Kişisel verilerin işlenmesinde açık rıza, hukuka uygunluğun en çok yanlış anlaşılan dayanağıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), açık rızayı sıkı şartlara bağlar; internet ortamındaki işleme bakımından 5651 sayılı Kanunla da kesişir. Rıza geçerli değilse, verinin işlenmesi baştan hukuka aykırı hale gelir.
Açık Rızanın Üç Şartı
Geçerli bir açık rıza; belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle verilmelidir. Bir hizmetin alınmasını rıza vermeye bağlayan, yani rızayı zorunlu tutan uygulamalar bu özgürlük şartını zedeler. Genel geçer, her şeyi kapsayan bir onay metni de belirlilik ölçütünü karşılamaz.
Rıza Gerekmeyen Haller
- Bir sözleşmenin kurulması veya ifası için zorunlu olan veri işlemesi ayrı bir hukuki sebebe dayanır.
- Kanunda açıkça öngörülen işlemeler rıza olmadan da yürütülebilir.
- Veri sorumlusunun meşru menfaati, dengeleme testiyle ayrı bir dayanak oluşturabilir.
Rızanın Geri Alınması
Açık rıza her zaman geri alınabilir; geri alma, geleceğe yönelik olarak işlemenin dayanağını ortadan kaldırır. Veri sorumlusu, geri almayı kolay ve verme kadar basit bir yöntemle sağlamak zorundadır. Bu imkânın fiilen zorlaştırılması, başlı başına bir usulsüzlüktür.
İlgili Kişinin Başvuru Yolu
Verisi işlenen kişi, önce veri sorumlusuna başvurmalıdır; bu ön başvuru çoğu halde zorunlu bir aşamadır. Veri sorumlusu süresinde yanıt vermez ya da yanıt yetersiz kalırsa, konu Kurula şikâyet yoluyla taşınabilir. Bu iki aşamalı yapıda, ön başvuru yapılmadan doğrudan şikâyete geçmek süreci geriletir.
Belge ve Zaman Yönetimi
Başvurunun tarihi, içeriği ve veri sorumlusunun yanıtı ispatlanabilir biçimde saklanmalıdır; şikâyet aşamasında süreye uyulduğunu gösteren asıl kanıt bu kayıtlardır.
Bu içerik genel bilgilendirmedir; her veri işleme faaliyeti ve rıza metni kendine özgü olduğundan, açık rızanın geçerliliğini veya başvuru yolunu değerlendirmeden önce somut durumun incelenmesi önerilir.