Açık Rıza Nedir?
Kısa tanım
Açık rıza, KVKK'da belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanır. Kişinin neye onay verdiğini bilerek, aktif bir eylemle ve baskı altında kalmadan verdiği izindir; dilediği zaman geri alınabilir. Kişisel veri işlemenin şartlarından yalnızca biridir: sözleşme, hukuki yükümlülük veya meşru menfaat gibi başka bir şart varsa ayrıca açık rıza istenmez.
Diğer adları: explicit consent, rıza, onay, açık onay, KVKK açık rıza
Geçerli rızanın üç unsuru
- Belirli bir konuya ilişkin: Rıza hangi veri ve hangi amaç için verildiğini göstermelidir. “Kişisel verilerimin işlenmesini kabul ediyorum” gibi genel ve açık uçlu bir cümle bu şartı karşılamaz. Kişisel Verileri Koruma Kurumu'nun çerez rehberi de bu tür belirsiz irade açıklamalarının açık rıza sayılamayacağını vurgular.
- Bilgilendirmeye dayanan: Kişi, rıza vermeden önce verinin kim tarafından, ne amaçla, kimlere aktarılarak işleneceğini anlayabilmelidir.
- Özgür iradeyle açıklanan: Reddetmek kişiye bir bedel ödetmemeli; rıza, ilgisiz bir hizmetin ön koşulu hâline getirilmemelidir.
GDPR'daki rıza tanımı da benzerdir: özgür, belirli, bilgilendirilmiş ve açık bir beyan ya da olumlu eylem. GDPR, “explicit consent” ifadesini ise özellikle özel kategorideki veriler gibi daha hassas durumlar için kullanır. Türkçe metinlerde iki kavram çoğu zaman aynı “açık rıza” sözcüğüyle karşılanır.
Her şeyin çaresi değil
KVKK açık rızayı işleme şartlarından biri olarak sayar, tek şart olarak değil. Sipariş teslimatı sözleşmeye, fatura saklama hukuki yükümlülüğe, güvenlik kayıtları çoğu zaman meşru menfaate dayanır. Bu işlemler için rıza istemek iki sorun doğurur: kişiye aslında var olmayan bir seçim hakkı varmış gibi gösterilir ve rıza geri çekildiğinde işleme başka bir gerekçeyle sürdürülürse kişi yanıltılmış olur. Doğru sıra şudur: önce açık rıza dışındaki şartlardan birinin karşılanıp karşılanmadığına bakılır, hiçbiri yoksa rızaya başvurulur.
Aydınlatma ile açık rıza da ayrı şeylerdir. Aydınlatma, hangi hukuki sebeple olursa olsun her işlemede yapılması gereken bilgilendirmedir; açık rıza ise yalnızca rızaya dayanan işlemeler için alınan izindir. İkisini tek bir “okudum, onaylıyorum” kutusunda birleştirmek, hem bilgilendirmeyi hem rızayı zayıflatır.
Hizmet şartına bağlama ve tasarım tuzakları
Üyelik formunda “Kampanya e-postaları ve verilerimin iş ortaklarıyla paylaşılmasını kabul ediyorum” kutusu işaretlenmeden kayıt tamamlanamıyorsa, rıza hizmetin ön koşulu yapılmış demektir ve özgür iradeden söz etmek zorlaşır. Aynı sonuca götüren diğer kalıplar:
- Önceden işaretlenmiş onay kutuları
- Pazarlama izninin kullanım koşulları metnine gömülmesi
- Reddetme seçeneğinin gizlendiği veya suçluluk duygusuyla yazıldığı arayüzler; bkz. karanlık desen
Doğru kurgu, her amaç için ayrı ve varsayılanı boş bir seçenek sunmaktır:
<label>
<input type="checkbox" name="kampanya_eposta">
Kampanya ve indirimlerden e-posta ile haberdar olmak istiyorum.
</label>
<a href="/aydinlatma-metni/">Aydınlatma metni</a>Ticari elektronik ileti onayının ayrıca kendi mevzuatına tabi olduğunu da unutmamak gerekir; pazarlama izni yalnızca KVKK açısından değerlendirilmez.
Geri alma ve ispat
Rıza geri alınabilir ve bunun verildiği kadar kolay olması beklenir: e-postadaki tek tıkla abonelikten çıkma bağlantısı, hesap ayarlarındaki bir anahtar ya da çerezler için sayfanın köşesinde duran bir tercih simgesi. Ayrıca rızanın varlığını ispat yükü veri sorumlusundadır. Sağlam bir kayıt şunları içerir: kim, ne zaman, hangi kanal üzerinden, metnin hangi sürümüne onay verdi ve ne zaman geri aldı. Çerezlere özgü kurallar çerez onayı maddesinde ele alınıyor.
Bu madde genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.