Açık rıza ve diğer hukuki sebepler

Kişisel veri işlemenin hukuka uygunluğu, bir hukuki sebebe dayanmasına bağlıdır. Uygulamadaki en yaygın hata, bu sebeplerin sıralamasını bilmeden doğrudan açık rıza yoluna gidilmesidir. Oysa açık rıza, sebeplerden yalnızca biridir ve çoğu zaman en uygunu değildir.

Kural ve istisnalar

KVKK m.5/1: kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.

m.5/2 bu kuralın istisnalarını sayar. Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:

a) Kanunlarda açıkça öngörülmesi. İşlemeyi öngören açık bir kanun hükmü bulunmalıdır. Vergi, sosyal güvenlik ve iş mevzuatındaki kayıt tutma yükümlülükleri bu kapsamdadır.

b) Fiili imkânsızlık. Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.

c) Sözleşmenin kurulması veya ifası. Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.

Bu bentteki "doğrudan doğruya ilgili" ve "gerekli" ifadeleri sınırlayıcıdır: sözleşmenin ifası için zorunlu olmayan veriler bu bende dayandırılamaz. Bir satış sözleşmesinde teslimat adresi bu kapsamdayken, alıcının doğum tarihi kural olarak değildir.

ç) Hukuki yükümlülük. Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.

d) Alenileştirme. İlgili kişinin kendisi tarafından alenileştirilmiş olması.

Bu bent dikkatle uygulanmalıdır: alenileştirme, verinin her amaçla kullanılabileceği anlamına gelmez. Alenileştirme iradesinin kapsamı gözetilir.

Sayım devam eder ve bir hakkın tesisi, kullanılması veya korunması için zorunlu olma ile veri sorumlusunun meşru menfaatleri gibi şartları da içerir. Son şart, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla uygulanır ve bir denge testi gerektirir.

Hukuki sebeplerin sıralaması

Uyum çalışmasında izlenmesi gereken sıra şudur:

1. İşleme faaliyeti tanımlanır.
2. m.5/2'deki şartlardan biri var mı, denetlenir.
3. Varsa açık rıza alınmaz; o şart hukuki sebep olarak gösterilir.
4. Yoksa açık rıza yoluna gidilir.

Bu sıranın tersine çevrilmesi, yani her işleme için rıza alınması, iki sorun doğurur:

Birincisi, yanıltıcıdır. İlgili kişi, rızasını geri çekerek işlemeyi durdurabileceğini düşünür. Oysa işleme aslında bir kanuni yükümlülüğe dayanıyorsa, rızanın geri alınması işlemeyi durdurmaz.

İkincisi, geçersiz olabilir. Rızanın özgür iradeyle açıklanmış olması gerekir. İşlemenin zaten zorunlu olduğu bir durumda alınan rıza, gerçek bir seçim içermediğinden tartışmaya açıktır.

Bu sorun özellikle iş ilişkisinde belirgindir: işçi ile işveren arasındaki bağımlılık ilişkisi, rızanın özgürlüğünü tartışmalı kılar. Bu nedenle istihdam bağlamındaki işlemeler bakımından, rıza yerine m.5/2'deki diğer şartlara (özellikle kanunlarda öngörülme, sözleşmenin ifası ve hukuki yükümlülük) dayanılması daha güvenlidir.

Açık rızanın unsurları

Açık rıza, Kanunun tanımlar bölümünde belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanmıştır. Bu üç unsur birlikte aranır:

1. Belirli bir konuya ilişkin. Genel ve kapsamı belirsiz rızalar geçersizdir. "Verilerimin her türlü amaçla işlenmesini kabul ederim" biçimindeki bir metin bu unsuru karşılamaz. Her işleme amacı için ayrı ve açık bir rıza gerekir.

2. Bilgilendirmeye dayanan. Rıza alınmadan önce ilgili kişi aydınlatılmış olmalıdır. Aydınlatma ile rıza alma işlemleri birbirinden ayrı tutulmalı; aydınlatma metni ile rıza metni aynı kutucuğa bağlanmamalıdır.

3. Özgür iradeyle açıklanan. Rıza, bir hizmetin veya sözleşmenin ön şartı hâline getirilemez. Hizmetin sunulması, işleme için zorunlu olmayan bir veriye rıza verilmesine bağlanırsa, rızanın özgürlüğü ortadan kalkar.

Uygulamada dikkat edilecek noktalar:

• Rıza önceden işaretlenmiş kutucukla alınamaz; aktif bir onay gerekir.
• Rızanın ispatı veri sorumlusuna aittir; bu nedenle rıza kayıtları saklanmalıdır.
• Rıza her zaman geri alınabilir. Geri alma, o tarihten itibaren ileriye etkili sonuç doğurur.

Özel nitelikli verilerde 2024 değişikliği

Özel nitelikli kişisel veriler bakımından rejim, 2/3/2024 tarihli 7499 sayılı Kanunla yeniden düzenlenmiştir. m.6/2 mülga edilmiş, m.6/3 değiştirilmiştir.

Yeni m.6/3: özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu verilerin işlenmesi;

• a) İlgili kişinin açık rızasının olması,
• b) Kanunlarda açıkça öngörülmesi,
• c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
• d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
• f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
• g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluşlarla düzenli olarak temasta olan kişilere yönelik olması

hâlinde mümkündür.

Bu düzenleme, önceki rejime göre önemli bir genişleme getirmiştir. Özellikle (d) ve (f) bentleri, uygulamada sıkça karşılaşılan durumları açık rıza aranmaksızın mümkün kılmıştır.

(f) bendi istihdam bağlamında belirleyicidir: iş sağlığı ve güvenliği mevzuatından doğan yükümlülükler için sağlık verisi işlenmesi, artık açık rıza yerine bu bende dayandırılabilir. Bu, iş ilişkisinde rızanın özgürlüğüne ilişkin tartışmayı büyük ölçüde çözmektedir.

m.6/4 ek bir şart getirir: özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.

Bu şart kümülatiftir: (a) ilâ (g) bentlerinden biri bulunsa dahi, yeterli önlemler ayrıca alınmalıdır.

Genel ilkelerle bağlantı

Bir hukuki sebebin bulunması tek başına yeterli değildir. KVKK m.4/2'deki ilkelere de uyulması zorunludur:

• Hukuka ve dürüstlük kurallarına uygun olma,
• Doğru ve gerektiğinde güncel olma,
• Belirli, açık ve meşru amaçlar için işlenme,
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

Yani açık rıza alınmış olsa dahi, amaçla bağlantısız veya ölçüsüz bir işleme hukuka aykırıdır. Rıza, ölçülülük ilkesini bertaraf etmez.

Aynı şekilde m.7/1 uyarınca, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde veriler resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir. Rızanın geri alınması, işlemeyi gerektiren sebebin ortadan kalkması anlamına gelir.

Örnek senaryo

Bir işveren, tüm çalışanlarından; kimlik bilgileri, banka hesap bilgisi, sağlık raporu ve acil durumda aranacak yakın bilgisi için tek bir metinle açık rıza almaktadır. Metin, iş sözleşmesinin ekidir ve imzalanması zorunlu tutulmaktadır.

Değerlendirme:

1. Hukuki sebep eşleştirmesi. Her veri kategorisi ayrı değerlendirilmelidir:
   • Kimlik ve banka bilgisi: m.5/2-c (sözleşmenin ifası) ve m.5/2-ç (hukuki yükümlülük) kapsamındadır; açık rıza gerekmez.
   • Sağlık raporu: m.6/1 uyarınca özel nitelikli veridir. m.6/3-f (iş sağlığı ve güvenliği alanındaki hukuki yükümlülükler) dayanak olabilir.
   • Yakın bilgisi: Üçüncü kişiye ait veridir; ayrı bir değerlendirme gerektirir.
2. Tek metinle rıza. Açık rıza belirli bir konuya ilişkin olmalıdır. Farklı amaçlar için tek bir metinle alınan toplu rıza bu unsuru karşılamaz.
3. Özgürlük sorunu. Rıza, iş sözleşmesinin zorunlu eki hâline getirilmiştir. İş ilişkisindeki bağımlılık da gözetildiğinde rızanın özgür iradeyle açıklandığı tartışmalıdır.
4. Doğru yol. Rıza yerine, her kategori için m.5/2 veya m.6/3'teki uygun şart belirlenmeli ve aydınlatma metninde bu şart gösterilmelidir.
5. Yeterli önlem. Sağlık verisi bakımından m.6/4 uyarınca Kurul tarafından belirlenen yeterli önlemler alınmalıdır.
6. Ölçülülük. m.4/2-ç uyarınca her pozisyon için aynı kapsamda sağlık verisi istenmesi ölçülülük bakımından denetlenmelidir.
7. Saklama. m.4/2-d ve m.7 uyarınca her kategori için saklama süresi belirlenmeli; iş ilişkisi sona erdiğinde ilgili mevzuattaki süreler dışındaki veriler imha edilmelidir.
8. Aydınlatma ve rıza ayrımı. Aydınlatma metni ile rıza metni birbirinden ayrılmalıdır.

Sık yapılan hatalar

• Her işleme için rıza alınması. m.5/2'deki bir şart varsa rıza alınmamalıdır.
• Toplu ve genel rıza metinleri. Açık rıza belirli bir konuya ilişkin olmalıdır.
• Rızanın hizmetin ön şartı yapılması. Özgürlük unsurunu ortadan kaldırır.
• Aydınlatma ile rızanın aynı kutucukta birleştirilmesi. İkisi ayrı işlemlerdir.
• Özel nitelikli verilerde eski rejime dayanılması. m.6, 7499 sayılı Kanunla değişmiş, m.6/2 mülga edilmiştir.
• m.6/3-f'nin kullanılmaması. İstihdam ve iş sağlığı-güvenliği alanında rıza yerine bu bent daha güvenlidir.
• m.6/4'teki yeterli önlemlerin atlanması. Şart kümülatiftir.
• Rıza alındığı için ilkelerin gözetilmemesi. m.4/2'deki ilkeler her hâlde uygulanır.