Açık rıza, kişisel verilerin işlenmesinde en çok tartışılan hukuki sebeplerden biridir. 6698 sayılı Kişisel Verilerin Korunması Kanunu, açık rızayı sıkı koşullara bağlar; bu koşullar sağlanmadığında verilen "onay" hukuken geçersiz sayılabilir.
Geçerli Açık Rızanın Üç Unsuru
Kanun, açık rızayı belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade olarak tanımlar. Bu üç unsurdan biri eksikse rıza sakatlanır:
- Belirlilik: Rıza, hangi veri için hangi amaçla alındığı net olmalıdır; genel ve battaniye onaylar yetersizdir.
- Bilgilendirme: İlgili kişi, aydınlatma yükümlülüğü çerçevesinde önceden bilgilendirilmelidir.
- Özgür irade: Bir hizmetin sunumu, gerekmediği halde açık rıza şartına bağlanamaz.
Açık Rıza Her Zaman Gerekli mi?
Yaygın bir yanılgı, her veri işlemenin açık rıza gerektirdiğidir. Oysa Kanun, sözleşmenin ifası veya hukuki yükümlülük gibi başka işleme şartları da sayar. Bu nedenle bir veri sorumlusunun gereksiz yere açık rıza istemesi, aslında rızaya bağlı olmayan işlemi de tartışmalı hale getirebilir.
İhlalde İzlenecek Yol
Kişisel verisinin hukuka aykırı işlendiğini düşünen ilgili kişi, kural olarak önce veri sorumlusuna başvurur. Veri sorumlusunun yanıtı yeterli değilse ya da yanıt verilmezse, Kişisel Verileri Koruma Kurulu'na şikâyet yolu açılır. Bu iki aşama arasındaki süreler birbirine bağlıdır; başvuru yapılmadan doğrudan şikâyete geçilmesi usul sorunu doğurabilir.
Başvuru Öncesi Hazırlık
Başvurunun etkili olması için ihlalin somut biçimde ortaya konması gerekir: hangi veri, hangi tarihte, hangi amaçla ve hangi hukuki dayanak olmadan işlendi. Bu bilgiler düzenli sunulduğunda hem veri sorumlusu hem Kurul aşaması hızlanır.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır. Somut işleme faaliyetinin niteliği sonucu değiştirebileceğinden, başvurudan önce bir hukukçuya danışmak yerinde olur.