Kişisel Veri İşleme Şartları ve Açık Rıza (KVKK m.5)

Kişisel veri işlemenin hukuka uygunluğu tek bir dayanağa bağlı değildir. Kanun önce yasak koyar, sonra yedi ayrı şart sayar. Açık rıza bu şartlardan yalnızca biridir — ve çoğu zaman en zayıfıdır.

1) Temel Kural ve İstisnaları

Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.

Üçüncü satır maddenin işleyişini özetler: ikinci fıkradaki şartlardan herhangi biri varsa, açık rıza alınmasına gerek kalmaz.

Bu nedenle uygulamada ilk yapılması gereken, rıza metni hazırlamak değil, rızasız işleme şartlarından birinin bulunup bulunmadığını tespit etmektir. Yükümlünün kim olduğu için veri sorumlusu ve veri işleyen incelememize bakabilirsiniz.

2) Açık Rızanın Üç Unsuru

Açık rıza: Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza.

Üç unsur birlikte aranır; biri eksikse ortada geçerli bir açık rıza yoktur.

Birinci satır, “tüm verilerimin her amaçla işlenmesine onay veriyorum” türü metinleri geçersiz kılar.

Üçüncü satır ise uygulamada en çok ihlal edilen unsurdur: hizmetin verilmesini rızaya bağlamak, iradeyi özgür olmaktan çıkarır. Bilgilendirmenin içeriği için aydınlatma yükümlülüğü incelememize bakabilirsiniz.

3) Yedi İşleme Şartı

Maddenin ikinci fıkrası (a) ilâ (f) bentleri hâlinde şartları sayar. Türk alfabesindeki ç harfi de bent sırasında yer aldığından toplam yedi bent vardır.

Yedi bent alternatiftir; birinin gerçekleşmesi yeterlidir ve aralarında bir hiyerarşi yoktur.

Bentlerin çoğunda ortak bir eşik vardır: işlemenin zorunlu veya gerekli olması.

Bu eşik, şartların geniş yorumlanmasını engeller; işleme olmadan amaca ulaşılabiliyorsa zorunluluk yoktur.

4) Bentlerin Tek Tek Okunması

(a) Kanunilik

İkinci satır bendin sınırını çizer: zımnî veya yorumla çıkarılan bir yetki bu bende dayanak olmaz.

Bu bende dayanılırken hangi kanunun hangi hükmünün esas alındığı gösterilmelidir.

(b) Hayatın ve beden bütünlüğünün korunması

Üçüncü satır bendi genişletir: korunan kişi mutlaka veri sahibi olmak zorunda değildir.

Birinci satırdaki ikinci ihtimal, rızası hukuken geçerli sayılmayan kişileri kapsar.

Bu bent, acil ve istisnaî durumlar için tasarlanmış dar bir dayanaktır.

(c) Sözleşme

Birinci satırdaki “doğrudan doğruya” ibaresi bu bendin en çok zorlanan noktasıdır.

Sözleşmeyle dolaylı biçimde ilişkili işlemeler — örneğin pazarlama amaçlı kullanım — bu bende sığmaz.

Üçüncü satır ise kapsamı kişi bakımından sınırlar: bent, sözleşmenin tarafı olmayan üçüncü kişilerin verilerini kapsamaz.

(ç) Hukuki yükümlülük

Birinci satır bendin sınırını gösterir: korunan, veri sorumlusunun yükümlülüğüdür.

Bu bent ile (a) bendi sıkça karıştırılır; (a) işlemenin kanunda öngörülmesini, (ç) ise bir yükümlülüğün yerine getirilmesini esas alır.

(d) Alenileştirme

Birinci satır çok kısıtlayıcıdır: veriyi başkasının kamuya açması bu bende dayanak olmaz.

Ayrıca alenileştirme, verinin sınırsız kullanılabileceği anlamına gelmez; genel ilkeler burada da uygulanır.

Alenileştirmenin amacı ile yapılan işlemenin amacı arasındaki bağlantı da gözetilmelidir.

(e) Hakkın tesisi, kullanılması veya korunması

Bu bent, uyuşmazlık ve ispat ihtiyacı doğduğunda en sık başvurulan dayanaktır.

Ancak zorunluluk eşiği burada da geçerlidir; ihtimal dâhilindeki her uyuşmazlık için sınırsız veri saklanamaz.

(f) Meşru menfaat

Üçüncü satır bu bendi diğerlerinden ayırır: madde burada açık bir dengeleme kaydı getirmiştir.

Yani menfaatin varlığı yetmez; bu menfaat ilgili kişinin haklarıyla tartılmalıdır.

Dördüncü satırdaki zorunluluk şartı da ayrıca aranır; daha az müdahaleci bir yol varsa bu bende dayanılamaz.

Meşru menfaat testi

Dört sorunun tamamına olumlu cevap verilemiyorsa bu bende dayanılamaz.

Bu test, uygulamada yazılı olarak yapılmalı ve kayıt altına alınmalıdır.

5) Genel İlkeler Her Hâlde Uygulanır

Bu ilkeler, işleme hangi şarta dayanırsa dayansın uygulanır.

Dördüncü satır en sık ihlal edilen ilkedir: bir veri işlenebiliyor olsa bile, amaçla bağlantılı ve ölçülü olmalıdır.

Beşinci satır ise saklama süresini sınırlar; süresiz saklama ilkeye aykırıdır.

Rıza almak ilkeleri karşılamaz

Üç satırın ortak noktası aynıdır: açık rıza bir işleme şartıdır, genel bir muafiyet değildir.

Üçüncü satır özellikle önemlidir; aydınlatma yükümlülüğü işleme hangi şarta dayanırsa dayansın yerine getirilir.

6) Açık Rıza ile Diğer Şartlar Arasındaki İlişki

Dördüncü satır uygulamada en çok şaşırtan noktadır: açık rıza, veri sorumlusu için en kırılgan dayanaktır.

İlgili kişi rızasını geri aldığında, yalnızca rızaya dayanan işleme faaliyeti dayanaksız kalır.

Oysa örneğin bir hukuki yükümlülüğe veya sözleşmeye dayanan işleme, rızadan bağımsız olarak devam eder.

Neden yanlış dayanak seçmek sorun?

Birinci satır çelişkiyi gösterir: yapılması zorunlu bir işleme için rıza istemek, rızayı görünüşte bırakır.

Kişi “hayır” diyemeyecekse, ortada özgür iradeyle açıklanmış bir rıza yoktur.

Bu nedenle dayanak seçimi bir formalite değil, uyumun temel kararıdır.

7) Amaç Bazlı Ayrıştırma

Tek bir faaliyet içinde birden çok amaç bulunabilir ve her amacın dayanağı farklı olabilir.

Dördüncü satır ayrımı en net gösteren örnektir: pazarlama, sözleşmenin ifasıyla doğrudan doğruya ilgili değildir.

Bu nedenle aynı müşteri ilişkisinde bazı işlemeler rızasız, bazıları ise rızaya dayanır.

Amaçları ayrıştırmadan tek bir dayanak göstermek, uyumun en yaygın yapısal hatasıdır.

Envanterde ne yazmalı?

Dördüncü sütun denetimde ilk sorulan bilgidir ve önceden belirlenmiş olmalıdır.

İkinci sütun ise rejimi değiştirir; özel nitelikli veriler m.6‘ya tabidir.

Beşinci sütun olmadan genel ilkelerden saklama süresi ilkesine uyum gösterilemez.

8) Özel Nitelikli Verilerde Durum

Birinci satır temel ayrımdır: m.5’teki bentler özel nitelikli veriler için doğrudan kullanılamaz.

Üçüncü satır ise iki rejimin ortak paydasını gösterir; genel ilkeler her veri türü için geçerlidir.

Bu nedenle bir işleme faaliyetinde önce veri türü belirlenmeli, sonra dayanak aranmalıdır.

9) Maddelerin Kelime Kelime Okunması

Dördüncü ve beşinci satır iki bendin kapsamını tek ibareyle daraltır.

Yedinci satır maddenin geneline yayılmış ortak eşiktir ve şartların sınırsız yorumlanmasını engeller.

Sekizinci ve dokuzuncu satır ise uygulamadaki rıza metinlerinin çoğunu tartışmaya açar.

10) Mevzuat Haritası

İkinci ve üçüncü satır birlikte okunur; biri olmadan diğeri uygulanamaz.

Beşinci satır ise ayrı bir yükümlülüktür ve dayanaktan bağımsızdır.

Sayıların tamamı bir arada

İlk satırdaki sayım, Türk alfabesindeki ç harfinin bent sırasında yer almasından kaynaklanır.

İkinci satır ise geçerli bir rızanın neden bu kadar zor olduğunu açıklar.

Tek cümlelik özet

Doğru soru “rıza aldık mı” değil, “hangi dayanağa dayanıyoruz ve neden” sorusudur.

Ve dayanak ne olursa olsun, genel ilkeler her hâlde uygulanır.

11) Rızanın Geri Alınması

Üçüncü satır pratikte en sık karşılaşılan hâldir: aynı müşteri ilişkisinde bazı işlemeler durur, bazıları devam eder.

Örneğin pazarlama iletişimi durur; yasal saklama yükümlülüğü gereği tutulan kayıtlar ise saklanmaya devam eder.

Bu ayrım ancak envanterde dayanaklar önceden ayrıştırılmışsa doğru yapılabilir.

Geri alma sonrası kontrol

Üçüncü adım kritiktir: rıza geri alındı diye tüm veriler silinmez.

Başka bir şarta dayanan işleme, kendi dayanağı devam ettiği sürece hukuka uygundur.

12) Uyum Pratiği

Yedinci satır sıralamanın sonunda yer alır ve bu tesadüf değildir: rıza, diğer adımlar tamamlandıktan sonra kalan işlemeler için düşünülür.

Üçüncü satır sürecin omurgasıdır; her amaç bir dayanakla eşleştirilir.

Dördüncü satır ise dayanak bulunduktan sonra dahi yapılması gereken ikinci testtir.

Sık görülen yapısal hatalar

İkinci satır çok yaygındır: aydınlatma bir bilgilendirme, rıza ise bir irade beyanıdır.

Bunların tek metinde birleştirilmesi, rızanın bilgilendirmeye dayandığını göstermeyi zorlaştırır.

Dördüncü satır ise denetimde en çok zorlanılan noktadır; dayanak işleme başlamadan önce belirlenmiş olmalıdır.

13) Üç Senaryo

Üç satır aynı müşteri ilişkisinde üç farklı dayanağın işleyebileceğini gösterir.

Üçüncü satırdaki faaliyet için rıza geri alınırsa yalnızca o durur; ilk iki satır etkilenmez.

Bu da dayanakları ayrıştırmanın neden yalnızca bir evrak işi olmadığını açıklar.

14) Kapanış

Üçüncü satır bu yazının ana tezidir: rıza son çare, ilk seçenek değildir.

Beşinci satır ise en çok atlanan kuraldır; geçerli bir dayanak bulmak uyumun yarısıdır.

Tek cümlelik özet

Kanun, işlemeyi yasaklayıp yedi kapı açmıştır; açık rıza bu kapılardan yalnızca biri ve en kolay kapananıdır.

Doğru kapıyı işlemeye başlamadan önce seçmek, sonradan kapanan bir kapının önünde kalmaktan çok daha kolaydır.

15) Aydınlatma ile Rızanın Ayrılması

Üçüncü satır en kritik farktır: aydınlatma, işleme hangi şarta dayanırsa dayansın yapılır.

İkinci satır ise yönü gösterir; aydınlatmada bilgi veri sorumlusundan ilgili kişiye, rızada beyan ise tersine akar.

Bu iki işlemin tek metinde birleştirilmesi, rızanın bilgilendirmeye dayandığını ispatlamayı güçleştirir.

Pratik kural

Birinci satır kapsam bakımından her zaman daha geniştir.

Üçüncü satır ise uygulamada en kolay düzeltilebilecek eksikliktir; iki metin ayrı sunulmalıdır.

16) Denetimde Sorulanlar

İkinci ve üçüncü satır birlikte sorulur; dayanak göstermek tek başına yetmez, zorunluluk da açıklanmalıdır.

Bu nedenle her dayanak kaydının yanına kısa bir gerekçe yazılması isabetlidir.

Beşinci satır ise dayanaktan bağımsız olarak her faaliyet için sorulabilir.

Hazırlığın özeti

Sorulara verilecek cevaplar, işleme başladıktan sonra üretilemez; önceden hazırlanmış olmalıdır.

Bu da uyumun neden bir belge değil bir süreç olduğunu gösterir.

Kayıt neyi kanıtlar?

Beşinci satır yalnızca (f) bendine dayanıldığında gerekir ama o hâlde vazgeçilmezdir.

Üçüncü satır ise neredeyse bütün bentler için geçerlidir; zorunluluk eşiği maddenin geneline yayılmıştır.

Bu beş kayıt, bir denetimde sorulacak soruların tamamına hazır cevap üretir.

Hiçbiri tek başına uyumu sağlamaz; ancak birlikte tutulduklarında işlemenin gerekçelendirilmiş olduğunu gösterirler.

Nereden başlanmalı?

İkinci satır önceliklidir çünkü yanlış madde uygulanması, dayanağın tamamen geçersiz olması sonucunu doğurur.

Üçüncü satır ise en hızlı kazanımı sağlar: rızaya dayandırılmış işlemelerin bir kısmı aslında başka bir bende dayanabiliyordur.

Bu tespit yapıldığında hem rıza yükü azalır hem de rızanın geri alınması riski ortadan kalkar.

Dördüncü satır ise belge üretmeden çözülemez; süre politikası olmadan saklama ilkesine uyum gösterilemez.

Dört adımın sonunda

Sol sütun uygulamada sıkça görülen başlangıç noktasıdır; sağ sütun ise maddenin öngördüğü düzendir.

Aradaki fark teknik bir ayrıntı gibi görünse de, denetimde ve uyuşmazlıkta sonucu doğrudan belirler.

Dördüncü satır bu farkın özetidir: gerekçe sonradan üretildiğinde değil, önceden yazıldığında değer taşır.

Son bir hatırlatma

Beş satırın ortak noktası şudur: maddedeki her şart, kendi içinde bir sınırla birlikte gelir.

Bu sınırlar okunmadan yapılan bir dayanak seçimi, kâğıt üzerinde doğru görünse bile denetimde ayakta kalmaz.

Nitekim maddedeki bentlerin çoğu tek bir cümleden oluşur ama her cümlede en az bir kayıt bulunur: “açıkça”, “doğrudan doğruya”, “kendisi tarafından”, “zorunlu olması”, “zarar vermemek kaydıyla”.

Bu kelimeler süs değildir; her biri şartın kapsamını daraltan bir unsurdur.

Dayanak değerlendirmesi yapılırken bendin tamamı değil, bu kayıtlar okunmalıdır; çünkü bir işlemenin hukuka uygunluğu çoğu zaman bendin kendisinde değil, o bendin içine yerleştirilmiş tek bir kelimede saklıdır.

17) Sık Yapılan Sekiz Hata

• Her şey için rıza almak. Önce diğer şartlar aranır.
• Battaniye rıza metni. Rıza belirli konuya ilişkin olmalı.
• Hizmeti rızaya bağlamak. İrade özgür olmaz.
• Aydınlatmayı atlamak. Rıza bilgilendirmeye dayanır.
• Rızayı aydınlatmayla birleştirmek. İkisi ayrı işlemdir.
• Genel ilkeleri unutmak. m.4 her hâlde uygulanır.
• Meşru menfaati sınırsız sanmak. Dengeleme şarttır.
• Özel nitelikli veriyi aynı saymak. m.6 ayrı rejimdir.

18) Kontrol Listesi

• İşleme faaliyetini tanımlayın.
• Amacı netleştirin.
• Yedi şarttan birine giriyor mu bakın.
• Girmiyorsa açık rıza yolunu değerlendirin.
• Genel ilkelere uygunluğu test edin.
• Veri türünü kontrol edin.
• Aydınlatmayı yapın.
• Dayanağı kayıt altına alın.

İlgili incelemelerimiz: özel nitelikli kişisel veriler (KVKK m.6), KVKK aydınlatma yükümlülüğü (m.10) ve veri sorumlusu ve veri işleyen kimdir.

Sıkça Sorulan Sorular

Kişisel veri işlemenin temel kuralı nedir?

6698 sayılı Kanunun 5 inci maddesinin birinci fıkrası uyarınca kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.

Bu yasağın istisnası var mı?

Evet. Maddenin ikinci fıkrasında (a) ilâ (f) bentleri hâlinde sayılan yedi şarttan birinin varlığı hâlinde açık rıza aranmaksızın işleme mümkündür.

Açık rıza tek dayanak mı?

Hayır. Açık rıza, maddede sayılan yedi dayanaktan yalnızca biridir.

Önce hangisine bakılmalı?

Önce rızasız işleme şartlarından birinin bulunup bulunmadığı tespit edilmeli; ancak hiçbiri yoksa açık rıza yoluna gidilmelidir.

Açık rıza nasıl tanımlanmıştır?

Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza.

Üç unsur birlikte mi aranır?

Evet. Biri eksikse geçerli bir açık rıza bulunmaz.

Genel nitelikli rıza metni geçerli mi?

Hayır. Rızanın belirli bir konuya ilişkin olması gerektiğinden, her veriyi her amaçla kapsayan battaniye metinler bu şartı karşılamaz.

Hizmet verilmesi rızaya bağlanabilir mi?

Bu, iradenin özgürlüğünü ortadan kaldırabileceğinden açık rızanın geçerliliğini tartışmalı hâle getirir.

Yedi şart nelerdir?

Kanunlarda açıkça öngörülmesi; fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması; bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait verilerin işlenmesinin gerekli olması; veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması; ilgili kişinin kendisi tarafından alenileştirilmiş olması; bir hakkın tesisi, kullanılması veya korunması için zorunlu olması; ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için zorunlu olması.

“Kanunlarda açıkça öngörülmesi” ne demek?

İşlemenin bir kanun hükmüne dayanmasıdır. Ölçüt, kanunda açık bir düzenleme bulunmasıdır.

Sözleşme şartı hangi hâlde işler?

Sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olmak kaydıyla, sözleşmenin taraflarına ait verilerin işlenmesi gerekli olduğunda.

Bu bent her sözleşmeyi kapsar mı?

Hayır. Madde “doğrudan doğruya ilgili olması” ve “gerekli olması” şartlarını birlikte arar.

Hukuki yükümlülük şartı nedir?

Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için işlemenin zorunlu olmasıdır.

Alenileştirme ne anlama gelir?

Verinin ilgili kişinin kendisi tarafından kamuya açık hâle getirilmiş olmasıdır.

Alenileştirilmiş veri sınırsız kullanılabilir mi?

Hayır. Alenileştirme bir işleme şartıdır; genel ilkeler ve alenileştirme amacı ile bağlantı her hâlde gözetilmelidir.

Hakkın tesisi şartı ne zaman uygulanır?

Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olduğu hâllerde.

Meşru menfaat şartının sınırı nedir?

Madde bu bende bir kayıt ekler: ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla.

Meşru menfaat nasıl değerlendirilir?

Veri sorumlusunun menfaati ile ilgili kişinin temel hak ve özgürlükleri arasında bir denge kurulması gerekir; işlemenin ayrıca zorunlu olması da aranır.

Meşru menfaat her duruma dayanak olur mu?

Hayır. Zarar vermeme kaydı ve zorunluluk ölçütü bu bendi sınırlandırır.

Genel ilkeler nelerdir?

Hukuka ve dürüstlük kurallarına uygun olma; doğru ve gerektiğinde güncel olma; belirli, açık ve meşru amaçlar için işlenme; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma; ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

Genel ilkeler hangi hâllerde uygulanır?

Her hâlde. İşleme ister açık rızaya ister diğer şartlardan birine dayansın, genel ilkelere uygunluk aranır.

Açık rıza alınması genel ilkeleri karşılar mı?

Hayır. Rıza alınmış olması, ölçülülük veya amaçla bağlantılı olma gibi ilkelere uyulmadığını haklı kılmaz.

Süre sınırı var mı?

Veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilir.

Özel nitelikli veriler de aynı rejime mi tabi?

Hayır. Özel nitelikli kişisel verilerin işlenme şartları 6 ncı maddede ayrıca düzenlenmiştir.

Aydınlatma ile açık rıza aynı şey mi?

Hayır. Aydınlatma 10 uncu maddede düzenlenen ayrı bir yükümlülüktür ve her işlemede yerine getirilir; açık rıza ise yalnızca bir işleme şartıdır.

Aydınlatma yalnızca rıza alınırken mi yapılır?

Hayır. Aydınlatma yükümlülüğü, işleme hangi şarta dayanırsa dayansın yerine getirilmelidir.

Dayanağın kaydedilmesi neden önemli?

Her işleme faaliyeti için hangi şarta dayanıldığının önceden belirlenmiş ve kayıt altına alınmış olması, denetimde ve uyuşmazlıkta savunmanın temelini oluşturur.

Aynı faaliyet için birden çok şart gösterilebilir mi?

Uygulamada işleme faaliyeti amaç bazında ayrıştırılır ve her amaç için uygun olan şart ayrıca belirlenir.

Rıza geri alınırsa işleme durur mu?

Açık rızaya dayanan işleme bakımından rızanın geri alınması sonuç doğurur. İşleme başka bir şarta dayanıyorsa değerlendirme o şart üzerinden yapılır.

En sık yapılan hata nedir?

Diğer şartları hiç değerlendirmeden her işleme için açık rıza almaya çalışmak.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. Kamu ihale mevzuatı ve Kamu İhale Genel Tebliği sık güncellenmektedir; somut ihalede ilan, ihale dokümanı ve işlem tarihinde yürürlükte olan hükümler esas alınmalıdır.