Aydınlatma Metni ve Açık Rıza: Örneklerle Eksiksiz Kılavuz

KVKK uyumunda en sık karıştırılan iki kavram aydınlatma metni ve açık rızadır. İkisi farklı yükümlülüklerdir ve yanlış kurgulandığında en çok yaptırıma yol açan alanların başında gelir. Uygulamada birçok kurum, aslında başka bir hukuki sebebe dayanabileceği işlemeler için gereksiz yere rıza toplar; bir kısmı ise gerçekten rıza alması gerekirken bunu geçerli biçimde alamaz veya belgeleyemez. Bu kılavuzda ikisini net biçimde ayırıyor, hangi durumda hangisinin gerektiğini ve doğru uygulamayı örneklerle gösteriyoruz.

Temel Fark: Aydınlatma ≠ Açık Rıza

Aydınlatma, veri işleyen herkesin yerine getirmesi gereken bir bilgilendirme yükümlülüğüdür (KVKK m.10). Veriyi hangi hukuki sebebe dayanırsanız dayanın, işleme öncesinde veri sahibini bilgilendirmelisiniz. Yani aydınlatma, rıza alsanız da almasanız da her zaman gereklidir.

Açık rıza ise yalnızca bir hukuki sebeptir (m.5). Başka bir hukuki sebep (sözleşme, hukuki yükümlülük, meşru menfaat vb.) varsa, ayrıca rıza almanız gerekmez — hatta almak hatadır. Gereksiz rıza almak, hem kullanıcıyı yanıltır ("reddedersem hizmet almam engellenir mi?") hem de rıza geri alındığında işlemeyi hukuken zora sokar.

Açık Rıza Ne Zaman Gerekir?

Açık rıza, sıralamada son çaredir. Önce işlemeyi m.5/2'deki diğer sebeplerden birine dayandırıp dayandıramayacağınıza bakın:

• Kanunlarda açıkça öngörülme,
• Bir sözleşmenin kurulması veya ifası için gereklilik,
• Veri sorumlusunun hukuki yükümlülüğü,
• İlgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat.

Bu sebeplerden hiçbiri uygulanamıyorsa rıza devreye girer. Örneğin sipariş teslimi için adres işlemek sözleşmeye; fatura saklamak hukuki yükümlülüğe dayanır. Buna karşın pazarlama amaçlı profilleme veya bülten gönderimi çoğu durumda rıza gerektirir.

Aydınlatma Metninde Neler Olmalı?

• Veri sorumlusunun (ve varsa temsilcisinin) kimliği,
• Kişisel verilerin hangi amaçla işleneceği,
• Kime ve hangi amaçla aktarılabileceği,
• Toplama yöntemi ve hukuki sebebi,
• Veri sahibinin KVKK m.11'deki hakları.

Metin açık, sade ve anlaşılır olmalı; hukuk jargonuna boğulmamalıdır. Aydınlatma, işlemenin gerçekleştiği anda ve o kanala uygun biçimde sunulmalıdır: web formunda formun yanında, çağrı merkezinde sözlü olarak, İK süreçlerinde başvuru aşamasında. Genel geçer tek bir metni her yere yapıştırmak yerine, her kanalın amaç ve aktarımlarını yansıtan metinler kullanın.

Geçerli Açık Rızanın Üç Şartı

1. Özgür irade: Baskı veya dezavantaj olmadan verilmeli.
2. Belirli bir konuya ilişkin: "Her türlü işleme" gibi genel/battaniye rızalar geçersizdir.
3. Bilgilendirmeye dayalı: Kişi neye onay verdiğini bilmeli (bu yüzden önce aydınlatma gelir).

Ek olarak: önceden işaretli kutucuk kullanılamaz, rıza hizmet şartına bağlanamaz ve her an geri alınabilmelidir. Geri alma, rıza vermek kadar kolay olmalıdır; kullanıcıyı uzun süreçlere veya telefonla aramaya zorlamak geri almayı fiilen engellediği için geçerliliği zayıflatır.

Özel Nitelikli Verilerde Rıza

Sağlık, din, cinsel hayat, biyometrik/genetik veri gibi özel nitelikli veriler (m.6) daha katı bir rejime tabidir. Bu veriler için açık rıza alıyorsanız, amacın son derece belirli olması ve ek güvenlik tedbirlerinin (erişim kısıtlama, şifreleme, ayrı loglama) uygulanması beklenir. Sağlık verisinde olduğu gibi kanunun özel sebep tanıdığı hâller dışında, genel bir "tüm verilerim işlensin" onayı özel nitelikli veriler için yeterli değildir.

Örnek Senaryo: Bülten Aboneliği

Bir e-ticaret sitesi, üyelik sırasında "Kampanya e-postaları almak istiyorum" kutucuğunu önceden işaretli getiriyor ve işaretini kaldırmadan kayıt tamamlanamıyor. Bu, hem özgür irade hem de hizmete bağlama açısından geçersiz bir rızadır. Doğrusu: kutucuk boş gelmeli ve işaretlenmese bile üyelik tamamlanabilmelidir. Ayrıca kullanıcı daha sonra fikrini değiştirdiğinde, her e-postadaki "abonelikten çık" bağlantısıyla tek tıkla geri alabilmelidir. Sistem, bu onayın tarihini, kapsamını ve gösterilen metni kayıt altına almalıdır; aksi hâlde denetimde "rıza aldık" iddiasını ispatlayamazsınız.

Sık Yapılan Hatalar

• Aydınlatma ile rızayı tek metinde birleştirip zorunlu tutmak.
• Başka hukuki sebep varken gereksiz rıza almak.
• Rızayı hizmetin ön şartı yapmak.
• Rıza kaydını (tarih, kapsam, gösterilen metin) saklamamak.
• Geri almayı zorlaştırmak veya geri alındıktan sonra işlemeye devam etmek.

Kontrol Listesi

1. Her işleme faaliyeti için hukuki sebep belirlendi.
2. Aydınlatma metni m.10 unsurlarını içeriyor ve sade.
3. Rıza yalnızca gerçekten gerektiği yerde alınıyor.
4. Rıza kutucukları boş (önceden işaretli değil).
5. Rıza hizmet şartına bağlanmıyor.
6. Geri alma mekanizması ve rıza kayıtları mevcut.

Sık Sorulan Sorular

Her veri işlemede açık rıza almam gerekir mi?

Hayır. Açık rıza son çaredir. Sözleşme, hukuki yükümlülük veya meşru menfaat gibi bir sebep varsa rıza gerekmez; hatta gereksiz rıza almak hatadır.

Aydınlatma ve rızayı aynı metinde birleştirebilir miyim?

Bilgilendirme ile onayı birbirine karıştırmayın. Rıza ayrı, özgür ve geri alınabilir bir beyan olmalı; aydınlatma ise tek yönlü bir bilgilendirmedir. İkisi aynı sayfada sunulsa bile onay unsuru ayrı ve isteğe bağlı olmalıdır.

Rızayı geri alan kullanıcının verisini ne yapmalıyım?

Rıza tek hukuki sebep ise işlemeyi durdurup veriyi silme/yok etme sürecinizi işletmelisiniz. Başka bir hukuki sebep (ör. fatura saklama yükümlülüğü) varsa yalnızca o sebeple sınırlı işlemeye devam edebilirsiniz.

Rıza aldığımı nasıl ispatlarım?

Onayın alındığı tarihi, kapsamını, kullanıcıya gösterilen metnin sürümünü ve onay yöntemini (ör. boş kutucuğun işaretlenmesi) kayıt altına alın. Bu kayıtlar, denetimde geçerli rızanın en önemli kanıtıdır.

Bu içerik yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. JUS. ile aydınlatma metinlerinizi ve rıza kayıtlarınızı tek platformda yönetebilirsiniz — demo talep edin.