- Katılım
- 21 May 2023
- Mesajlar
- 714
- Tepki
- 17
- Puan
- 18
Formların altına konan "kişisel verilerimin işlenmesini kabul ediyorum" kutusu tek başına izin anlamına gelmiyor. Kanun izni tanımlarken üç ölçüt koyuyor ve bu ölçütlerden biri eksikse alınan şey rıza sayılmıyor.
Bu yazı KVKK'nın açık rıza tanımını, rızanın hangi hâllerde aranmadığını, özel nitelikli verilerde kuralın nasıl değiştiğini ve izin metni hazırlarken nelere bakılması gerektiğini kanun metnine dayanarak anlatıyor.
Kanundaki tanım
6698 sayılı Kişisel Verilerin Korunması Kanunu tanımlar maddesinde açık rızayı üç ölçütle tarif ediyor: belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
Üç ölçüt de bağımsız. Konu belirli değilse, kişi bilgilendirilmemişse veya irade özgür değilse alınan onay tanımı karşılamıyor.
"Belirli bir konu" ifadesi, tek bir kutuyla her türlü işlemeye onay alınmasının önünü kesiyor. "Bilgilendirilmeye dayanan" ölçütü ise rızayı aydınlatma yükümlülüğüne bağlıyor.
- Belirli konu: Rıza neye veriliyorsa o kadarını kapsıyor.
- Bilgilendirme: Kişi neye onay verdiğini biliyor.
- Özgür irade: Onay dayatmaya bağlı değil.
Kural: rıza olmadan işlenemez
Kanunun işleme şartlarını düzenleyen maddesi kuralı tek cümlede koyuyor: kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.
Ancak aynı madde istisnaları da sayıyor. Aşağıdaki şartlardan birinin varlığı hâlinde açık rıza aranmaksızın işleme mümkün oluyor: kanunlarda açıkça öngörülmesi; fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumdaki kişinin veya bir başkasının hayatı ya da beden bütünlüğünün korunması için zorunlu olması.
Liste sürüyor: bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olmak kaydıyla sözleşmenin taraflarına ait verilerin işlenmesinin gerekli olması; veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması; verinin ilgili kişi tarafından alenileştirilmiş olması; bir hakkın tesisi, kullanılması veya korunması için işlemenin zorunlu olması.
Püf nokta' Alıntı:
Özel nitelikli verilerde kural sertleşiyor
Kanun bazı verileri ayrı bir kategoriye alıyor. Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri sayılıyor.
Bu kategori için başlangıç noktası yasak: özel nitelikli kişisel verilerin işlenmesi yasaktır.
Yasağın kalkabileceği hâller de sayılıyor; ilki ilgili kişinin açık rızasının olması. Diğerleri arasında kanunlarda açıkça öngörülmesi, hayatın veya beden bütünlüğünün korunması için zorunluluk, kişinin alenileştirdiği verilere ilişkin ve alenileştirme iradesine uygun olması, bir hakkın tesisi, kullanılması veya korunması için zorunluluk bulunuyor.
İşleme ne demek?
Kanun "işleme" kavramını geniş tutuyor. Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi işlemler bu kapsamda.
Yani izin sorusu yalnız veri toplarken değil, veriyi saklarken, aktarırken ve silerken de gündeme geliyor.
Genel ilkeler rızayı sınırlıyor
Kanun işleme için ilkeler de koyuyor. Verilerin hukuka ve dürüstlük kurallarına uygun olması, doğru ve gerektiğinde güncel olması, belirli, açık ve meşru amaçlar için işlenmesi zorunlu.
İki ilke daha var: işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma; ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.
Bu ilkeler rızayı sınırsız bir yetki belgesi olmaktan çıkarıyor. Rıza alınmış olsa bile amaçla bağlantısız veya ölçüsüz bir işleme kanuna uygun sayılmıyor.
Metin tarafında ne yapılıyor?
Bilgilendirme yükümlülüğünün karşılığı ayrı bir metin; nasıl yazıldığını aydınlatma metni yazımızda anlatmıştık.
Şirketler arası ilişkilerde gizliliğin sözleşmeye bağlanması ise ayrı bir başlık; kapsamını gizlilik sözleşmesi yazımızda ele almıştık.
Verinin dışarı sızması hâlinde atılacak ilk adımları da veri sızıntısı yazımızda toplamıştık.
Sık Sorulan Sorular
KVKK izni nedir?
Kanunun açık rıza tanımı: belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
Her işleme için rıza şart mı?
Hayır. Kanun, sözleşmenin ifası veya hukuki yükümlülük gibi hâllerde rıza aranmadığını sayıyor.
Tek kutuyla genel onay alınabilir mi?
Tanım rızayı belirli bir konuya bağlıyor; kapsamı belirsiz onay bu ölçütü karşılamıyor.
Sağlık verisi için ne değişiyor?
Özel nitelikli veri sayılıyor ve işlenmesi kural olarak yasak; istisnaların başında açık rıza geliyor.
Rıza her şeyi meşrulaştırır mı?
Hayır. Genel ilkeler işlemenin amaçla bağlantılı, sınırlı ve ölçülü olmasını da zorunlu kılıyor.
Özetle
KVKK izni, kanunun açık rıza olarak tanımladığı üç ölçütlü bir onay: belirli konu, bilgilendirme ve özgür irade. Kural rızasız işlemeyi yasaklıyor ama sözleşme ifası gibi hâllerde rıza aranmıyor. Özel nitelikli verilerde başlangıç noktası yasak. Ve rıza alınmış olsa bile genel ilkeler işlemenin sınırını çiziyor.
Sitenizdeki onay kutusu hangi konuya, hangi bilgilendirmeye dayanıyor?
Güncelleme: 2 Eylül 2026. 6698 sayılı Kişisel Verilerin Korunması Kanunu metni kontrol edildi.
Dijital Dünyanıza Yön Veren Pusula
