Aydınlatma Metni mi Açık Rıza mı? KVKK'nın Kritik Farkı

Aydınlatma metni yayınlamak ile açık rıza almak aynı şey değil. Aydınlatma, veri sorumlusunun her durumda yerine getirmesi gereken bir bilgilendirme yükümlülüğü; açık rıza ise yalnızca belirli şartlar sağlanmadığında devreye giren bir izin mekanizması. Sahada gördüğümüz kadarıyla KOBİ’lerin büyük bölümü bu ikisini tek bir şeymiş gibi ele alıyor — ya her veri işleme için gereksiz yere onay checkbox’ı ekliyor ya da hiç aydınlatma yapmadan doğrudan “kabul ediyorum” butonuna güveniyor. İkisi de yanlış, ikisi de denetimde farklı şekilde cezaya çıkıyor.

Madde 10: aydınlatma her zaman zorunlu

6698 sayılı Kanun’un 10. maddesi, veri işlendiği her durumda beş unsurun ilgili kişiye bildirilmesini şart koşuyor:

• Veri sorumlusunun ve varsa temsilcisinin kimliği
• Kişisel verinin hangi amaçla işleneceği
• Verinin kimlere, hangi amaçla aktarılabileceği
• Toplama yöntemi ve hukuki sebebi
• İlgili kişinin madde 11’de sayılan hakları (bilgi talep etme, düzeltme, silme gibi)

Bu bildirim rızaya bağlı değil. Bir çalışanın bordro verisini işlerken de, bir web sitesi ziyaretçisinin IP adresini loglarken de aydınlatma yapılır — çünkü aydınlatma bir izin isteği değil, şeffaflık zorunluluğu. Kurul’un yerleşik yaklaşımı da metnin anlaşılır, sade ve açık dilde yazılmasını, “ileride ortaya çıkabilecek başka amaçlar için de kullanılabilir” gibi belirsiz ifadelerden kaçınılmasını istiyor. Amaç net değilse, aydınlatma yapılmamış sayılıyor.

Madde 5: açık rıza sadece istisna karşılanmadığında gerekir

Kanunun 5. maddesindeki mantık tam tersi yönde işliyor: kişisel veri, kural olarak açık rıza olmadan işlenemez — ama madde, rıza aranmayacak altı şartı da ayrıca sayıyor. Bu şartlardan biri sağlanıyorsa açık rıza formu doldurtmaya gerek kalmıyor, sadece aydınlatma yeterli oluyor.

Durum	Açık rıza gerekir mi?	Örnek
Kanunda açıkça öngörülmüş işleme	Hayır	SGK bildirimi, vergi kaydı
Sözleşmenin kurulması/ifasıyla doğrudan ilgili	Hayır	Çalışanın maaş hesabına ödeme yapmak
Veri sorumlusunun hukuki yükümlülüğü	Hayır	İş sağlığı kaydı tutma
İlgili kişi verisini kendisi alenileştirmişse	Hayır	Kişinin herkese açık paylaştığı bilgi
Bir hakkın tesisi/kullanılması için zorunlu	Hayır	Alacak takibi için gerekli veri
Meşru menfaat, temel hak ve özgürlüğe zarar vermeden	Hayır (dengeleme testi şart)	Şirket içi güvenlik kamerası
Yukarıdakilerin hiçbiri yoksa	Evet	E-bülten aboneliği, pazarlama SMS’i

Açık rızanın kendisi de üç şartı birlikte taşımak zorunda: özgür iradeyle verilmiş olmak, belirli bir konuya ilişkin olmak ve bilgilendirmeye dayanmak. “Tüm hizmet şartlarını kabul ediyorum” gibi genel bir onay, tek başına geçerli bir açık rıza sayılmıyor — çünkü hangi veri, hangi amaçla işleniyor belli değil.

Tablodaki “meşru menfaat” satırı en çok yanlış anlaşılan şart. Kurul burada tek taraflı bir değerlendirme kabul etmiyor; veri sorumlusunun çıkarı ile ilgili kişinin temel hak ve özgürlükleri karşılaştırılmalı, işleme amacına daha az müdahaleci bir yöntemle ulaşılamayacağı gösterilmeli. Güvenlik kamerası buna iyi bir örnek: giriş-çıkış noktalarını kapsaması makul, ama çalışma masalarını sürekli kayıt altına alması aynı gerekçeyle savunulamaz.

Sahada en sık görülen hatalar

Denetim ve danışmanlık sürecinde karşımıza tekrar tekrar aynı tablo çıkıyor:

1. Her forma “onaylıyorum” kutusu eklemek. Zorunlu bir işlem için (örneğin fatura kesmek) açık rıza istemek gereksiz; sadece kafa karıştırıyor ve ilgili kişiye “istersem reddedebilirim” izlenimi veriyor, oysa reddetse bile fatura kesilecek.
2. Aydınlatma metnini web sitesinin en altına, tek satırlık bir link olarak gizlemek. Erişilebilir olması yetmez; ilgili kişinin veri toplanmadan önce fark etmesi bekleniyor — form doldurmadan önce, kayıt olmadan önce.
3. Açık rızayı “sepet dolu” şartına bağlamak. Bir hizmeti almak için pazarlama izni şart koşmak, rızanın özgür irade unsurunu zedeliyor; Kurul kararlarında bu tür “paket rıza” uygulamaları geçersiz sayılıyor.
4. Açık rızayı geri almanın bir yolunu sunmamak. Rıza her an, gerekçe göstermeden geri alınabilir olmalı; e-bülten aboneliğinde “abonelikten çık” bağlantısı yoksa ya da vazgeçme talebi haftalarca işleme alınmıyorsa, alınan rızanın kendisi tartışmalı hale geliyor.

Sık sorulan sorular

Aydınlatma metni olmadan sadece açık rıza almak yeterli mi? Hayır. Açık rıza alınsa bile aydınlatma ayrıca yapılmak zorunda; ikisi birbirinin yerine geçmiyor.

Mevcut müşterilerimize eski usul rıza formu imzalattık, yeniden mi almalıyız? Form, madde 5’teki üç şartı (özgür irade, belirli konu, bilgilendirme) taşımıyorsa geçersiz sayılabilir — özellikle “genel kabul” niteliğindeyse yenilenmesi öneriliyor.

Küçük bir işletme aydınlatma metnini nereye koymalı? Verinin toplandığı her noktaya: başvuru formuna, web sitesi iletişim formuna, kamera girişine, işe alım mülakatına. Tek bir merkezi sayfa yeterli değil, her toplama noktasında erişilebilir olmalı.

Aydınlatma metnini tek bir genel sayfada toplasak yeterli olmaz mı? Erişilebilir olması gerekli ama yeterli değil; ilgili kişinin veri vermeden önce metni görmesi bekleniyor. Bu yüzden metin, o veri toplama anına en yakın noktada — formun üzerinde veya hemen altında — bulunmalı.

Aydınlatma ile açık rızayı doğru ayırmak, hem gereksiz onay yorgunluğunu önlüyor hem de denetimde gerçekten eksik olan noktayı görünür kılıyor. KVKK uyum sürecinizi birlikte gözden geçirmek isterseniz bizimle iletişime geçin.