rıza alınması gerekmeyebilir.

Bu nedenle açık rıza, her belgeye eklenen genel bir onay cümlesi gibi değil; belirli bir işleme faaliyeti için gerçekten ihtiyaç duyulan, ayrı ve özgür iradeye dayalı bir hukuki sebep olarak değerlendirilmelidir. Pazarlama, insan kaynakları, sağlık, kamera kaydı ve web sitesi süreçlerinde yapılan en yaygın hata, hukuki sebep analizi yapılmadan hazır formlarla herkesten açık rıza alınmasıdır.

Açık Rıza Nedir?

Açık rıza, ilgili kişinin belirli bir konuda, yeterli şekilde bilgilendirildikten sonra, özgür iradesiyle kişisel verisinin işlenmesine onay vermesidir.

Geçerli bir açık rıza için üç temel unsur aranır:

• Belirli bir konuya ilişkin olmalıdır.
• Bilgilendirmeye dayanmalıdır.
• Özgür iradeyle açıklanmalıdır.

Bu nedenle “kişisel verilerimin işlenmesini kabul ediyorum” gibi genel, belirsiz ve her türlü işleme faaliyetini kapsayacak şekilde yazılmış ifadeler tek başına sağlıklı bir açık rıza beyanı olarak değerlendirilmemelidir.

Açık rıza, ilgili kişinin hangi verisinin, hangi amaçla, hangi kapsamda ve hangi sonuçlarla işleneceğini anlayabileceği açıklıkta olmalıdır.

Açık Rıza Her Zaman Gerekli midir?

Hayır. KVKK’da kişisel verilerin işlenmesi için açık rıza önemli bir hukuki sebeptir; ancak tek hukuki sebep değildir.

Kişisel veri işleme faaliyeti şu hukuki sebeplerden birine dayanabiliyorsa açık rıza alınması gerekmeyebilir:

• Kanunlarda açıkça öngörülmesi,
• Bir sözleşmenin kurulması veya ifası için gerekli olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması,
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için zorunlu olması,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan kişinin veya başkasının hayatı ya da beden bütünlüğünün korunması için zorunlu olması,
• İlgili kişinin kendisi tarafından alenileştirilmiş olması.

Bu sebeplerden biri mevcutsa, işletmenin ayrıca açık rıza alması her zaman doğru değildir. Hatta bazı durumlarda gereksiz açık rıza almak, ilgili kişiyi yanıltabilir ve veri işleme faaliyetinin hukuki zeminini belirsiz hale getirebilir.

Açık Rıza Ne Zaman Gerekir?

Açık rıza, özellikle açık rıza dışındaki hukuki sebeplerden hiçbiri veri işleme faaliyetine uygun düşmüyorsa gündeme gelir.

Örneğin pazarlama amacıyla elektronik ileti gönderimi, reklam ve pazarlama çerezleri, bazı yurt dışına aktarım senaryoları, hizmetin zorunlu unsuru olmayan ek veri işleme faaliyetleri ve özel nitelikli kişisel verilerin kanunda sayılan başka bir işleme şartına dayandırılamadığı bazı hallerde açık rıza gerekebilir.

Ancak burada önemli olan şudur: Açık rıza, “kolay bir çözüm” veya “her ihtimale karşı alınan genel bir onay” değildir. Her süreç özelinde ayrı değerlendirme yapılmalıdır.

Açık Rıza Ne Zaman Gerekmez?

Açık rıza, veri işleme faaliyeti açıkça başka bir hukuki sebebe dayanıyorsa gerekli olmayabilir.

Örneğin bir çalışanın bordro bilgilerinin işlenmesi, SGK bildiriminin yapılması, iş sözleşmesi kapsamında ücret ödenmesi veya vergi mevzuatı gereği kayıt tutulması için ayrıca açık rıza alınması genellikle doğru yöntem değildir. Bu işlemler çoğu zaman kanuni yükümlülük, sözleşmenin ifası veya hukuki yükümlülüğün yerine getirilmesi gibi sebeplere dayanır.

Benzer şekilde, müşteriyle kurulan sözleşmenin ifası için teslimat adresinin alınması, fatura düzenlenmesi veya hizmet sonrası zorunlu kayıtların tutulması da her zaman açık rızaya bağlanmamalıdır.

Açık Rıza Karar Tablosu

Pazarlama Süreçlerinde Açık Rıza

Pazarlama faaliyetleri açık rızanın en sık gündeme geldiği alanlardan biridir. SMS, e-posta, kampanya bildirimi, yeniden pazarlama, hedefli reklam ve müşteri segmentasyonu gibi işlemlerde açık rıza ihtiyacı doğabilir.

Ancak burada yalnızca KVKK değil, ticari elektronik ileti mevzuatı ve İYS süreçleri de dikkate alınmalıdır. Bir müşterinin ürün satın almış olması, her durumda ona pazarlama mesajı gönderilebileceği anlamına gelmez. Kampanya, reklam ve tanıtım amacıyla iletişim kurulacaksa izin mekanizması ayrıca kurulmalıdır.

Doğru uygulama, hizmet bildirimi ile pazarlama bildirimini ayırmaktır. Örneğin sipariş teslimat bilgisi ile kampanya duyurusu aynı rıza kutusuna bağlanmamalıdır.

İnsan Kaynakları Süreçlerinde Açık Rıza

İnsan kaynakları süreçlerinde açık rıza çoğu zaman gereğinden fazla kullanılmaktadır. Çalışandan her belge için açık rıza almak, işverenin KVKK’ya uyumlu hareket ettiği anlamına gelmez.

Özlük dosyası, bordro, SGK bildirimi, iş sağlığı ve güvenliği kayıtları, izin kayıtları ve iş sözleşmesinin ifası için gerekli birçok işlem açık rızadan ziyade kanuni yükümlülük veya sözleşmenin ifası gibi hukuki sebeplere dayanabilir.

Buna karşılık, çalışanın fotoğrafının sosyal medyada paylaşılması, doğum günü duyurusu yapılması, özel etkinlik görsellerinin yayımlanması veya zorunlu olmayan yan hak süreçlerinde bazı verilerin işlenmesi gibi durumlarda açık rıza ihtiyacı doğabilir.

Çalışan ile işveren arasındaki güç dengesi nedeniyle, çalışan açık rızasının gerçekten özgür iradeyle verilip verilmediği ayrıca dikkatle değerlendirilmelidir.

Sağlık Verilerinde Açık Rıza

Sağlık verileri özel nitelikli kişisel veri niteliğindedir. Bu nedenle diğer kişisel verilere göre daha sıkı korunmalıdır.

Klinikler, muayenehaneler, diyetisyenler, psikologlar, işyeri hekimliği süreçleri ve çalışan sağlık kayıtları gibi alanlarda açık rıza değerlendirmesi dikkatli yapılmalıdır. Sağlık hizmetinin sunulması, tıbbi teşhis, tedavi, bakım hizmetleri, sır saklama yükümlülüğü altında çalışan kişiler veya yetkili kurumlar bakımından kanunda yer alan özel düzenlemeler ayrıca incelenmelidir.

Ancak sağlık verisinin pazarlama, reklam, sosyal medya paylaşımı, üçüncü kişilerle gereksiz paylaşım veya hizmetin zorunlu unsuru olmayan amaçlarla kullanılması söz konusuysa açık rıza ihtiyacı gündeme gelebilir.

Kamera Kaydı Süreçlerinde Açık Rıza

Güvenlik amacıyla kamera kaydı alınan işyerleri, mağazalar, klinikler, apartmanlar ve ofislerde açık rıza her zaman otomatik olarak gerekli değildir. Fakat kamera kullanımında amaç, kapsam, kayıt alanı, saklama süresi ve erişim yetkileri açık şekilde belirlenmelidir.

Kamera kaydı yapılırken ilgili kişilere aydınlatma yapılmalı, kayıt alanı makul sınırda tutulmalı, mahremiyet beklentisi yüksek alanlarda kamera kullanılmamalı ve kayıtlar gereğinden uzun süre saklanmamalıdır.

Kameranın ses kaydı alması, yüz tanıma sistemiyle kullanılması, performans takibi amacıyla sürekli izleme yapılması veya özel nitelikli veri doğurabilecek şekilde kullanılması halinde açık rıza ve ölçülülük değerlendirmesi çok daha hassas hale gelir.

Web Sitesi ve Çerezlerde Açık Rıza

Web sitesi süreçlerinde açık rıza özellikle çerezler bakımından önemlidir. Sitenin çalışması için zorunlu çerezlerde açık rıza gerekmeyebilir. Ancak reklam, pazarlama, hedefleme ve davranış analizi amacıyla kullanılan çerezlerde açık rıza ihtiyacı doğabilir.

Çerez yönetim panelinde kullanıcının aktif tercih yapabilmesi önemlidir. “Siteyi kullanmaya devam ederek çerezleri kabul etmiş sayılırsınız” gibi pasif kabule dayalı yöntemler sağlıklı bir açık rıza mekanizması oluşturmayabilir.

Kullanıcıya kabul etme, reddetme ve tercihleri yönetme seçenekleri açık ve dengeli biçimde sunulmalıdır. Zorunlu olmayan çerezler varsayılan olarak çalıştırılmamalı, kullanıcının aktif onayı alınmalıdır.

Gereksiz Açık Rıza Almanın Riskleri

Gereksiz açık rıza almak, ilk bakışta güvenli gibi görünse de uygulamada ciddi karışıklık doğurabilir.

Bir işlem aslında kanuni yükümlülüğe dayanıyorsa fakat açık rıza metniyle yürütülüyorsa, ilgili kişi rızasını geri aldığında işletme hangi hukuki sebebe dayanacağını açıklamakta zorlanabilir. Bu durum veri envanteri, aydınlatma metni ve saklama-imha politikası arasında tutarsızlık oluşturur.

Ayrıca açık rızanın hizmet şartı haline getirilmesi, rızanın özgür iradeyle verildiği iddiasını zayıflatabilir. Bu nedenle açık rıza, hizmetin zorunlu olmayan ek amaçları için ve gerçekten gerekli olduğu hallerde kullanılmalıdır.

Sık Yapılan Hatalar

• Her veri işleme faaliyeti için otomatik açık rıza alınması,
• Aydınlatma metni ile açık rıza metninin aynı belgeye gömülmesi,
• Aydınlatma yapıldığına dair kişiden onay veya rıza istenmesi,
• Genel ve belirsiz “tüm kişisel verilerimin işlenmesine izin veriyorum” ifadelerinin kullanılması,
• Hizmetin, zorunlu olmayan veri işleme rızasına bağlanması,
• Pazarlama izni ile hizmet bildiriminin aynı kutuda toplanması,
• Çerezlerde kabul ve reddet seçeneklerinin dengeli sunulmaması,
• Çalışanlardan her işlem için matbu açık rıza alınması,
• Açık rıza geri alındığında sürecin nasıl yönetileceğinin belirlenmemesi,
• Veri envanteri ile açık rıza metinlerinin birbirini desteklememesi.

Açık Rıza İçin Pratik Kontrol Listesi

Bir süreçte açık rıza alıp almamaya karar vermeden önce şu sorular sorulmalıdır:

• Bu kişisel veri hangi amaçla işleniyor?
• Bu amaç için KVKK’da açık rıza dışında başka bir hukuki sebep var mı?
• Veri işleme faaliyeti sözleşme, kanuni yükümlülük veya meşru menfaat kapsamında yürütülebilir mi?
• İşlenen veri özel nitelikli kişisel veri mi?
• Açık rıza alınacaksa konu yeterince belirli mi?
• İlgili kişi neye rıza verdiğini açıkça anlayabiliyor mu?
• Rıza vermemesi halinde hizmetten yararlanması engelleniyor mu?
• Rıza geri alınırsa süreç nasıl yönetilecek?
• Aydınlatma metni açık rıza metninden ayrı mı?
• Veri envanteri, aydınlatma metni, açık rıza metni ve saklama politikası birbiriyle uyumlu mu?

Lilyum Danışmanlık Bu Süreçte Nasıl Destek Olur?

Açık rıza değerlendirmesi yalnızca bir form hazırlama işi değildir. Önce işletmenin kişisel veri işleme faaliyetleri belirlenmeli, her faaliyet için amaç, veri kategorisi, ilgili kişi grubu, aktarım durumu, saklama süresi ve hukuki sebep birlikte incelenmelidir.

Lilyum Danışmanlık, KVKK danışmanlığı kapsamında işletmenizin pazarlama, insan kaynakları, sağlık, kamera, web sitesi ve çerez süreçlerinde hangi işlemler için açık rıza gerektiğini, hangi işlemlerde başka hukuki sebeplere dayanılması gerektiğini ve mevcut belgelerinizin birbiriyle tutarlı olup olmadığını değerlendirebilir.