6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”), kişisel verilerin işlenmesinde temel prensipleri ve hukuka uygunluk şartlarını belirlemektedir. Bununla birlikte uygulamada en çok karışıklığa yol açan konulardan biri, açık rızanın hangi durumlarda gerekli olduğu, hangi durumlarda ise gerekmeyeceğidir. KVKK’nın 3. maddesinde açık rıza, “belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanır. Bu tanım, açık rızanın geçerli sayılabilmesi için rızanın belli bir konuya bağlı olması, ilgili kişinin bu konuda tam olarak bilgilendirilmiş olması ve iradesinin özgürce ortaya konması gerektiğini ifade eder.

Kanunun 5. maddesinin 2. fıkrasında ise, açık rızanın aranmadığı durumlar sıralanmıştır. Buna göre, kanunlarda açıkça öngörülmüş veri işleme faaliyetleri, bir sözleşmenin kurulması veya ifasıyla doğrudan bağlantılı işlemler, veri sorumlusunun hukuki yükümlülüklerini yerine getirmesi, ilgili kişinin kendi isteğiyle alenileştirdiği verilerin işlenmesi, bir hakkın tesis edilmesi, kullanılması veya korunması amacıyla zorunlu olan işlemler ve veri sorumlusunun meşru menfaatleri doğrultusunda temel hak ve özgürlüklere zarar vermemesi şartıyla yapılan işlemler, açık rıza olmadan gerçekleştirilebilir. Örneğin, çalışanların özlük dosyalarının tutulması, siparişlerin teslimatı için adres bilgilerinin kargo şirketleriyle paylaşılması ya da vergi mevzuatı kapsamında fatura düzenlenmesi gibi işlemler bu kapsamdadır.

KVKK uyarınca, kişisel veriler yalnızca kanunda belirtilen hukuki şartlardan biri mevcutsa işlenebilir. Bu şartlardan herhangi biri yoksa açık rıza alınması zorunludur. Özellikle ticari amaçlı faaliyetlerde; reklam, pazarlama, kampanya bildirimleri gibi kişiye özel tekliflerin veya ticari elektronik iletilerin gönderilmesi için açık rıza gerekmektedir. Aynı şekilde, analitik ve hedefleme amaçlı çerez kullanımı gibi zorunlu olmayan işlemler ile yarışma, çekiliş ve promosyon gibi kampanyalarda toplanan verilerde de açık rıza aranması gerekir.

Özel nitelikli kişisel verilerin işlenmesi ise KVKK kapsamında ayrı bir öneme sahiptir. Sağlık, biyometrik veri gibi özel nitelikli verilerin işlenmesi genellikle açık rızaya dayanır; ancak her durum kendi özgün koşullarıyla değerlendirilmelidir. 1 Haziran 2024 tarihinde yürürlüğe giren mevzuat değişiklikleriyle özel nitelikli kişisel verilerin işlenme koşulları genişletilmiş ve yeni hukuki sebepler eklenmiştir. Dolayısıyla KVKK’nın 6. maddesinde sayılan şartlardan biri somut duruma uygun ise açık rıza alınması mecburiyetinden de söz edilemeyecektir.

Özetle, açık rıza her durumda aranacak mutlak bir ön koşul değildir. KVKK’da açık rıza dışındaki hukuki dayanaklar öncelikli olarak dikkate alınmalı, açık rıza yalnızca diğer şartların mevcut olmadığı veya uygulanamadığı hallerde başvurulacak bir yöntem olarak değerlendirilmelidir. Aksi takdirde gereksiz yere açık rıza talep edilmesi, hem uygulamada zorluklara yol açmakta hem de kişilerin “rıza yorgunluğu” yaşamasına sebep olmaktadır.”

Av. Gökhan Özen