"KVKK için açık rıza alın" cümlesi sıkça duyulur. Ancak gerçekte her veri işleme açık rıza gerektirmez. Açık rıza, KVKK'nın 7 ayrı işleme şartından sadece biridir ve genellikle en zayıf hukuki sebeptir.
Açık Rızanın 3 Şartı
KVKK m. 3/1-a'da açık rıza şöyle tanımlanır: "Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza." Geçerli bir açık rıza için 3 unsur şarttır:
1. Bilgilendirilmiş Olma
İlgili kişi rızasını verirken hangi veriler, hangi amaçla, kim tarafından işlenecek; biliyor olmalı. Bu nedenle aydınlatma metni rıza alımından önce gösterilmelidir.
2. Özgür İradeye Dayalı
Rıza, hizmet alımının ön koşulu yapılamaz. Örneğin: "Açık rıza vermezseniz hizmetimizden yararlanamazsınız" yaklaşımı geçerli rıza değildir.
3. Belirli Konuya İlişkin
"Tüm verilerim için tüm amaçlarla rıza veriyorum" gibi blanket (toptan) rızalar geçersizdir. Her amaç için ayrı, belirgin rıza alınmalıdır.
Açık Rıza Ne Zaman Gerekmez?
KVKK m. 5/2'de sayılan diğer hukuki sebeplerden biri varsa açık rıza gerekmez. Bunlar:
- Kanunlarda açıkça öngörülmesi (örn. 5651 trafik bilgisi)
- Hayati tehlikenin korunması
- Sözleşmenin kurulması veya ifası
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi
- İlgili kişinin alenileştirdiği veri
- Bir hakkın tesisi, kullanılması, korunması
- Meşru menfaat (temel hak ve özgürlüklere zarar vermeden)
Örneğin: Bir müşteri ile sözleşme kuruyorsanız, fatura bilgilerini ifası için işlemek için açık rıza GEREKMEZ. Bu, m. 5/2-c (sözleşmenin ifası) kapsamındadır.
Açık Rıza Gereken Tipik Durumlar
- Pazarlama iletişimi: Ticari elektronik ileti göndermek (6563 sayılı Kanun + KVKK).
- Profilleme: Otomatik karar verme süreçleri.
- Yurt dışı aktarım: Yeterli koruma kararı olmayan ülkelere (KVKK m. 9 değişikliği sonrası bazı durumlarda).
- Özel nitelikli kişisel veri: Sağlık, biyometri, ceza, din vb. (özel kurallar saklı).
- Çerez kullanımı: Zorunlu olmayan çerezler.
Açık Rıza Nasıl Alınmalı?
- Ayrı bir kutu (checkbox): Aydınlatma metni okumayla aynı kutuda olmamalı.
- Önceden işaretsiz: Tick box default olarak boş olmalı.
- Net dil: "Şu amaçla işlenmesine açık rıza veriyorum" şeklinde.
- Tarihli kayıt: Hangi tarihte, nasıl bir metinle rıza alındığı saklanmalı.
- Geri alma yolu: Rıza her zaman geri alınabilir; geri alma yolu kullanıcıya açıkça bildirilmeli.
Geçersiz Açık Rıza Örnekleri
- Otomatik işaretli checkbox
- "Üye olmak için rıza zorunlu" yaklaşımı
- "Tüm aydınlatma metnini ve tüm verilerimin işlenmesine rıza veriyorum" tek tickbox
- Toplantı sırasında imzalatılan, açıklanmamış formlar
- Çocukların (18 yaş altı) yasal temsilcisi olmadan verdiği rıza
Rıza Geri Alındığında Ne Yapmalı?
İlgili kişi rızasını geri aldığında:
- İşleme derhal durdurulur;
- Veri silinir / yok edilir / anonim hâle getirilir (KVKK m. 7);
- Aktarılmışsa üçüncü taraflara bilgi verilir;
- Diğer hukuki sebepler varsa (örn. yasal saklama süresi) o sebepler için işleme devam edebilir.
Sık Yapılan Hatalar
- Açık rızayı aydınlatma metniyle karıştırmak.
- Sözleşme şartı olarak rıza istemek.
- Tek bir checkbox ile birden fazla amaç için rıza almak.
- Rıza geri alındığında bilgilendirme yapmamak.
- Kapalı/küçük yazıyla rıza kutucuğu sunmak.
SignLogger'da Açık Rıza Yönetimi
SignLogger; çoklu rıza kategorisi (pazarlama, profilleme, analitik) yönetir, her rızayı zaman damgalı kaydeder, geri alma akışı sağlar. Bayi başvuru, demo talebi, indirme talebi gibi formlar açık rıza için doğru pattern'i uygular: aydınlatma metni linkli, ayrı checkbox, default işaretsiz, geri alma kanalı açık.
Detaylar için KVKK aydınlatma metnimize bakın.
Misafir Wi-Fi'da Açık Rıza Gerekir mi?
Sahada en çok karışan konulardan biri budur. Misafir Wi-Fi portalında kullanıcıdan telefon numarası alıp SMS ile doğrulamak ve trafik loglarını tutmak için açık rıza gerekmez — çünkü bu işleme 5651 sayılı kanundan doğan "kanuni yükümlülüğün yerine getirilmesi" (KVKK m. 5/2-ç) sebebine dayanır. Rıza istemek, hatta "kabul etmiyorum" seçeneği sunmak yanlıştır; rıza reddedilirse loglama yükümlülüğü ortadan kalkmaz.
Buna karşılık aynı portal ekranında kullanıcıya kampanya SMS'i göndermek için numarasını kullanmak isterseniz, bu ayrı bir amaçtır ve ayrı bir açık rıza kutucuğu gerektirir. Doğru kurgu: loglama için aydınlatma metni (rıza değil) + pazarlama için opsiyonel onay kutusu. Portal kurulumu için 5651 Log Alma Zorunluluğu rehberine bakın.
Pratik Örnekler: Rıza Gerekir mi?
| Senaryo | Açık rıza? | Dayanak |
|---|---|---|
| Wi-Fi trafik logu tutma | Hayır | Kanuni yükümlülük (5651) |
| Fatura için ad-soyad, adres | Hayır | Kanuni yükümlülük (VUK) |
| Sözleşme için iletişim bilgisi | Hayır | Sözleşmenin kurulması/ifası |
| Pazarlama SMS/e-postası | Evet | Açık rıza (+ ETK onayı) |
| Çerezlerle davranışsal reklam | Evet | Açık rıza |
| Güvenlik kamerası kaydı | Hayır | Meşru menfaat (+ aydınlatma levhası) |
Sık Sorulan Sorular
Rızayı hizmet şartına bağlayabilir miyim?
Hayır — "Wi-Fi kullanmak için pazarlama iletisini kabul etmelisiniz" kurgusu rızayı özgür iradeye dayanmaktan çıkarır ve geçersiz kılar.
Açık rızayı nasıl ispatlarım?
Rızanın ne zaman, hangi metinle, hangi kanaldan alındığını kayıt altında tutun. SignLogger portal kayıtları, onay kutusu işaretlemelerini zaman damgalı olarak arşivleyebilir.