Aydınlatma Metni ile Açık Rıza Aynı Şey Değildir: Hangisi Ne Zaman Gerekir

Kişisel veri uyum çalışmalarında en çok karıştırılan iki kavram aydınlatma ile açık rızadır. Uygulamada sıkça, altında imza yeri bulunan tek bir metin hazırlanmakta ve bu metnin hem bilgilendirme hem de rıza işlevi göreceği varsayılmaktadır. Bu yaklaşım hatalıdır ve Kişisel Verileri Koruma Kurulu tarafından da kabul edilmemektedir. Aşağıda iki kavramın farkı, hangisinin hangi durumda gerektiği, rızanın geçerlilik şartları ve uygulamada en sık düşülen yanılgılar ele alınmaktadır.

İki ayrı yükümlülük, iki ayrı belge

Aydınlatma, veri sorumlusunun bilgi verme yükümlülüğüdür. Kişisel verisi işlenen kişiye ne yapıldığının anlatılmasıdır. Her hâlde yerine getirilmesi gerekir; verinin hangi hukuki sebebe dayanılarak işlendiğinden bağımsızdır.

Açık rıza ise bir hukuki sebeptir. Kişinin veri işlenmesine onay vermesidir. Yalnızca başka bir hukuki sebep bulunmadığında gündeme gelir.

Bu ayrım tek bir sonuca varır: aydınlatma her zaman gerekir, açık rıza her zaman gerekmez. Kurul'un 26.7.2018 tarihli ve 2018/90 sayılı kararında, aydınlatma yükümlülüğünün yerine getirilmesi ile açık rıza alınması süreçlerinin ayrı ayrı yürütülmesi gerektiği belirtilmiştir. İki işlemin tek bir metinde birleştirilmesi, rızanın bilgilendirmeye dayandığı savunmasını da zayıflatır: aynı kâğıdın altındaki tek imzanın hangi işleme ait olduğu sonradan tartışmalı hâle gelir.

Ayrımın belgeye yansıması şudur. Aydınlatma metni bilgilendirici bir metindir, altında imza yeri bulunmaz, kabul beyanı aranmaz. Açık rıza metni ise iradeyi ortaya koyan ayrı bir belgedir ve yalnızca gerçekten rızaya dayanan işleme faaliyetlerini konu alır.

Aydınlatmanın kanuni içeriği

6698 sayılı Kanun'un 10. maddesi, veri sorumlusunun kişisel verilerin elde edilmesi sırasında ilgili kişiye bildirmesi gereken hususları saymaktadır:

• Veri sorumlusunun ve varsa temsilcisinin kimliği
• Kişisel verilerin hangi amaçla işleneceği
• İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği
• Kişisel veri toplamanın yöntemi ve hukuki sebebi
• Kanun'un 11. maddesinde sayılan diğer haklar

Maddenin yükümlülüğü veri sorumlusuna ya da onun yetkilendirdiği kişiye yüklediği gözden kaçmamalıdır. Bir çağrı merkezi ya da bayi aracılığıyla veri toplanıyorsa, aydınlatmanın o kanalda da yapıldığından emin olunması gerekir.

Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete'de yayımlanmıştır ve maddenin nasıl uygulanacağını ayrıntılandırır.

Aydınlatma nasıl ve ne zaman yapılır

Tebliğ'e göre aydınlatma, veri işleme faaliyetinden önce yerine getirilir. Anlaşılır, açık ve sade bir dil kullanılır. Genel ve muğlak ifadelerden kaçınılır. Kişisel verilerin başka amaçlarla da işlenebileceği izlenimi veren ifadeler kullanılamaz. Yerine getirildiğinin ispatı veri sorumlusuna aittir.

İspat yükünün veri sorumlusunda olması pratik bir sonuç doğurur: aydınlatmanın yapıldığı kayıt altına alınmalıdır. İnternet sitesinde metnin bir köşede yayımlanmış olması tek başına yeterli sayılmayabilir. Verinin hangi kanaldan toplandığına göre uygun yöntem seçilir:

• Telefonla veri toplanıyorsa sesli bilgilendirme ve görüşme kaydı
• Kâğıt formda toplanıyorsa formun üzerinde yer alan ve formla birlikte saklanan metin
• İnternet sitesinde toplanıyorsa formun yanında açılan ve görüntülendiği kaydedilen metin
• Mobil uygulamada toplanıyorsa katmanlı bir bilgilendirme ekranı
• İş yerine giriş, kamera ve benzeri hâllerde görünür yerde asılı bir bildirim tahtası

Katmanlı aydınlatma, mobil ekran gibi dar alanlarda tercih edilen yöntemdir. İlk katmanda veri sorumlusunun kimliği, işlemenin amacı ve hakların varlığı özetlenir; ikinci katmanda metnin tamamına ulaşılır. Burada dikkat edilecek nokta, ilk katmanın kendi başına yanıltıcı olmamasıdır.

Kaç ayrı aydınlatma metni hazırlanmalı

Aydınlatma metni, veri sorumlusunun tüm faaliyetlerini kapsayan tek bir belge olarak kurgulandığında amacına ulaşmaz. Çalışan adayına, çalışana, müşteriye, ziyaretçiye, tedarikçi çalışanına ve internet sitesi kullanıcısına yönelik veri işleme faaliyetleri birbirinden farklıdır; işleme amaçları, hukuki sebepleri ve saklama süreleri de farklıdır.

Uygulamada tercih edilen çözüm, veri konusu kişi grubu esas alınarak ayrı metinler hazırlanmasıdır. Bu ayrım, kişisel veri işleme envanterinden türetildiğinde hem tutarlı olur hem de Sicil bildirimleriyle çelişmez.

Açık rıza gerçekten ne zaman gerekir

Kanun'un 5. maddesinin birinci fıkrası, kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceğini söyler. İkinci fıkra ise açık rıza aranmayan hâlleri sayar:

• Kanunlarda açıkça öngörülmesi
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması
• İlgili kişinin kendisi tarafından alenileştirilmiş olması
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması

Uygulamada karşılaşılan veri işleme faaliyetlerinin büyük bölümü bu bentlerden birine dayanır. Fatura düzenlemek için kimlik bilgisi alınması hukuki yükümlülüğe, sipariş teslimi için adres alınması sözleşmenin ifasına, işe alım sürecinde özgeçmiş incelenmesi sözleşme öncesi görüşmelere, iş yerinde güvenlik amaçlı kamera kaydı çoğu zaman meşru menfaate dayandırılabilir.

Dolayısıyla açık rıza, diğer şartlardan hiçbiri bulunmadığında başvurulacak bir hukuki sebeptir. Sırf güvenli olacağı düşüncesiyle her işleme faaliyeti için rıza alınması doğru bir yöntem değildir. Aksine, başka bir hukuki sebebe dayanan bir işleme için rıza alınması ilgili kişiyi yanıltır; rızanın geri alınması hâlinde veri sorumlusunu da zor durumda bırakır. Rıza geri alındığında işlemenin sürdürülmesi gerekiyorsa, veri sorumlusu ya rızaya rağmen başka bir sebebe dayandığını söylemek zorunda kalır ya da baştan hatalı kurgulanmış bir süreci savunmak durumunda kalır.

Meşru menfaat bendine dayanılacaksa, menfaat dengesi testinin önceden yapılıp yazılı hâle getirilmesi yerinde olur. Testte veri sorumlusunun menfaati, işlemenin bu menfaat için gerekliliği ve ilgili kişinin temel hak ve özgürlükleri üzerindeki etkisi karşılaştırılır.

Açık rızanın üç unsuru

Kanun'un 3. maddesindeki tanım açık rızanın unsurlarını gösterir:

Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.

Tanım üç unsur içerir ve üçünün birlikte bulunması gerekir.

Belirli bir konuya ilişkin olma, rızanın kapsamının sınırlı ve anlaşılır biçimde belirlenmesini ifade eder. Her türlü işleme faaliyetini kapsayan genel nitelikli rıza geçerli değildir. Birden fazla amaç için rıza alınacaksa her amaç ayrı ayrı onaylanabilmelidir.

Bilgilendirmeye dayanma, rıza öncesinde aydınlatmanın yapılmış olmasını gerektirir. Ne için rıza verildiğini bilmeyen kişinin rızası geçerli sayılmaz. Bu unsur, aydınlatma ile rızanın sırasını da belirler: önce bilgilendirme, sonra rıza.

Özgür iradeyle açıklanma, rızanın bir dayatma sonucu alınmamasını ifade eder. Bir hizmetin sunulması rıza şartına bağlanmışsa, örneğin rıza verilmediğinde hizmetten hiç yararlanılamıyorsa, iradenin özgürlüğü tartışmalı hâle gelir. Aynı tereddüt, taraflar arasında bağımlılık ilişkisi bulunan durumlarda da doğar.

Açık rıza metninde bulunması gerekenler

Geçerli bir rıza metni, hangi verinin hangi amaçla işleneceğini, işlemenin süresini, verinin aktarılacağı alıcı gruplarını ve rızanın her zaman geri alınabileceğini açıkça gösterir. Onay tek bir kutuya değil, amaç sayısı kadar kutuya bağlanır. Kutular önceden işaretlenmiş biçimde sunulmaz; sessiz kalma ya da hareketsizlik rıza sayılmaz.

Rızanın ispat edilebilir olması da gerekir. Kim, ne zaman, hangi metne, hangi kanaldan rıza verdi sorularının cevaplanabilmesi için kayıt tutulmalıdır. Elektronik ortamda alınan rızalarda metnin o tarihteki sürümünün de saklanması yerinde olur; metin sonradan değiştiğinde eski rızanın neye ilişkin olduğu ancak böyle gösterilebilir.

Rıza geri alınabilir

Açık rıza her zaman geri alınabilir. Geri alma geçmişe etkili değildir; geri alma anına kadar yapılan işlemeyi hukuka aykırı hâle getirmez. Ancak geri almadan sonra o veriye ilişkin işlemenin durdurulması gerekir.

Bu nedenle rızaya dayalı kurgulanan süreçlerde, rızanın geri alınması hâlinde ne yapılacağının önceden planlanması gerekir. Verinin silinmesi mi, yok edilmesi mi, yoksa başka bir hukuki sebebe dayanılarak saklanmaya devam edilmesi mi gerektiği belirlenmelidir. Örneğin bir kişi ticari elektronik ileti gönderilmesine ilişkin rızasını geri aldığında iletişim bilgisi ileti gönderimi için kullanılamaz; ancak sözleşmesel ilişki sürüyorsa aynı bilgi başka bir hukuki sebeple saklanabilir.

Geri alma bildiriminin ulaşabileceği kanalın da önceden belirlenmesi gerekir. Rıza elektronik ortamda alınmışsa geri alma da aynı kolaylıkta yapılabilmelidir.

Özel nitelikli verilerde 1 Haziran 2024 sonrası rejim

Sağlık verisi, biyometrik veri, din, sendika üyeliği gibi özel nitelikli kişisel veriler bakımından rejim daha katıdır ve 7499 sayılı Kanun'la yapılan ve 1 Haziran 2024 tarihinde yürürlüğe giren değişiklikle yeniden kurulmuştur.

Kanun'un 6. maddesinin üçüncü fıkrası kural olarak bir yasak koyar:

Özel nitelikli kişisel verilerin işlenmesi yasaktır.

Fıkra, bu yasağın istisnalarını sınırlı sayıda saymaktadır: açık rıza; kanunlarda açıkça öngörülme; fiilî imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan kişinin hayatının veya beden bütünlüğünün korunması; ilgili kişinin alenileştirdiği verilere ilişkin ve alenileştirme iradesine uygun olma; bir hakkın tesisi, kullanılması veya korunması için zorunluluk; sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca sağlık hizmetlerinin yürütülmesi, planlanması, yönetimi ve finansmanı amacıyla gereklilik; istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunluluk; siyasi, felsefi, dini veya sendikal amaçlarla kurulan kâr amacı gütmeyen kuruluşların mevcut ve eski üyelerine yönelik faaliyetleri.

Değişiklikten önce sağlık ve cinsel hayat verileri ile diğer özel nitelikli veriler için ayrı rejimler öngörülmüştü. Bu ayrım kaldırılmış, buna karşılık tüm özel nitelikli veriler bakımından açık rıza dışındaki işleme şartları genişletilmiştir. Sonuç olarak bazı hâllerde artık rıza aranmaksızın işleme mümkündür.

Bu durum, 1 Haziran 2024 öncesinde hazırlanmış rıza metinlerinin gözden geçirilmesini gerektirir. Eski metinlerde, artık istihdam veya iş sağlığı ve güvenliği yükümlülüğüne dayandırılabilecek işlemeler için hâlâ rıza alınmaya devam edilmesi sık rastlanan bir durumdur. Ayrıca özel nitelikli verilerin işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınması ayrı bir şarttır; hangi hukuki sebebe dayanılırsa dayanılsın bu şart ortadan kalkmaz.

Çalışan ilişkisinde rızanın özgürlüğü

İşveren ile çalışan arasında bağımlılık ilişkisi bulunduğundan, çalışandan alınan rızanın özgür iradeye dayandığı savunması çoğu zaman güçtür. Çalışan, rıza vermediğinde olumsuz bir sonuçla karşılaşacağını düşünüyorsa iradesi serbest sayılmaz.

Bu nedenle çalışan verilerinin işlenmesinde öncelikle diğer hukuki sebepler değerlendirilir. Özlük dosyası tutulması hukuki yükümlülüğe, ücret ödemesi sözleşmenin ifasına, iş sağlığı ve güvenliği kayıtları ilgili mevzuattan doğan yükümlülüğe dayandırılabilir. Rızaya ancak zorunlu olmayan, çalışanın gerçekten reddedebileceği işlemelerde başvurulmalıdır; kurum içi bültende fotoğraf yayımlanması buna örnek gösterilebilir.

Ticari elektronik ileti izni ile açık rıza aynı şey değildir

Uygulamada sıkça karıştırılan bir başka nokta, 6563 sayılı Kanun kapsamındaki ticari elektronik ileti onayı ile kişisel verilerin korunması mevzuatındaki açık rızanın aynı şey sanılmasıdır. İki düzenleme farklı amaçlara hizmet eder ve farklı yükümlülükler doğurur.

Ticari elektronik ileti onayı, iletinin gönderilebilmesine ilişkindir ve İleti Yönetim Sistemi'ne kaydedilmesi gerekir. Kişisel verilerin işlenmesi bakımından ise ayrıca bir hukuki sebep aranır. Bir kişiden alınan ileti onayı, aynı kişinin verilerinin profilleme ya da yurt dışına aktarım gibi başka amaçlarla işlenmesini kendiliğinden hukuka uygun hâle getirmez. Tek bir kutuyla her ikisinin birden alınmaya çalışılması, rızanın belirli bir konuya ilişkin olması şartını da zedeler.

Çerezlerde aydınlatma ve rıza

İnternet sitelerinde kullanılan çerezler bakımından da aynı ayrım geçerlidir. Sitenin çalışması için zorunlu olan çerezler kural olarak rıza gerektirmez; bunlar için aydınlatma yeterlidir. Reklam, ölçümleme ve profilleme amaçlı çerezler bakımından ise ayrı bir hukuki sebep aranır ve uygulamada bu sebep çoğu zaman açık rızadır.

Çerez bildiriminde hangi çerezin hangi amaçla kullanıldığı, saklama süresi ve üçüncü taraf çerezlerinin bulunup bulunmadığı gösterilmelidir. Reddetme seçeneği, kabul seçeneğiyle aynı kolaylıkta sunulmalıdır. Site açılır açılmaz zorunlu olmayan çerezlerin yerleştirilmesi, rıza alınmadan işleme yapılması sonucunu doğurur.

Yükümlülüğe uyulmamasının sonucu

Aydınlatma yükümlülüğünün yerine getirilmemesi Kanun'un 18. maddesinin birinci fıkrasının (a) bendi kapsamında; geçerli bir hukuki sebep olmaksızın veri işlenmesi ise çoğu kez aynı fıkranın (b) bendi kapsamında idari para cezası gerektirir. Kurul, dayanaksız işlemeyi genellikle 12. maddedeki veri güvenliği yükümlülüklerinin ihlali olarak değerlendirmekte ve daha yüksek ceza aralığını uygulamaktadır. Güncel ceza aralıkları ile cezaya karşı başvurulacak yargı yolu, veri sorumlusuna başvuru ve Kurul'a şikâyet konulu yazıda ele alınmıştır.

İdari para cezasının yanında, hukuka aykırı işleme nedeniyle zarara uğrayan kişinin genel hükümlere göre tazminat talep etme hakkı saklıdır; ayrıca Türk Ceza Kanunu'nda düzenlenen suçlar bakımından ceza sorumluluğu ayrıca değerlendirilir.

Sık yapılan hatalar

• Aydınlatma metninin altına imza yeri ya da onay kutusu konularak rıza belgesine dönüştürülmesi. İki işlem ayrı belgelerde yürütülmelidir.
• Zorunlu olmayan rızanın hizmet şartı hâline getirilmesi. Rıza verilmediğinde de temel hizmetin sunulabilmesi gerekir.
• Tek bir onay kutusuyla birbirinden farklı amaçlara aynı anda rıza alınması. Ticari ileti gönderimi, yurt dışına aktarım ve profilleme ayrı konulardır.
• Aydınlatma metninde aktarım yapılan alıcı gruplarının hiç sayılmaması ya da tüm ilgili taraflar gibi belirsiz ifadelerle geçilmesi.
• Hukuki sebebin metinde hiç gösterilmemesi ya da bütün işlemeler için tek bir sebep yazılması.
• Rızanın alındığı tarihin ve metnin o tarihteki sürümünün saklanmaması.
• Geri alma talebinin karşılanacağı kanalın belirlenmemesi ve talebin ulaştıktan sonra işleme alınmaması.
• Onay kutularının önceden işaretlenmiş biçimde sunulması.