Açık rıza ne zaman gerekir?
Diğer hukuki sebeplerin bulunmadığı hâllerde kişisel veriler, ilgili kişinin açık rızası olmaksızın işlenemez (6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) m. 5/1). Özel nitelikli kişisel veriler bakımından açık rıza, Kanun’un 7499 sayılı Kanunla değişik 6/3 maddesindeki sekiz işleme şartından yalnızca biridir. Açık rızanın özgür iradeyle açıklanması, belirli bir konuya ilişkin olması ve bilgilendirilmeye dayanması gerekir (Kanun m. 3).
Tanım ve açık rızanın üç unsuru
Açık rıza: İlgili kişinin, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıkladığı rızayı ifade eder.
Kanun’un 3. maddesindeki açık rıza tanımı uyarınca açık rızanın şu üç unsuru bulunur:
• Belirli bir konuya ilişkin olması.
• Bilgilendirilmeye dayanması.
• Özgür iradeyle açıklanması.
Rızanın kapsamı, elektronik ortam ve ispat yükü
Açık rıza, ilgili kişinin işlenmesine rıza gösterdiği verinin sınırlarını, kapsamını, işlenme biçimini ve süresini belirleyebilmesini sağlamalıdır. Bu anlamda açık rıza, rıza gösteren ilgili kişinin “olumlu irade beyanını” içermelidir. Açık rızanın elektronik ortam üzerinden alınması da kural olarak mümkündür. Burada ispat yükü veri sorumlusundadır.
Şirketlerin, aldıkları rızaları yazılı ya da elektronik ortamda hem kayıt altına almaları hem de saklamaları ihtiyatlı bir yaklaşım olur.
Battaniye rıza neden geçersizdir?
Belirli bir konu ve ilgili işlemle sınırlandırılmayan genel nitelikteki açık rızalar “battaniye rıza” olarak kabul edilir ve hukuken geçersiz sayılır. Örneğin “her türlü ticari işlem, bankacılık işlemi ve veri işleme faaliyeti” gibi belirli bir konu veya faaliyet göstermeyen rıza beyanları battaniye rıza olarak değerlendirilebilir.
Açık rızanın geri alınması
Açık rıza vermek, kişiye sıkı sıkıya bağlı bir haktır; ilgili kişi açık rızasını geri alabilir. İlgili kişi, kişisel verilerinin geleceğini belirleme hakkına sahip olduğundan rızasını her zaman geri alabilir. Ancak geri alma, ileriye etkili sonuç doğurur; açık rızaya dayanılarak yürütülen tüm işlemlerin, veri sorumlusunun geri alma beyanını öğrendiği andan itibaren durdurulması gerekir.
Uygulamada kontrol listesi
Mevcut rıza metinlerini gözden geçirirken yukarıdaki üç unsur pratik bir kontrol listesine dönüşür (Temmuz 2026 itibarıyla):
- Hukuki sebep ayrımı: Faaliyet, Kanun’daki diğer hukuki sebeplerden birine dayandırılabiliyor mu? Açık rıza, diğer hukuki sebeplerin bulunmadığı hâllerde devreye girer; bu değerlendirme her işleme faaliyeti için ayrı yapılmalıdır.
- Belirlilik: Metin hangi işleme faaliyetini, hangi veri kategorisini ve hangi amacı kapsıyor? Tek bir onay kutusuna bağlanan genel ifadeler battaniye rıza riskini doğurur.
- Bilgilendirme: Rıza alınmadan önce ilgili kişiye ne anlatıldı; bu bilgilendirmenin metni ve tarihi saklanıyor mu?
- Özgür irade: Rıza, ilgili kişinin olumlu irade beyanıyla mı alınıyor?
- Kayıt: Rızanın ne zaman, hangi metin sürümüyle ve hangi kanaldan alındığı kayıt altında mı? İspat yükü veri sorumlusunda olduğundan kayıt düzeni belirleyicidir.
- Geri alma: Geri alma bildirimi hangi kanaldan geliyor, kime ulaşıyor ve rızaya dayanan işlemleri durdurma adımı yazılı olarak tanımlanmış mı?
Bu başlıklar tek tek düzeltmelerle değil, rıza metinlerinin işleme faaliyeti bazında ayrıştırılmasıyla kapanır: aynı metnin birbirinden farklı amaçlar için tekrar kullanılması, hem belirlilik hem de bilgilendirme unsurunu zayıflatır. Metin sürümlerinin ve alınma tarihlerinin izlenebilir olması ise geri alma taleplerinin işletilmesini kolaylaştırır.
Açık rıza süreçlerinizin bütünsel değerlendirmesi için KVKK & GDPR uyum programı hizmetimize, Kanun ve ikincil düzenlemelerdeki güncel duruma ise KVKK mevzuat kaydımıza bakabilirsiniz.
