KVKK’nın en çok yanlış anlaşılan hükmü 5. maddedir. Yaygın kanının aksine her veri işleme için açık rıza gerekmez. Kanun, açık rızayı işleme şartlarından yalnızca biri olarak sayar ve yanına altı ayrı hukuki sebep koyar. Gereksiz yere rıza almak da en az rızasız işlemek kadar sorunludur: rızaya dayandırılan bir işleme, rıza geri alındığında hukuki dayanağını kaybeder.
Kişisel veri ve bilişim uyuşmazlığında hakkınızı arayın
Av. Fatma Öztürk — Hukukçular Evi Ankara
Kural: Açık Rıza
Kişisel veriler, ilgili kişinin açık rızası olmaksızın işlenemez. Ancak bu kural mutlak değildir; m.5/2’de sayılan hâllerde açık rıza aranmaz.
Geçerli açık rızanın üç şartı
- Belirli bir konuya ilişkin olması: Genel ve battaniye nitelikte rıza geçersizdir. Her işleme amacı için ayrı rıza gerekir.
- Bilgilendirmeye dayanması: Rıza alınmadan önce aydınlatma yapılmış olmalıdır.
- Özgür iradeyle açıklanması: Rıza, bir hizmetin veya sözleşmenin şartı hâline getirilemez. Hizmetten yararlanmak için rıza vermek zorunda bırakılan kişinin rızası özgür sayılmaz.
Rıza her zaman geri alınabilir. Geri alma ileriye etkilidir; geri alma anına kadar yapılan işlemler hukuka aykırı hâle gelmez, ancak sonrasında işlemeye devam edilemez.
Açık Rıza Aranmayan Hâller (m.5/2)
| Hukuki sebep | Tipik örnek |
|---|---|
| Kanunlarda açıkça öngörülmesi | Vergi ve SGK mevzuatı gereği tutulan kayıtlar |
| Fiili imkânsızlık nedeniyle rıza alınamaması | Bilinci kapalı hastanın tedavisi |
| Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması | Sipariş için adres ve iletişim bilgisi |
| Veri sorumlusunun hukuki yükümlülüğü | Zorunlu bildirim ve arşivleme |
| İlgili kişinin alenileştirmesi | Kişinin kendi yayımladığı iletişim bilgisi |
| Bir hakkın tesisi, kullanılması veya korunması | Dava dosyasında delil olarak kullanma |
| Meşru menfaat (temel haklara zarar vermemek kaydıyla) | İşyeri güvenliği, dolandırıcılık önleme |
Meşru Menfaat: En Esnek, En Riskli Sebep
Meşru menfaate dayanmak için üç aşamalı bir değerlendirme yapılmalı ve bu değerlendirme yazılı olarak belgelenmelidir:
- Menfaat testi: Veri sorumlusunun gerçek, güncel ve meşru bir menfaati var mı?
- Gereklilik testi: Bu menfaat daha az veri işleyerek sağlanabilir mi?
- Denge testi: İşleme, ilgili kişinin temel hak ve özgürlüklerine zarar veriyor mu? İlgili kişi böyle bir işlemeyi makul olarak bekler mi?
Denge testi olumsuz sonuçlanıyorsa meşru menfaate dayanılamaz. Denetimlerde en sık sorulan soru, bu testin yapılıp yapılmadığıdır.
Hukuki Sebebin Sonradan Değiştirilememesi
İşleme başlarken hangi hukuki sebebe dayanıldığı önceden belirlenmeli ve aydınlatma metninde gösterilmelidir. Bir işlemeye önce rıza alıp, rıza geri alındığında “aslında meşru menfaatimiz vardı” demek kabul edilmez. Bu nedenle rıza, gerçekten başka hukuki sebebe dayanılamayan hâller için saklanmalıdır.
Sık Yapılan Hatalar
- Sözleşmenin ifası için zaten işlenebilecek verilere ayrıca rıza alınması
- Aydınlatma metni ile rıza metninin tek belgede birleştirilmesi
- Rızanın hizmetin ön şartı hâline getirilmesi
- Ticari elektronik ileti izni ile KVKK açık rızasının karıştırılması — bunlar ayrı rejimlerdir ve ayrı alınmalıdır
- Çalışanlardan alınan rızanın özgür sayılacağı varsayımı — bağımlılık ilişkisi nedeniyle bu rıza çoğu zaman geçersiz kabul edilir
İlkelere Uygunluk Ayrıca Aranır
Bir işleme şartının bulunması tek başına yeterli değildir. İşleme aynı zamanda m.4’teki genel ilkelere de uygun olmalıdır: hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve güncellik, belirli açık ve meşru amaç, amaçla bağlantılı sınırlı ve ölçülü olma, gerekli süre kadar saklama. Şart var ama ölçülülük yoksa işleme yine hukuka aykırıdır.
Rızanın İspatı ve Kayıt Düzeni
Açık rızaya dayanan bir işlemede, rızanın alındığını ispat yükü veri sorumlusundadır. Bu nedenle rıza kaydının şu unsurları taşıması gerekir: rızanın alındığı tarih ve saat, hangi metin sürümünün gösterildiği, hangi kanaldan alındığı ve rızanın kapsamı. Yalnızca veritabanında “onay: evet” biçiminde tutulan bir kayıt, hangi metne rıza verildiğini göstermediği için denetimde yeterli sayılmaz.
Rıza geri alma mekanizmasının da en az rıza alma kadar kolay olması beklenir. Geri alma talebi geldiğinde ilgili işlemenin fiilen durdurulup durdurulmadığının log kayıtlarıyla izlenebilir olması gerekir.
Çalışan Verilerinde Rıza Sorunu
İş ilişkisinde işçi ile işveren arasında yapısal bir bağımlılık bulunduğundan, çalışandan alınan rızanın özgür iradeyle verildiği çoğu zaman kabul edilmez. Bu nedenle çalışan verilerinin işlenmesinde rıza yerine, iş sözleşmesinin ifası, hukuki yükümlülük ya da istihdam ve iş sağlığı güvenliği alanındaki yükümlülükler gibi başka hukuki sebeplere dayanılması gerekir. Rızaya dayandırılan çalışan işlemeleri, çalışan rızasını geri aldığında dayanaksız kalır.
Amaç Değişikliği ve İkincil Kullanım
Bir amaç için toplanan verinin sonradan başka bir amaçla kullanılması, yeni bir işleme faaliyetidir ve kendi hukuki sebebini gerektirir. Örneğin sipariş teslimi için alınan telefon numarasının pazarlama amacıyla kullanılması, sözleşmenin ifası sebebine dayandırılamaz. Bu tür ikincil kullanımlar için ayrıca değerlendirme yapılmalı ve gerekiyorsa ayrı rıza alınmalıdır.
Ölçülülük: Şart Var Ama Yetmiyor
Uygulamada en çok gözden kaçan husus, işleme şartının bulunmasının tek başına yeterli olmadığıdır. İşlemenin ayrıca amaçla bağlantılı, sınırlı ve ölçülü olması gerekir. Sözleşmenin ifası için ad, adres ve telefon yeterliyken kimlik fotokopisi istenmesi ya da kan grubu bilgisinin toplanması, şart bulunsa dahi ölçüsüzdür ve hukuka aykırıdır.
Hukuki Sebep Haritası Çıkarma
Uyum çalışmasının en verimli aracı, her işleme faaliyeti için tek satırlık bir eşleme tablosudur:
| Faaliyet | Veri kategorisi | Hukuki sebep | Saklama süresi |
|---|---|---|---|
| Sipariş teslimi | Kimlik, iletişim, adres | Sözleşmenin ifası | Ticari defter saklama süresi |
| Fatura düzenleme | Kimlik, vergi bilgisi | Hukuki yükümlülük | Vergi mevzuatı süresi |
| Pazarlama iletisi | İletişim | Açık rıza | Rıza geri alınana kadar |
Bu tablo hem aydınlatma metninin, hem envanterin, hem de imha politikasının temelini oluşturur. Denetimde ilk istenen belge de budur.
İşleme şartı analizi
KVKK uyumsuzluğu idari para cezasıyla sonuçlanır. Süreçlerinizi ve belgelerinizi birlikte gözden geçirelim.
Başvuru ve dava yolunuzu birlikte belirleyelim
Av. Fatma Öztürk — Hukukçular Evi Ankara
Sıkça Sorulan Sorular
Her veri işleme için açık rıza gerekir mi?
Hayır. Açık rıza işleme şartlarından yalnızca biridir. KVKK m.5/2’de sayılan hâllerde (kanunda öngörülme, sözleşmenin ifası, hukuki yükümlülük, alenileştirme, hakkın tesisi, meşru menfaat) rıza aranmaz.
Açık rıza hizmetin şartı yapılabilir mi?
Hayır. Rızanın özgür iradeyle açıklanmış olması gerekir. Hizmetten yararlanmak için rıza vermek zorunda bırakılan kişinin rızası geçerli sayılmaz.
Meşru menfaate dayanmak için ne yapmalıyım?
Menfaat, gereklilik ve denge testlerinden oluşan üç aşamalı değerlendirmeyi yapıp yazılı olarak belgelemelisiniz. Denetimlerde bu belgelendirme aranır.
Rıza geri alınırsa ne olur?
Geri alma ileriye etkilidir. O ana kadar yapılan işlemler hukuka aykırı hâle gelmez, ancak sonrasında işlemeye devam edilemez ve verilerin silinmesi gündeme gelir.
Bilgilendirme: Bu rehber genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. İdari para cezası tutarları her yıl yeniden değerleme oranında güncellenir; işlem öncesi güncel tutarları teyit edin.
İlgili Rehberler
- Özel Nitelikli Kişisel Veriler (KVKK m.6)
- Veri Sorumlusu ve Veri İşleyen Kimdir?
- Bilişim ve Kişisel Veriler Hukuku — tüm rehberler
- Bilişim Hukuku Rehberi
Uyum denetimi
Aydınlatma metni, envanter ve saklama politikası eksikleri denetimde ilk bakılan yerlerdir.
