Geçerli Açık Rıza Nasıl Alınır? Şartları ve Sık Yapılan Hatalar
Geçerli açık rızanın üç unsuru, aydınlatmadan ayrılması, ispat yükü ve KVKK denetimlerinde en çok cezaya yol açan hatalar mevzuata dayalı olarak anlatılıyor.
Geçerli açık rıza, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 3. maddesindeki tanıma tam olarak uyduğunda alınmış sayılır: rıza belirli bir konuya ilişkin olacak, bilgilendirmeye dayanacak ve özgür iradeyle açıklanacaktır. Bu üç unsurdan biri eksikse verilen onay hukuken geçersizdir ve o veri işleme faaliyeti dayanaksız kalır. Uygulamada geçerli açık rıza almak, tek bir onay kutusu değil, ne için, kime ve hangi amaçla rıza istendiğinin net biçimde ortaya konduğu, kişinin baskı altında olmadığı ve reddetme seçeneğinin gerçek anlamda var olduğu bir süreç kurmak demektir.
Birinci unsur, rızanın belirli bir konuyla sınırlı olmasıdır. "Tüm işlemlerim için verilerimin işlenmesine izin veriyorum" gibi kapsamı belirsiz, her amacı içine alan onaylar KVKK uygulamasında battaniye rıza olarak nitelendirilir ve geçersiz kabul edilir. Her işleme amacı için ayrı ve anlaşılır bir rıza istenmelidir. Örneğin ticari elektronik ileti gönderimi, yurt dışına veri aktarımı ve profil oluşturma birbirinden farklı amaçlardır; bunların tek bir onaya sıkıştırılması rızayı sakatlar.
İkinci unsur, rızanın bilgilendirmeye dayanmasıdır. Kişi; hangi verisinin, hangi amaçla, kim tarafından işleneceğini önceden bilmelidir. Burada kritik nokta, bilgilendirmenin, yani aydınlatmanın açık rızadan ayrı bir yükümlülük olmasıdır. Aydınlatma, kişinin talebine veya herhangi bir onaya bağlı olmaksızın, veri işlemeye başlamadan önce yerine getirilmesi gereken bir bilgilendirmedir; açık rıza ise ayrı bir irade beyanıdır. İkisi birbirinin yerine geçmez.
Üçüncü unsur, rızanın özgür iradeyle açıklanmasıdır. Cebir, tehdit, hata veya hile gibi iradeyi sakatlayan her durum rızayı geçersiz kılar. En yaygın sakatlanma sebeplerinden biri, açık rızanın bir ürün veya hizmetin sunulmasının ön şartı hâline getirilmesidir. KVKK, hizmetin açık rıza şartına bağlanmasının rızayı sakatladığını ve bu uygulamanın Kanun'un 4. maddesindeki hukuka ve dürüstlük kuralına uygun olma ile amaçla bağlı, sınırlı ve ölçülü olma ilkelerine aykırı olduğunu değerlendirmektedir. Kullanıcı, pazarlama iznini vermeden de hizmeti alabilmelidir.
Geçerli açık rızada dördüncü pratik gereklilik ispattır. Kanun uyarınca açık rızanın alındığını ispat yükü veri sorumlusundadır. Rızanın yazılı olması zorunlu değildir; elektronik ortamda, çağrı merkezi kaydıyla veya mobil uygulama üzerinden alınabilir. Ancak hangi kanaldan alınırsa alınsın, kimin, ne zaman, hangi metne ve hangi amaçla onay verdiğinin kayıt altında tutulması gerekir. Kayıt tutulmayan bir onay, denetim veya şikâyet durumunda hiç alınmamış gibi değerlendirilir.
Beşinci gereklilik, rızanın her zaman geri alınabilir olmasıdır. İlgili kişi verdiği açık rızayı dilediği zaman geri çekebilir. Geri alma beyanı veri sorumlusuna ulaştığı andan itibaren ileriye yönelik sonuç doğurur ve o tarihten sonra rızaya dayalı işleme durdurulmalıdır. Bu nedenle geri alma mekanizmasının, rızayı vermek kadar kolay ve erişilebilir olması, sistemin de rıza geri çekildiğinde ilgili işlemeyi otomatik durduracak şekilde tasarlanması beklenir.
Sık yapılan hataların başında aydınlatma metni ile açık rıza metninin tek bir metinde birleştirilmesi gelir. KVKK Kurulu'nun 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı, bu iki metnin farklı başlıklar altında ayrı ayrı düzenlenmesini zorunlu tutar. Aynı karar; metinlerde açık, anlaşılır ve sade bir dil kullanılmasını, başka bir veri sorumlusunun metinlerinin birebir kopyalanmamasını ve aydınlatma yapıldığına dair ilgili kişiden onay veya rıza talep edilmemesini gerektirir. "Aydınlatma metnini okudum, kabul ediyorum" biçiminde tek kutuyla hem bilgilendirme hem rıza toplamak, bu ilke kararına aykırıdır.
İkinci yaygın hata, birbirinden bağımsız işlemleri tek onaya bağlamaktır. Örneğin bir işlem için gönderilen doğrulama kodu ile ticari ileti onayı aynı kutuda toplanamaz; bunlar ayrı amaçlardır ve ayrı ayrı yönetilmelidir. Nitekim Kurul, ürün ve hizmet sunumu sırasında SMS ile doğrulama kodu gönderiminin ayrı bir onaya dayandırılmasına ilişkin ilke kararında bu ayrımın altını çizmiştir. Üçüncü hata, güç dengesizliği olan ilişkilerde özgür iradenin göz ardı edilmesidir. İşçi-işveren ilişkisinde çalışan, rıza vermediği takdirde olumsuz sonuç yaşayacağı endişesi taşıyorsa özgür irade unsuru zedelenir; bu tür ilişkilerde açık rıza çoğu zaman geçerli bir dayanak oluşturmaz.
Belki de en temel yanlış, aslında açık rıza gerekmeyen durumlarda rıza toplamaktır. KVKK'nın 5. ve 6. maddeleri; kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası, veri sorumlusunun hukuki yükümlülüğü ve meşru menfaat gibi hâllerde açık rıza aranmaksızın veri işlenebileceğini düzenler. Bu şartlardan biri varken ayrıca açık rıza istemek kişiyi yanıltır ve rızayı sakatlar. Doğru yaklaşım, önce işlemenin hangi hukuki sebebe dayandığını belirlemek, açık rızayı yalnızca başka bir dayanağın bulunmadığı işlemler için kullanmaktır.
Kısaca geçerli bir açık rıza için; amacı belirli ve dar tanımlanmış olmalı, aydınlatma ayrı bir metinle önceden yapılmalı, onay hizmet şartına bağlanmadan özgür iradeyle alınmalı, kayıt altında tutulmalı ve kolayca geri çekilebilmelidir. Bu kriterlerden herhangi biri karşılanmadığında, kâğıt üzerinde onay bulunsa bile veri işleme dayanaksız kalır ve Kanun'un 18. maddesi kapsamında idari yaptırım riski doğar.
Mevcut rıza akışlarınızın aydınlatma metinlerinizden ayrı düzenlenip düzenlenmediğini, hangi işlemlerin gereksiz yere rızaya bağlandığını ve ispat kayıtlarınızın yeterli olup olmadığını değerlendirmek istiyorsanız, KVKK Danışman'ın ücretsiz ön değerlendirmesiyle mevcut durumunuzu kısa sürede gözden geçirebilir, öncelikli düzeltme noktalarını görebilirsiniz.