Açık rıza, kişinin belirli bir kişisel veri işleme faaliyetine, neye izin verdiğini bilerek ve özgür iradesiyle onay vermesidir. KVKK bakımından rızanın belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgürce açıklanması birlikte aranır. Bir forma imza atılması veya ekrandaki kutunun işaretlenmesi, bu şartlar yoksa tek başına yeterli değildir. Verilen rıza geri alınabilir; ancak geri almanın veri işleme ve saklama üzerindeki etkisi, faaliyetin hukuki sebebine göre ayrıca değerlendirilir.
1. Açık Rızanın Unsurları Nelerdir?
Açık rızanın üç unsuru vardır: belirli konu, bilgilendirme ve özgür irade. KVKK m.3 tanımı şöyle yapar:
a) Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı,
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.3)
Belirli konu, kişinin hangi veri işleme faaliyetine izin verdiğini anlayabilmesini gerektirir. Bilgilendirme, veri işlenmeden önce yapılmalı ve kişinin rızasının kapsamını kavramasını sağlamalıdır. Özgür irade ise kişinin rıza verme veya vermeme konusunda gerçek bir seçim yapabilmesidir. Kişisel Verileri Koruma Kurumunun Kişisel Verilerin Korunması Kanunu Hakkında Sıkça Sorulan Sorular rehberi bu unsurları ayrı ayrı açıklar (Mart 2025, s.23–24).
Rızanın konusu, örneğin bir telefon numarasının alınması kadar, bu numaranın hangi amaçla kullanılacağıyla da ilgilidir. Telefon numarasının bir kişisel veri olması, her kullanımının aynı hukuki sebebe dayanacağı anlamına gelmez. Aynı verinin farklı amaçlarla işlenmesi bakımından ayrı değerlendirme yapılmalıdır.
2. Açık Rıza Nasıl Alınır?
Açık rıza alınırken önce hangi faaliyet için rıza istendiği açıklanır; kişi bu açıklamayı anlayarak seçimini yapar. Kurumun SSS rehberine göre veri sorumlusu, faaliyetin açık rıza dışındaki işleme şartlarına dayanıp dayanmadığını öncelikle araştırmalıdır. Başka bir şart bulunmadığında, ilgili faaliyetle sınırlı açık rıza alınması gerekir (s.26–27).
Rızanın yalnız yazılı alınması zorunlu değildir. Rehber, sözlü, yazılı veya elektronik yöntemlerle rıza verilebileceğini; rızanın kanundaki unsurları taşıması ve ispatlanabilir olması gerektiğini belirtir. Açık rızanın alındığını ispat yükü veri sorumlusundadır (s.28). Dolayısıyla ekrandaki onay işleminin varlığı kadar, kişinin onay sırasında hangi açıklamayı gördüğü ve hangi faaliyeti kabul ettiği de önemlidir.
2.1. Açık Rıza Metninde Ne Açıklanmalı?
Açık rıza metni, kişinin izin verdiği faaliyeti ve bunun kapsamını anlaşılır kılmalıdır. Hangi verinin hangi amaçla işleneceği belirli olmalı; metin, belirsiz gelecek işlemleri kapsayan genel bir izin istememelidir. Kurumun SSS rehberi, belirli bir konuya ve işleme bağlı olmayan genel rızaları hukuken geçersiz kabul eder (s.28).
Bu nedenle başka bir işletmenin metnini olduğu gibi kullanmak, o işletmenin veri işleme faaliyeti farklıysa ihtiyacı karşılamaz. Metnin uzunluğu veya “KVKK onayı” başlığını taşıması, belirli konu ve bilgilendirme unsurlarının yerine geçmez. Birden fazla amaç anlatılıyorsa, kişinin hangi amaca ilişkin tercih bildirdiği anlaşılmalıdır.
Açık rıza, KVKK m.4’teki genel ilkeleri de ortadan kaldırmaz. Veriler amaçla bağlantılı, sınırlı ve ölçülü işlenmelidir:
ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.4)
3. Aydınlatma Metni ile Açık Rıza Arasındaki Fark Nedir?
Aydınlatma, veri sorumlusunun kişiye bilgi vermesidir; açık rıza ise kişinin belirli bir işleme izin vermesidir. KVKK m.10, veri sorumlusunun kimliği, işleme amacı, aktarım, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları hakkında bilgi verilmesini düzenler. Bu bilgilendirmenin yapılması, kişinin her işleme rıza verdiği anlamına gelmez.
Kurul, 08.07.2019 tarihli ve 2019/206 sayılı kararında aydınlatma ve açık rıza işlemlerinin ayrı ayrı yerine getirilmesi için şirkete talimat vermiştir. Ayrıntılı içerik ve bilgilendirme yükümlülüğü KVKK aydınlatma metni yazısında ele alınmıştır.
Zorunlu bir kutunun bulunması da kutunun neyi teyit ettiğine bakılmadan değerlendirilemez. Kurulun 15.06.2023 tarihli ve 2023/1041 sayılı kararında, somut olayda aydınlatma metninin okunmasını sağlayan uygulama ile pazarlama amaçlı veri işlemeye verilen rıza ayrılmıştır. Kurul, kişinin pazarlama amacıyla işlemeye rıza vermeden satın alma ve üyelik işlemine devam edebildiğini tespit etmiştir:
Kişisel verilerin ticari amaçlarla veya pazarlama maksadıyla işlenmesine rıza verilmeksizin de satın alım ve üyelik işlemine devam edilebildiği,
(Kişisel Verileri Koruma Kurulu, 15.06.2023 tarihli ve 2023/1041 sayılı karar)
Karar, her zorunlu kutunun geçerli rıza sağladığı şeklinde okunamaz. Aydınlatmanın okunduğuna ilişkin teyit ile veri işlemeye izin veren seçim, işlevleri bakımından incelenmelidir. Kararın burada aktarılan kısmı bu ayrımla ilgilidir; yurt dışına aktarımın güncel şartlarını belirlemek için kullanılmamaktadır.
4. Kişisel Veri İşlemek İçin Her Zaman Açık Rıza Gerekir mi?
Açık rıza, kişisel veri işlemenin tek hukuki sebebi değildir. KVKK m.5, diğer şartlardan biri bulunduğunda açık rıza aranmaksızın işlemeye imkân verir:
(2) Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.5)
Maddede sayılan şartlar arasında, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olmak kaydıyla taraflara ait verilerin işlenmesinin gerekli olması ve veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için işlemenin zorunlu olması bulunur. Her şart kendi sınırlarıyla uygulanır. Örneğin bir sözleşmenin varlığı, sözleşmeyle ilgisiz bütün veri işlemeleri kendiliğinden hukuka uygun kılmaz.
Bu genel açıklama, özel nitelikli kişisel verilerin bütün işleme şartlarının aynı olduğu anlamına gelmez. Verinin niteliği ve yapılan işlemin türü ayrıca belirlenmelidir. Veri sorumlusunun hangi hukuki sebebe dayandığını baştan açıkça belirtmesi, kişinin rıza vermeme veya rızasını geri alma tercihinin sonucunu anlayabilmesi açısından da önemlidir.
5. Hizmet Açık Rıza Şartına Bağlanabilir mi?
Bir hizmetin açık rıza verilmesine bağlanması, rızanın özgür iradeyle açıklanması şartını zedeleyebilir. Ancak somut olayda kişinin hizmete erişiminin gerçekten engellenip engellenmediği ve rızanın hangi faaliyet için istendiği incelenmelidir. Her üyelik avantajı, aynı koşullarla değerlendirilmez.
Kurulun 2019/206 sayılı kararındaki internet sitesi, farklı sağlayıcıların hizmetlerini indirimli sunan bir aracıydı. Kurul, üye olmayanların bu hizmetleri başka şekilde satın alma imkânının ortadan kaldırılmadığını dikkate aldı. Kararda uygulama şöyle nitelendirildi:
Site bünyesinde sunulan indirimli fiyatların ve avantajların yalnızca üye olanlara sunulmasının söz konusu olduğu
(Kişisel Verileri Koruma Kurulu, 08.07.2019 tarihli ve 2019/206 sayılı karar)
Kurul bu iddia yönünden işlem yapılmasına gerek görmedi; aynı kararda aydınlatma metninin düzeltilmesini ise istedi. Bu sonuç, indirim karşılığında istenen her rızanın geçerli olduğu anlamına gelmez. Kararın gerekçesi, incelenen aracı hizmetin niteliği ve üyelik olmadan ürün veya hizmete erişimin devam etmesidir.
6. Açık Rıza Geri Alınabilir mi?
Açık rıza geri alınabilir. Kurumun SSS rehberine göre geri alma, beyanın veri sorumlusuna ulaşmasından itibaren ileriye yönelik sonuç doğurur; açık rızaya dayalı faaliyet durdurulmalıdır (s.27). Bu açıklama, önceki işlemleri kendiliğinden geçmişe dönük olarak hukuka aykırı hâle getiren bir kural değildir.
Kişi, hangi faaliyete ilişkin rızasını geri aldığını veri sorumlusuna açıkça bildirmelidir. KVKK’nın uygulanmasına ilişkin talebin veri sorumlusuna iletilmesi m.13’te düzenlenir:
(1) İlgili kişi, bu Kanunun uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir.
(6698 sayılı Kişisel Verilerin Korunması Kanunu m.13)
Başvurunun muhatabı, veriyi işleyen her çalışan veya teknik hizmet sağlayıcı değil, ilgili işleme bakımından veri sorumlusudur. Kullanılacak yöntemler ve başvuru içeriği veri sorumlusuna KVKK başvurusu yazısında açıklanmıştır. Beyanın hangi tarihte ulaştığını ve hangi izni kapsadığını gösteren kaydın saklanması, uyuşmazlıkta olayın açıklanmasını kolaylaştırır.
6.1. Rızanın Geri Alınması Bütün Verilerin Silinmesi Anlamına Gelir mi?
Rızanın geri alınması ile bütün verilerin silinmesi aynı şey değildir. Kurumun SSS rehberi, saklamayı gerektiren başka bir hukuki sebep varsa verilerin yalnız bu amaçla sınırlı olarak saklanabileceğini belirtir (s.27). Bununla birlikte rızaya dayanan faaliyetin sonradan başka bir hukuki sebep ileri sürülerek aynen sürdürülmesi ayrıca değerlendirilir.
Kurul, 2019/206 sayılı kararda, başlangıçta başka bir işleme şartı bulunmasına rağmen faaliyetin açık rızaya dayanıyormuş gibi sunulmasını eleştirmiştir. Rıza geri alındığında faaliyetin başka bir sebebe dayanılarak devam ettirilmesini hukuka ve dürüstlük kurallarına aykırı bulmuştur. Bu nedenle sınırlı saklama ile rıza geri alındıktan sonra aynı faaliyetin sürdürülmesi birbirine karıştırılmamalıdır. Veri sorumlusu, hangi veriyi hangi amaç ve hukuki sebeple tutmaya devam ettiğini somut olarak açıklamalıdır.
7. Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, m.3, m.4, m.5, m.10 ve m.13.
- Kişisel Verileri Koruma Kurulu, 08.07.2019 tarihli ve 2019/206 sayılı karar.
- Kişisel Verileri Koruma Kurulu, 15.06.2023 tarihli ve 2023/1041 sayılı karar.
- Kişisel Verilerin Korunması Kanunu Hakkında Sıkça Sorulan Sorular, Kişisel Verileri Koruma Kurumu, Mart 2025, s.23–28. Rehber, Kurumun açıklamasıdır; kanun ve Kurul kararlarından ayrı kaynak niteliğindedir.
Sıkça Sorulan Sorular
Açık rıza ne demektir?
KVKK m.3'e göre açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Genel bir kabul ifadesi, bu unsurları taşımadığında geçerli açık rıza sayılmaz.
Açık rıza yazılı olmak zorunda mı?
Kurumun SSS rehberine göre açık rıza için genel bir şekil şartı yoktur; sözlü, yazılı veya elektronik ortamda verilebilir. Kanundaki unsurları taşıması ve ispatlanabilir olması gerekir. Rızanın alındığını ispat yükü veri sorumlusundadır.
Aydınlatma metnini okumak açık rıza vermek midir?
Aydınlatma, veri sorumlusunun bilgi verme yükümlülüğüdür. Açık rıza ise ilgili kişinin belirli bir işleme ilişkin irade beyanıdır. Aydınlatmanın yapıldığının teyidi ile veri işlemeye rıza verilmesi ayrı değerlendirilir.
Açık rıza vermek zorunlu mu?
Açık rıza özgür iradeyle verilmelidir. Bununla birlikte kişisel veri işlemenin tek hukuki sebebi açık rıza değildir; KVKK m.5'teki diğer şartlardan biri varsa o şartın kapsamı içinde açık rıza aranmaksızın işleme yapılabilir.
Açık rıza geri alınabilir mi?
Evet. Kurumun SSS rehberine göre açık rıza geri alınabilir; geri alma beyanı veri sorumlusuna ulaştığında ileriye yönelik sonuç doğurur. Açık rızaya dayanan faaliyet durdurulmalıdır. Başka bir hukuki sebep saklamayı gerektiriyorsa veriler yalnız bu amaçla sınırlı saklanabilir.
Rıza geri alınınca bütün veriler hemen silinir mi?
Rızanın geri alınması ile bütün verilerin silinmesi aynı işlem değildir. Saklamayı gerektiren başka bir hukuki sebep bulunabilir. Bu durum, rızaya dayanan eski faaliyetin sonradan başka bir sebep ileri sürülerek aynen devam ettirilmesi anlamına gelmez.
İlgili çalışma alanı: Bilişim Hukuku ve KVKK
← Tüm makaleler