KVKK Kapsamında Açık Rızanın Geçerlilik Şartları ve Hizmetin Açık Rıza Şartına Bağlanması

Kişisel verilerin korunması uygulamasında en sık karşılaşılan yanlışlardan biri, her kişisel veri işleme faaliyetinin açık rızaya dayanması gerektiğinin düşünülmesidir. Üyelik formlarında, mobil uygulamalarda, internet sitelerinde ve hizmet sözleşmelerinde “KVKK onayı” adı altında tek bir kutucuğun işaretletilmesi de bu yaklaşımın uygulamadaki yansımalarından biridir.

Oysa 6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından açık rıza, kişisel veri işlemenin tek hukuki sebebi değildir. Dahası, açık rızanın hukuken geçerli olabilmesi için yalnızca kişinin “kabul ediyorum” demesi yeterli değildir. Rızanın belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanı olması gerekir.^[1][2]

KVKK Bakımından Açık Rıza Nedir?

6698 sayılı Kanun'un 3. maddesinde açık rıza, “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanmıştır.

Kanundaki tanım, açık rızanın üç kurucu unsurunu ortaya koymaktadır: rızanın belirli bir konuya ilişkin olması, yeterli bilgilendirmeye dayanması ve özgür iradeyle verilmesi. Kişisel Verileri Koruma Kurumu da yayımladığı rehberlerde bu üç unsurdan herhangi birinin bulunmaması durumunda açık rızanın geçerliliğinin etkilenebileceğini belirtmektedir.

Açık rıza bu bakımdan yalnızca şekli bir onay işlemi değildir. İlgili kişinin hangi kişisel verilerinin hangi amaçla işleneceğini bilerek ve bu işleme faaliyetini gerçekten reddedebilme imkânına sahip olarak karar vermesi gerekir.

Açık Rıza Kişisel Veri İşlemenin Tek Hukuki Sebebi Değildir

6698 sayılı Kanun'un 5. maddesinde kişisel verilerin işlenebilmesi için açık rıza dışında da çeşitli hukuki sebepler öngörülmüştür. Kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası için veri işlemenin gerekli olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, bir hakkın tesisi, kullanılması veya korunması ile belirli şartlar altında meşru menfaat bunlardan bazılarıdır.

Bu nedenle veri sorumlusunun ilk sorusu “Açık rıza metnini nasıl hazırlamalıyım?” değil, “Bu veri işleme faaliyetinin hukuki sebebi nedir?” olmalıdır.

Kişisel Verileri Koruma Kurumu da açık rıza dışındaki bir işleme şartının mevcut olduğu hâllerde ayrıca açık rıza alınmasının ilgili kişiyi yanıltabileceğini belirtmektedir. Kuruma göre önce veri işlemenin Kanundaki diğer hukuki sebeplere dayanıp dayanmadığı araştırılmalı, ancak bunlardan biri bulunmuyorsa gerekli hâllerde açık rızaya başvurulmalıdır.^[3]

Örneğin bir e-ticaret şirketinin satın alınan ürünü teslim edebilmek için müşterinin adını, adresini ve gerekli iletişim bilgilerini işlemesi, somut koşullarda sözleşmenin ifasıyla doğrudan bağlantılı olabilir. Böyle bir işlem için “KVKK açık rızası” alınması, açık rızayı gerçekte gerekli olmadığı bir işlemin zorunlu unsuru gibi gösterebilir.

Açık Rızanın Geçerlilik Şartları

Belirli bir konuya ilişkin olma

Açık rıza hangi veri işleme faaliyeti için verildiğini açık biçimde göstermelidir. “Her türlü kişisel verimin her türlü amaçla işlenmesini kabul ediyorum.” gibi sınırları belirsiz ifadeler geçerli açık rıza anlayışıyla bağdaşmaz.

Kişisel Verileri Koruma Kurumu bu tür sınırlandırılmamış genel rıza beyanlarını “battaniye rıza” olarak nitelendirmekte ve geçerli kabul etmemektedir.

Dolayısıyla pazarlama faaliyetleri, profilleme, verilerin belirli üçüncü kişilere aktarılması veya başka bağımsız işleme amaçları söz konusu olduğunda bu faaliyetlerin yalnızca genel bir “kişisel verilerin işlenmesine izin veriyorum” ifadesinin içinde eritilmesi doğru değildir.

Bilgilendirmeye dayanma

İlgili kişinin neye rıza gösterdiğini anlayabilmesi gerekir. Kişinin işlenecek veriler, işleme amacı ve kararının sonuçları hakkında yeterli bilgiye sahip olmadığı bir durumda bilinçli bir rızadan söz edilmesi güçtür.

Ancak açık rızanın bilgilendirmeye dayanması ile Kanun'un 10. maddesindeki aydınlatma yükümlülüğü aynı şey değildir. Aydınlatma, veri sorumlusunun kanundan doğan bağımsız yükümlülüğüdür ve kişisel veri işlemenin açık rıza veya başka bir hukuki sebebe dayanmasına bakılmaksızın yerine getirilmesi gerekir.^[4]

Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ de açık rızaya dayanan veri işleme faaliyetlerinde aydınlatma işlemi ile açık rıza alma işleminin ayrı ayrı yerine getirilmesini öngörmektedir.

Özgür iradeyle açıklanma

Açık rızanın geçerliliği bakımından en fazla uyuşmazlık yaratan unsur özgür iradedir. İlgili kişi rıza göstermediğinde temel bir mal veya hizmetten mahrum kalacaksa, taraflar arasında ciddi güç dengesizliği varsa veya rıza fiilen zorunlu tutuluyorsa beyanın gerçekten özgür iradeye dayanıp dayanmadığı tartışmalıdır.

Kişisel Verileri Koruma Kurulu kararlarında da hizmetin alınabilmesini ilgisiz bir veri işleme faaliyetine ilişkin açık rıza verilmesine bağlayan uygulamalar bu açıdan incelenmektedir. Kurul, açık rızanın ürün veya hizmetin zorunlu koşulu hâline getirilmesinin somut olayın şartlarına göre özgür iradeyi sakatlayabileceğini kabul etmektedir.^[5]

Açık Rıza ile Aydınlatma Metni Aynı Şey Değildir

Uygulamada “KVKK metnini kabul ediyorum” şeklindeki kutucuklarda aydınlatma yükümlülüğü ile açık rızanın birbirine karıştırıldığı görülmektedir. Oysa aydınlatma metninin amacı kişinin kişisel verilerinin nasıl işlendiği konusunda bilgi sahibi olmasını sağlamaktır; açık rıza ise ancak rızanın hukuki sebep olduğu işlem bakımından ilgili kişinin irade açıklamasıdır.

Dolayısıyla kişinin “aydınlatma metnini kabul etmesi” hukuken aydınlatmanın şartı değildir. Aydınlatma veri sorumlusu tarafından yerine getirilmesi gereken bir yükümlülüktür. Buna karşılık aydınlatma yapıldığının ispatı veri sorumlusuna aittir.

Tebliğ ayrıca açık rızaya dayanılan hâllerde iki işlemin ayrı yapılmasını açıkça öngördüğünden, tek kutucukta “Aydınlatma metnini okudum ve tüm kişisel verilerimin işlenmesine rıza gösteriyorum.” biçimindeki birleşik yapılar dikkatle değerlendirilmelidir.

Açık Rıza Yazılı Olmak Zorunda mıdır?

6698 sayılı Kanun açık rıza için genel bir yazılı şekil şartı öngörmemektedir. Kişisel Verileri Koruma Kurumu da rızanın elektronik ortamda veya çağrı merkezi gibi yöntemlerle alınabileceğini belirtmektedir.

Bununla birlikte veri sorumlusunun daha sonra geçerli bir açık rıza bulunduğunu ortaya koyabilmesi gerekir. Kurumun açıklamasına göre rızanın alındığını ispat yükümlülüğü veri sorumlusuna aittir.

Bu nedenle dijital sistemlerde rızanın ne zaman, hangi metin üzerinden ve hangi işleme amacı için alındığının sonradan doğrulanabilir biçimde kayıt altına alınması uygulama açısından önem taşır.

Açık Rıza Geri Alınabilir mi?

Açık rıza kişiye sıkı sıkıya bağlı bir irade açıklaması olduğundan geri alınabilir. Kişisel Verileri Koruma Kurumu, geri alma beyanının ileriye yönelik sonuç doğurduğunu ve veri sorumlusuna ulaşmasından itibaren açık rızaya dayalı işleme faaliyetlerinin durdurulması gerektiğini belirtmektedir.

Ancak rızanın geri alınması, geçmişte hukuka uygun biçimde gerçekleştirilmiş işlemleri geriye dönük olarak kendiliğinden hukuka aykırı hâle getirmez. Ayrıca verinin saklanması veya başka şekilde işlenmesi için açık rızadan bağımsız farklı bir hukuki sebep bulunuyorsa veri yalnızca bu hukuki sebebin izin verdiği kapsam ve amaçla işlenmeye devam edebilir.

Hizmet Açık Rıza Şartına Bağlanabilir mi?

Genel yaklaşım

Bir kişinin temel bir mal veya hizmetten yararlanabilmesinin, hizmet için gerekli olmayan kişisel veri işleme faaliyetlerine rıza göstermesine bağlanması özgür irade açısından ciddi sorun oluşturur.

Kişisel Verileri Koruma Kurulunun hizmetin açık rıza şartına bağlanmasına ilişkin yaklaşımında; bir sözleşmenin kurulması veya ifası için gerekli veri işleme faaliyetlerinin zaten Kanun m.5/2-c kapsamında gerçekleştirilebildiği bir durumda ayrıca açık rıza alınması ve bu rızanın üyelik veya hizmet koşulu yapılması hukuka ve dürüstlük kurallarına aykırı bulunmuştur.

Bu noktada özellikle “hizmeti sunmak için gerekli veri” ile “veri sorumlusunun ayrıca gerçekleştirmek istediği pazarlama, profilleme veya başka ikincil işlem” birbirinden ayrılmalıdır.

Sağlık randevusunun pazarlama rızasına bağlanması

Kişisel Verileri Koruma Kurulunun 02.05.2023 tarihli ve 2023/692 sayılı kararında özel bir sağlık kuruluşunun çevrimiçi randevu sisteminde, kurumun hizmet ve duyurularından haberdar olunmasına yönelik kişisel veri işleme izninin verilmesi zorunlu tutulmuş; ilgili kutucuk işaretlenmeden randevu işlemi tamamlanamamıştır.^[6]

Kurul, sağlık hizmetine erişimin ön adımı olan randevu hizmetinin, sağlık hizmetiyle doğrudan bağlantılı olmayan tanıtım amaçlı veri işleme faaliyetine yönelik açık rıza şartına bağlanmasını özgür irade unsuru bakımından hukuka aykırı değerlendirmiştir.

Karar, hizmetin ifası için gerekli olmayan pazarlama rızasının temel hizmete erişim koşulu hâline getirilemeyeceğinin önemli örneklerinden biridir.

Her Ek Menfaatin Açık Rızaya Bağlanması Yasak mıdır?

Sadakat programlarında Kurulun yaklaşımı

Hizmetin açık rıza şartına bağlanmasına ilişkin kural mutlak ve mekanik biçimde uygulanmamaktadır. Temel hizmetten bağımsız, isteğe bağlı bir ek menfaat veya sadakat programı söz konusu olduğunda Kurul farklı değerlendirme yapabilmektedir.

Kurulun 05.07.2019 tarihli ve 2019/198 sayılı kararında, sadakat programına katılmayan müşterilerin mağazadan normal koşullarda alışveriş yapmaya devam edebildikleri; programın yalnızca bazı ürünlerde ek indirim sağladığı dikkate alınarak, bu ek menfaatin açık rıza koşuluna bağlanması hizmetin açık rıza şartına bağlanması olarak değerlendirilmemiştir.^[7]

Burada belirleyici unsur, rıza göstermeyen kişinin temel ürün veya hizmete erişiminin ortadan kalkmamasıdır.

Hava yolu sadakat programı

Benzer yaklaşım Kurulun 25.05.2023 tarihli ve 2023/890 sayılı kararında da görülmektedir. Şikâyet konusu özel yolcu programına katılmadan da şirketin temel hizmeti olan uçak bileti satın alınabilmesi, programın yalnızca ek imkânlar sağlaması ve alternatif yolların bulunması dikkate alınarak açık rızanın koşul olarak dayatıldığı sonucuna varılmamıştır.^[8]

Bu kararlar, “rıza verilmezse herhangi bir avantajdan mahrum kalınması her durumda rızayı geçersiz kılar” şeklinde genel bir kural kurulamayacağını göstermektedir. Rıza vermemenin kişinin gerçek seçim özgürlüğünü ortadan kaldıracak ağırlıkta bir sonuç doğurup doğurmadığı somut olarak incelenmelidir.

Alternatif Hizmet Kanalının Bulunması Sonucu Değiştirebilir mi?

Kurulun 15.06.2023 tarihli ve 2023/1041 sayılı kararında, internet üzerinden yapılan satışlarda yurt dışına veri aktarımına açık rıza vermeyen müşterilerin müşteri hizmetleri üzerinden herhangi bir ek maliyet veya yükümlülük olmaksızın alışveriş yapabilecek alternatif bir kanala sahip olması değerlendirilmiştir.^[9]

Kurul somut olayda alternatif kanalın varlığını, hizmetin açık rıza şartına bağlanmadığı yönündeki değerlendirmede dikkate almıştır. Bununla birlikte alternatif kanalın ilgili kişiye açık ve şeffaf biçimde gösterilmemesini de ayrıca eleştirmiştir.

Dolayısıyla teorik olarak alternatif bir yöntemin bulunması her zaman yeterli değildir. Alternatifin gerçekten erişilebilir, ek külfet yaratmayan ve ilgili kişi tarafından anlaşılabilir olması da önemlidir.

“Ek Hizmet” Nitelendirmesi Tek Başına Yeterli Değildir

Veri sorumluları bakımından dikkat edilmesi gereken önemli bir başka nokta, bir hizmetin “ek hizmet” olarak adlandırılmasının otomatik biçimde açık rıza şartına bağlanabileceği anlamına gelmemesidir.

Kişisel Verileri Koruma Kurulunun 21.09.2023 tarihli ve 2023/1610 sayılı kararında çevrimiçi bir platform, canlı maç yayını imkânının temel hizmet değil ek bir fayda olduğunu savunmuştur. Ancak Kurul, canlı yayın hizmetinden yararlanmanın ticari nitelikli ileti amacıyla kişisel veri işlenmesine rıza verilmesine bağlanmasının açık rızanın özgür iradeyle verilmesi unsurunu zedelediği sonucuna ulaşmış ve veri sorumlusu hakkında idari para cezası uygulanmasına karar vermiştir.^[10]

Bu karar ile sadakat programı kararları birlikte değerlendirildiğinde, “temel hizmet–ek menfaat” ayrımının önemli olmakla birlikte tek başına belirleyici olmadığı görülmektedir. Sunulan faydanın niteliği, rıza verilmemesinin sonucu, veri işlemenin hizmetle bağlantısı ve ilgili kişinin gerçek bir seçeneğinin bulunup bulunmadığı birlikte değerlendirilmelidir.

Sözleşme, Pazarlama ve Açık Rıza Birbirinden Ayrılmalıdır

Uygulamada üyelik ve satın alma süreçlerinde birden fazla veri işleme faaliyeti aynı anda gerçekleşebilir. Örneğin bir ürünün teslim edilmesi için adres bilgisinin işlenmesi sözleşmenin ifası kapsamında olabilirken, müşterinin alışveriş geçmişinin reklam profili oluşturmak amacıyla kullanılması ayrı bir hukuki sebebe ihtiyaç duyabilir.

Bu iki faaliyetin aynı “KVKK'yı kabul ediyorum” kutucuğu altında birleştirilmesi, hangi işlemin hangi hukuki sebebe dayandığının anlaşılmasını güçleştirir. Aynı şekilde pazarlama faaliyetinin temel sözleşmenin kurulması için zorunluymuş gibi sunulması özgür irade unsurunu zedeleyebilir.

Sağlıklı yaklaşım, veri işleme faaliyetlerini amaç bazında ayırmak, her işlem için doğru hukuki sebebi belirlemek ve yalnızca gerçekten açık rızaya ihtiyaç duyulan işlemler bakımından rıza istemektir.

Özel Nitelikli Kişisel Verilerde Açık Rıza

Özel nitelikli kişisel veriler bakımından da açık rıza önemli bir işleme şartıdır; ancak güncel hukuki rejimde tek işleme şartı değildir. 7499 sayılı Kanun ile 6698 sayılı Kanun'un 6. maddesi değiştirilmiş ve değişiklikler 1 Haziran 2024 tarihinde yürürlüğe girmiştir. Güncel m.6, açık rızanın yanında belirli başka hukuki sebepler altında da özel nitelikli kişisel veri işlenmesine imkân tanımaktadır.^[11]

Bu değişiklik de “hassas veri varsa mutlaka açık rıza alınır” şeklindeki otomatik yaklaşımın güncel hukuk bakımından doğru olmadığını göstermektedir. Özel nitelikli verilerde de öncelikle Kanun'un güncel m.6 hükmünde belirtilen hukuki şartların değerlendirilmesi gerekir.

Açık Rızanın Geçerliliği Nasıl Değerlendirilmelidir?

Açık rızanın geçerli olup olmadığını değerlendirirken yalnızca form üzerindeki “onay verildi” kaydına bakılması yeterli değildir. İlgili kişinin neye rıza gösterdiği, işlemin sınırlarının belirli olup olmadığı, rızadan önce yeterli bilgilendirme yapılıp yapılmadığı, rıza vermemenin hangi sonucu doğurduğu ve kişinin rızayı daha sonra geri alabilip alamadığı birlikte incelenmelidir.

Ayrıca veri sorumlusu rızayı hukuki sebep olarak kullanmadan önce aynı işleme faaliyetinin Kanun'un başka bir hükmüne dayanıp dayanmadığını belirlemelidir. Başka bir hukuki sebebe dayanan veri işlemenin açık rıza alınarak gerçekleştirilmesi, açık rızanın “her ihtimale karşı alınan bir izin belgesi”ne dönüşmesine yol açmamalıdır.

Sonuç

Açık rıza, KVKK kapsamında kişisel verilerin işlenmesini mümkün kılan hukuki sebeplerden biridir; ancak veri işlemenin tek veya her durumda öncelikli hukuki sebebi değildir. Veri sorumlusu öncelikle somut veri işleme faaliyetinin Kanun'un diğer işleme şartlarından birine dayanıp dayanmadığını belirlemelidir.

Geçerli bir açık rıza için rızanın belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir beyan olması gerekir. Aydınlatma yükümlülüğü ise açık rızadan ayrı ve bağımsız olarak yerine getirilmelidir.

Hizmetin açık rıza şartına bağlanmasında ise kategorik bir değerlendirme yerine somut olayın özellikleri esas alınmalıdır. Temel hizmetten yararlanmak için hizmetle ilgisiz pazarlama rızasının zorunlu tutulması özgür iradeyi sakatlarken, temel hizmete erişimi etkilemeyen ve sınırlı bir ek menfaat sağlayan sadakat programları bazı hâllerde farklı değerlendirilebilmektedir.

Kurulun farklı kararları birlikte okunduğunda belirleyici ölçütün yalnızca hizmetin “temel” veya “ek” olarak adlandırılması olmadığı görülmektedir. Asıl soru, ilgili kişinin açık rıza vermeme konusunda gerçek ve makul bir seçim imkânına sahip olup olmadığıdır.