Kişisel Veri İşleme Şartları ve Açık Rızanın Sınırları

1. Konunun Genel Çerçevesi

Kişisel verilerin korunması mevzuatına uyum çalışmalarında en sık karşılaşılan hatalardan biri, her veri işleme faaliyeti için açık rıza alınması gerektiği düşüncesidir. Oysa 6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin işlenebilmesi için birden fazla hukuki sebep öngörmekte ve açık rızayı bu sebeplerden yalnızca biri olarak düzenlemektedir.

Her veri işleme faaliyetinin hangi hukuki sebebe dayandığının doğru belirlenmesi, hem aydınlatma metinlerinin doğru hazırlanması hem de ilgili kişinin haklarının korunması bakımından önem taşımaktadır. Yanlış hukuki sebebe dayanılması, işlemenin hukuka aykırı sayılmasına ve idari yaptırımlara yol açabilmektedir.

2. Hukuki Dayanak

• 6698 sayılı Kişisel Verilerin Korunması Kanunu: KVKK m.3 (tanımlar, açık rıza), KVKK m.4 (genel ilkeler), KVKK m.5 (kişisel verilerin işlenme şartları), KVKK m.6 (özel nitelikli kişisel verilerin işlenme şartları), KVKK m.10 (aydınlatma yükümlülüğü), KVKK m.18 (kabahatler)
• 7499 sayılı Kanun ile KVKK m.6 hükmünde yapılan değişiklikler
• Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ
• Kişisel Verileri Koruma Kurulu'nun ilke kararları ve rehberleri

3. Kanundaki Düzenleme

Genel İlkeler

KVKK m.4 uyarınca kişisel veriler; hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlar için, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olarak işlenmeli ve gerekli olan süre kadar muhafaza edilmelidir. Bu ilkeler, hangi işleme şartına dayanılırsa dayanılsın her durumda uygulanmaktadır.

Kişisel Verilerin İşlenme Şartları

KVKK m.5 uyarınca kişisel veriler kural olarak ilgili kişinin açık rızası olmaksızın işlenememektedir. Ancak aynı madde, açık rıza aranmaksızın veri işlenebilecek durumları da saymaktadır. Bunlar; kanunlarda açıkça öngörülmesi, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan kişinin veya başkasının hayatı ya da beden bütünlüğünün korunması için zorunlu olması, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için zorunlu olmasıdır.

Açık Rızanın Unsurları

KVKK m.3 uyarınca açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Genel ve belirsiz ifadelerle alınan, hizmetin şartı hâline getirilen veya aydınlatma yapılmadan alınan rızalar bu unsurları taşımamaktadır. İlgili kişi verdiği açık rızayı her zaman geri alabilmektedir; geri alma, sonraki işlemeler bakımından sonuç doğurmaktadır.

Özel Nitelikli Kişisel Veriler

Sağlık, din, mezhep, biyometrik ve genetik veriler, ceza mahkûmiyeti ve güvenlik tedbirleri gibi veriler özel nitelikli kişisel veri olarak kabul edilmektedir. KVKK m.6 bu veriler için ayrı ve daha sınırlı işleme şartları öngörmektedir. 7499 sayılı Kanun ile bu madde yeniden düzenlenmiş ve açık rıza dışındaki işleme şartları genişletilmiştir. Bu verilerin işlenmesinde ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması gerekmektedir.

4. Uygulamada Süreç

1. Veri envanterinin çıkarılması: Hangi verinin, hangi amaçla, kimlerden toplandığı ve kimlere aktarıldığı tespit edilmektedir.
2. Hukuki sebebin belirlenmesi: Her işleme faaliyeti için KVKK m.5 veya KVKK m.6 kapsamındaki uygun işleme şartı belirlenmektedir.
3. Açık rızanın gerçekten gerekli olup olmadığının değerlendirilmesi: Sözleşme, hukuki yükümlülük veya meşru menfaat gibi bir sebep varsa, aynı işleme için ayrıca açık rıza alınmamaktadır.
4. Meşru menfaat dengesi: Meşru menfaate dayanılacaksa, veri sorumlusunun menfaati ile ilgili kişinin temel hak ve özgürlükleri arasında denge testi yapılmakta ve belgelenmektedir.
5. Aydınlatma metninin hazırlanması: KVKK m.10 uyarınca ilgili kişiye işlemenin amacı, hukuki sebebi ve aktarım yapılacak taraflar bildirilmektedir.
6. Açık rıza metninin ayrı tutulması: Açık rıza gereken hâllerde rıza metni aydınlatma metninden ayrı düzenlenmekte, her amaç için ayrı onay alınmaktadır.
7. Rızanın geri alınmasının yönetimi: Geri alma taleplerinin kolayca iletilebileceği bir kanal oluşturulmakta ve sistemlere yansıtılmaktadır.

5. Görevli ve Yetkili Mahkeme veya Merci

Verilerinin hukuka aykırı işlendiğini düşünen ilgili kişi, önce veri sorumlusuna başvurmaktadır. Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunulabilmektedir.

Kurul'un idari para cezası kararlarına ve diğer kararlarına karşı idare mahkemesinde dava açılabilmektedir. İlgili kişinin uğradığı zararın tazmini için genel hükümlere göre asliye hukuk mahkemesinde, tüketici ilişkisinin bulunduğu hâllerde tüketici mahkemesinde dava açılabilmektedir. Kişisel verilere ilişkin suçlar bakımından Cumhuriyet başsavcılığına başvurulabilmektedir.

6. Süreler ve Dikkat Edilecek Hususlar

• Veri sorumlusu, ilgili kişinin başvurusunu Kanun'da öngörülen süre içinde sonuçlandırmakla yükümlüdür.
• Kurul'a şikâyet, Kanun'da öngörülen süreler içinde yapılmalıdır; önce veri sorumlusuna başvurulmuş olması şarttır.
• Hizmetin sunulmasını açık rıza verilmesi şartına bağlamak, rızanın özgür iradeye dayanmadığı sonucunu doğurabilmektedir.
• Aynı metinde aydınlatma ve açık rızanın birlikte alınması, Kurul uygulamasında aydınlatma yükümlülüğüne aykırılık olarak değerlendirilebilmektedir.
• Pazarlama amaçlı ticari elektronik iletiler için ayrıca 6563 sayılı Kanun kapsamında onay alınması gerekmektedir.
• İşleme şartının değişmesi hâlinde aydınlatma metni de güncellenmelidir.

7. Sonuç

Açık rıza, kişisel veri işlemenin tek ve her durumda uygun dayanağı değildir. Her faaliyet için doğru işleme şartının belirlenmesi, aydınlatma ile açık rızanın birbirinden ayrılması ve gerçekten gerekli olan hâllerde usulüne uygun açık rıza alınması, Kanun'a uyumun temelini oluşturmaktadır.

Somut olayın özelliklerine göre ayrıca değerlendirme yapılması gerekmektedir.

8. Akademik Kaynaklar

Bu konuya ilişkin akademik çalışmalara aşağıdaki kaynaklar üzerinden ulaşabilirsiniz. Tez ve makalelerin içeriği bu sitede çoğaltılmamaktadır.

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımamaktadır. Yeni yazılar LinkedIn sayfasında da paylaşılmaktadır.

← Kişisel Verilerin Korunması ve Veri Uyumu