Kısa cevap
Açık rıza, 6698 sayılı Kanun’un 3. maddesinde “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanır; bu üç unsurdan biri eksikse rıza geçersizdir ve işleme dayanaksız kalır. Açık rıza kişisel veri işlemenin tek şartı değil, son çaresidir: Kanun’un 5. maddesinin ikinci fıkrasındaki şartlardan biri varsa (kanunlarda açıkça öngörülme, hayatın veya beden bütünlüğünün korunması, sözleşmenin kurulması veya ifası, veri sorumlusunun hukuki yükümlülüğü, ilgili kişinin kendisi tarafından alenileştirme, bir hakkın tesisi veya korunması, temel hak ve özgürlüklere zarar vermeyen meşru menfaat) açık rıza aranmaz — istenmesi ilgili kişiyi yanıltır. Açık rıza her zaman geri alınabilir ve geri alma ileriye etkilidir: önceki işlemeleri hukuka aykırı hâle getirmez, ancak geri alma anından itibaren işleme durur ve veriler silinir, yok edilir veya anonim hâle getirilir (m.7). Özel nitelikli kişisel verilerde dal ayrıdır; 6. madde daha dar bir şart listesi sayar ve sözleşmenin ifası ile meşru menfaat o listede yoktur.
Yedi halka: rızayı gereksiz kılan şartlar
KVKK m.5/1 tek cümledir: kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. Aynı maddenin ikinci fıkrası ise bu cümleyi yedi hâlde askıya alır ve bu hâller birbirinin alternatifidir. Yani “yedisinden üçü tutuyor” diye bir şey yoktur: bir tanesinin tutması, açık rızayı aramayı gereksiz kılar.
Aşağıdaki sıra Kanun’un bent sırasıdır, bir hiyerarşi değildir. Her bölümün başındaki çubuk kümenin daraldığını gösteren şematik bir işarettir; bir ölçüm ya da istatistik değildir.
Kanunlarda açıkça öngörülmesi
KVKK m.5/2-a
“Açıkça öngörülme”, bir kanun hükmünün o veri işlemeyi doğrudan emretmesi ya da açıkça izin vermesidir. İki kelimenin ikisi de yük taşır: hüküm kanunda olmalıdır ve işlemeyi açıkça karşılamalıdır. Yönetmelik, tebliğ, genelge, sektör kılavuzu ya da “mevzuat gereği” ifadesi bu halkayı kurmaz; kurduğu sanıldığında ise dayanağı hiç olmayan bir işleme, dayanaklı görünerek yıllarca sürer.
Halka yalnız işlemenin kendisini değil kapsamını da sınırlar. Kanun bir bildirim için üç veri kalemi öngörüyorsa, aynı formda toplanan diğer on iki kalem bu halkanın içinde değildir ve onlar için ayrıca bir dayanak aranır. Uygulamadaki en yaygın hata, tek bir kanuni yükümlülüğü bütün bir formun şemsiyesi gibi kullanmaktır.
Halka tutar
- İşçi özlük dosyasının tutulması (4857 sayılı Kanun m.75)
- Sigortalı işe giriş ve çıkış bildirimleri (5510 sayılı Kanun)
- Ticari defter, fatura ve belgelerin kanuni sürelerle saklanması
- Kanunla kurulmuş bir kayıt veya bildirim yükümlülüğünün yerine getirilmesi
Halka tutmaz
- “Mevzuat gereği” denilen ama hangi kanun olduğu gösterilemeyen işlemeler
- Dayanağı yalnız yönetmelik, tebliğ, genelge veya idari uygulama olan işlemeler
- Kanunun öngördüğü kapsamı aşan veri kalemleri
- Yurt dışındaki bir hukukun öngördüğü, Türk kanunlarında karşılığı bulunmayan işlemeler
Bu halka tutuyorsa açık rıza istemek yalnız gereksiz değil sakıncalıdır: kişi “hayır” dese de işleme yapılacaktır. Verilmeyecek bir seçimi sunmak, sunulan rızayı da özgür iradeye dayanmaktan çıkarır.
Hayatın veya beden bütünlüğünün korunması
KVKK m.5/2-b
Bu halka iki kapıdan birlikte geçer. Birincisi kişinin durumudur: fiilî imkânsızlık nedeniyle rızasını açıklayamayacak hâlde olmalı ya da rızasına hukuki geçerlilik tanınmayan bir kişi olmalıdır. İkincisi zorunluluktur: işleme, kendisinin ya da bir başkasının hayatının veya beden bütünlüğünün korunması için zorunlu olmalıdır.
Halkanın varlık sebebi açıktır: açık rıza bir irade beyanıdır ve iradesini açıklayamayan kişiden alınamaz. Bu şart olmasaydı, bilinci kapalı bir hastanın verisini işlemek hukuken imkânsız hâle gelirdi — yani kanun, rızanın alınamadığı yerde işlemeyi yasaklamak yerine sıkı bir zorunluluk ölçüsü koymuştur.
Halka tutar
- Bilinci kapalı hastanın kimlik, kan grubu ve alerji bilgisinin işlenmesi
- Kaza yerinde yaralının yakınlarına ulaşmak için iletişim bilgisinin kullanılması
- Kayıp kişinin bulunması amacıyla konum ve kimlik verisinin işlenmesi
Halka tutmaz
- Kişi bilinçliyken ve rıza sorulabilecek durumdayken
- “Acil durumda lazım olur” gerekçesiyle önceden toplu veri toplanması
- Zorunluluk ölçüsünü aşan veri kalemleri (tedavi için gerekmeyen mali bilgiler gibi)
Sağlık verisi aynı zamanda özel nitelikli kişisel veridir. Bu halka tutsa bile değerlendirme m.5 dalında değil, aşağıdaki m.6 dalında yapılır ve orada yeterli önlemler ayrıca şarttır.
Sözleşmenin kurulması veya ifası
KVKK m.5/2-c
Metin üç sınır çizer ve üçü de sık aşılır: veri taraflara ait olacak, sözleşmeyle doğrudan doğruya ilgili olacak ve işlenmesi gerekli olacaktır. Üçüncü sınır en çok kaçırılanıdır, çünkü “işe yarayan” her veri gerekli sayılıyor. Halkanın testi tek cümledir: bu veri olmadan edim ifa edilebilir mi? Edilebiliyorsa halka tutmaz.
Aynı verinin bir amaç için bu halkaya girip başka bir amaç için girmemesi olağandır. Teslimat adresi, malın gönderilmesi bakımından sözleşmenin ifasıdır; aynı adresin pazarlama segmentasyonunda kullanılması ise ayrı bir işleme faaliyetidir ve kendi dayanağını arar. Halka faaliyet başına yoklanır, kişi ya da form başına değil.
Halka tutar
- Teslimat için adres, iletişim için telefon ve e-posta
- Ödemenin alınması için gereken banka ve fatura bilgileri
- Sözleşme öncesi talep üzerine yapılan teklif ve fiyatlandırma işlemleri
Halka tutmaz
- Sözleşme için gerekmeyen doğum tarihi, medeni hâl, eğitim durumu gibi kalemler
- İfa tamamlandıktan sonra ticari amaçla sürdürülen saklama
- Sözleşmenin tarafı olmayan üçüncü kişilerin verileri (kefil, referans, aile bireyi)
- Aynı verinin pazarlama, profilleme veya skorlama amacıyla kullanılması
Halka tutmuyorsa ilk refleks rızaya atlamak olmasın: sözleşme için gerekli olmayan veri çoğu zaman hiç toplanmamalıdır. KVKK m.4’teki “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesi, dayanak arayışından önce gelir.
Veri sorumlusunun hukuki yükümlülüğü
KVKK m.5/2-ç
Bu halka ile birinci halka sık karıştırılır ve fark incedir: birincide kanun işlemeyi öngörür, burada kanun bir yükümlülük yükler ve o yükümlülük ancak işleme ile yerine getirilebilir. Vergi mevzuatı “fatura kes” der; faturanın kesilmesi için alıcının unvanı ve adresi işlenir. Kanun bu işlemeyi tek tek saymaz ama yükümlülük onsuz yerine getirilemez.
Yükümlülük veri sorumlusunun kendisine ait olmalıdır. Bir başkasının yükümlülüğünü kolaylaştırmak, grup şirketinin iç politikası, sektörel iyi uygulama ya da gönüllü olarak alınmış bir sertifikasyon şartı bu halkayı kurmaz. Kapsam da yükümlülük kadardır: yükümlülük sona erdiğinde saklamanın sebebi de ortadan kalkar ve m.7 devreye girer.
Halka tutar
- Fatura düzenleme ve kanuni sürelerle saklama
- Sosyal güvenlik bildirimleri ve bordro işlemleri
- İş sağlığı ve güvenliği kayıtlarının tutulması
- Mahkeme, icra dairesi veya yetkili kurum yazılarına cevap verilmesi
Halka tutmaz
- Sözleşmeden doğan yükümlülükler (bunlar üçüncü halkanın konusudur)
- Sektör standardı, iç politika veya gönüllü sertifikasyon gereklilikleri
- Yurt dışındaki grup şirketinin raporlama talepleri
- Yükümlülüğün kapsamını aşan ek veri kalemleri ve süresiz saklama
Bu halka tutuyorsa rıza istemek çelişki üretir: ilgili kişi rızasını geri aldığında yükümlülük ortadan kalkmaz, yani işleme devam etmek zorundadır. Geri alınabilir bir beyana dayandırılan geri alınamaz bir yükümlülük, ilk itirazda çöker.
İlgili kişinin kendisi tarafından alenileştirilmesi
KVKK m.5/2-d
Halkanın iki kilidi vardır. Birincisi kim alenileştirdiğidir: veriyi kamuya açan ilgili kişinin kendisi olmalıdır. Üçüncü bir kişinin paylaşması, bir veri ihlaliyle sızması ya da “internette bulunabiliyor olması” alenileştirme değildir — bunlar olsa olsa hukuka aykırı bir yayılmanın sonucudur ve ondan yararlanmak yeni bir hukuka aykırılık üretir.
İkincisi hangi amaçla alenileştirdiğidir. Alenileştirme, iradenin kapsadığı amaçla sınırlı okunur. Tabelasına telefon numarası yazan esnaf, o numaradan iş için aranmaya rıza göstermiştir; aynı numaranın toplu pazarlama listesine eklenmesine değil. “Kamuya açık kaynak” ifadesiyle derlenen listeler bu halkanın en sık kötüye kullanılan biçimidir.
Halka tutar
- Serbest meslek mensubunun kendi sitesinde yayımladığı iletişim bilgisiyle o iş için irtibat
- İşletme tabelasında veya ilanında yer alan telefonun o hizmet talebi için kullanılması
- Kişinin kendi açık profilinde yayımladığı bilginin, yayım amacı kapsamında kullanılması
Halka tutmaz
- Üçüncü kişinin paylaştığı veya ihlalle sızmış veriler
- Alenileştirme amacının dışına çıkan kullanım (pazarlama listesine ekleme)
- Kamuya açık kaynaklardan derlenip satılan veri tabanları
- Bir zorunluluk gereği yayımlanan verilerin serbest kullanımı
Alenileştirme geri alınabilir bir rıza değildir ama sınırsız da değildir: kişi yayımı kaldırdığında halka ileriye dönük olarak kapanır ve işlemeye devam için başka bir dayanak gerekir.
Bir hakkın tesisi, kullanılması veya korunması
KVKK m.5/2-e
Bu halka, hukuk büroları ve uyuşmazlık yönetimi bakımından en çok kullanılanıdır: dava dosyasındaki delillerin saklanması, icra takibinde borçluya ait bilgilerin işlenmesi, zamanaşımı süresince sözleşme ve ifa kayıtlarının tutulması. Kilit kelime zorunluluktur; hak somut ve belirlenebilir olmalı, “ileride lazım olabilir” düzeyinde kalmamalıdır.
Halkanın en öğretici uygulaması kendi üzerinedir: bir kurumun sakladığı açık rıza kayıtları da bir kişisel veri işlemedir ve dayanağı açık rıza olamaz. Olsaydı, kişi rızasını geri aldığında ispat kaydı da silinmek zorunda kalır ve veri sorumlusu geçmişteki işlemenin hukuka uygunluğunu hiçbir zaman gösteremezdi. Kaydın dayanağı bu halkadır.
Halka tutar
- Dava, icra ve arabuluculuk dosyalarındaki delil ve taraf bilgileri
- Zamanaşımı süresince sözleşme, teslim ve ödeme kayıtlarının saklanması
- Açık rıza ve aydınlatma kayıtlarının ispat amacıyla saklanması
- Sigorta rücu ve tazminat taleplerine ilişkin kayıtlar
Halka tutmaz
- “Bir gün gerekebilir” gerekçesiyle süresiz saklama
- Hakla ilgisi kurulamayan veri kalemlerinin dosyada tutulması
- Hak sona erdikten ve zamanaşımı dolduktan sonra saklamanın sürdürülmesi
Halka süreye bağlıdır: hak düştüğünde ya da zamanaşımı dolduğunda işlemeyi gerektiren sebep ortadan kalkar ve KVKK m.7 uyarınca veriler silinir, yok edilir veya anonim hâle getirilir.
Meşru menfaat ve denge testi
KVKK m.5/2-f
Son halka iki kapıyı birlikte açar: işleme veri sorumlusunun meşru menfaati için zorunlu olacak ve ilgili kişinin temel hak ve özgürlüklerine zarar vermeyecektir. İkincisi bir formalite değil, halkanın kendisidir: menfaat ne kadar gerçek olursa olsun, ilgili kişinin hakkına verdiği zarar ağır basıyorsa halka kopar.
Bu yüzden meşru menfaat “dayanak bulamayınca yazılan şey” değildir. Bir denge testi gerektirir ve o test yazılı olmalıdır: menfaat nedir, işleme zorunlu mudur, daha az müdahaleci bir yol var mıdır, ilgili kişinin makul beklentisi nedir, hangi güvenceler alınmıştır. Testi yapmamış bir kurum, denetimde bu halkanın tuttuğunu gösteremez; gösteremediği anda işleme dayanaksız kalır.
Halka tutar
- Bilgi güvenliği amacıyla erişim ve işlem kayıtlarının (log) tutulması
- Dolandırıcılığın ve kötüye kullanımın önlenmesi
- İşyerinde sınırlı, duyurulmuş ve ölçülü kamera kaydı
- İç denetim, kalite ve risk yönetimi faaliyetleri
Halka tutmaz
- İlgili kişinin makul beklentisini aşan sürekli izleme
- Hassas çıkarımlar üreten profilleme ve skorlama
- Çalışanın özel yaşam alanına giren takip uygulamaları
- Daha az müdahaleci bir yol varken en geniş yolun seçilmesi
Bu halka koparsa çekirdeğe inilir — ama çekirdeğe inmek “o hâlde rıza alırım” demek değildir. Denge testini geçemeyen bir işleme çoğu zaman rızayla da yapılamaz, çünkü aynı güç dengesizliği rızayı da özgür olmaktan çıkarır. Doğru sonuç bazen “bu işleme yapılmaz”dır.
Çekirdek: açık rızanın üç unsuru
Yedi halkanın hiçbiri tutmuyorsa çekirdeğe inilir. Burada açık rıza artık bir seçenek değil, tek yoldur — ve kendi şartları vardır. KVKK m.3/1-a açık rızayı “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlar. Üç unsur birlikte aranır; biri eksikse ortada geçersiz bir rıza vardır ve geçersiz rıza, hiç rıza alınmamasıyla aynı sonucu doğurur.
Belirli bir konuya ilişkin
Rıza, hangi veri kategorisinin hangi amaçla işleneceği ve kimlere aktarılacağı belirlenerek verilir. “Kişisel verilerimin işlenmesine ve gerekli görülen üçüncü kişilerle paylaşılmasına izin veriyorum” biçimindeki battaniye rıza bu unsuru sağlamaz: neye izin verildiği belirlenemiyorsa rızanın kapsamı da yoktur. Aynı sebeple “tüm izinleri kabul et” diyen tek düğme geçersizdir; rıza amaç amaç alınır, amaç amaç geri alınır.
Bilgilendirmeye dayanan
Kişi rızayı vermeden ÖNCE, anlaşılır ve sade bir dille bilgilendirilmiş olmalıdır: veri sorumlusunun kimliği, işleme amacı, aktarılacak taraflar, toplama yöntemi ve hukuki sebep ile m.11’deki hakları. Bilgilendirme rızanın geçerlilik şartıdır; ancak bunun tersi doğru değildir — aydınlatma yükümlülüğü rızadan bağımsız olarak, dayanak ne olursa olsun her hâlde yerine getirilir.
Özgür iradeyle açıklanan
Seçim gerçek olmalıdır. Açık rıza olumlu bir irade beyanı gerektirir: sükût rıza değildir, önceden işaretlenmiş kutucuk rıza değildir, “itiraz etmezseniz kabul edilmiş sayılır” kurgusu rıza değildir. Rıza genel kullanım koşullarının içine gömülemez, hizmetin ön koşulu yapılamaz ve reddedilmesi kişiye somut bir dezavantaj olarak dönmemelidir.
Kanun rıza için bir şekil şartı öngörmez: yazılı, elektronik ya da sözlü olarak verilebilir. Ancak şekil serbestisi ispat serbestisi değildir — aşağıdaki ispat bölümüne bakın. Rıza ehliyeti bakımından da KVKK bir yaş sınırı koymaz; açık rıza kişiye sıkı sıkıya bağlı bir hakkın kullanılması olduğundan, ayırt etme gücüne sahip küçük bunu yasal temsilcisinin rızası olmaksızın kullanabilir (TMK m.16).
Özgür irade: hizmet şartı ve çalışan rızası
Üç unsurdan pratikte en çok kırılanı üçüncüsüdür ve iki tipik hâlde kırılır: rıza bir hizmetin ön koşulu yapıldığında, bir de bağımlılık ilişkisi içinde istendiğinde.
Hizmet şartına bağlanan rıza
Bir hizmetin verilmesi, o hizmet için gerekli olmayan bir işlemeye rıza verilmesi şartına bağlanamaz. Bağlandığında kişinin “hayır” deme imkânı fiilen ortadan kalkar ve rıza özgür iradeyle açıklanmış sayılmaz. Mantık kısa devre yapar: işleme gerçekten hizmetin verilmesi için zorunluysa zaten üçüncü halka (m.5/2-c) devrededir ve rıza istemeye gerek yoktur; zorunlu değilse hizmeti ona bağlamak mümkün değildir. Her iki hâlde de “rıza vermezsen hizmet yok” cümlesi kurulamaz.
İş ilişkisinde rıza
İşçi ile işveren arasında bir bağımlılık ilişkisi vardır. Reddetmenin iş ilişkisine yansıyabileceği bir ortamda verilen rızanın özgür olduğu kabul edilmez; bu yüzden çalışan verilerinde rıza kural olarak yanlış dayanaktır. Doğru yol, işlemeyi olması gereken halkaya oturtmaktır:
| İşleme | Doğru dayanak | Madde |
|---|---|---|
| Özlük dosyası ve bordro | Hukuki yükümlülük (4857 m.75, 5510 sayılı Kanun) | m.5/2-ç |
| Ücret ödemesi, banka bilgisi | İş sözleşmesinin ifası | m.5/2-c |
| İş sağlığı ve güvenliği kayıtları | Hukuki yükümlülük | m.5/2-ç |
| Bilgi güvenliği ve erişim kayıtları | Meşru menfaat (denge testiyle) | m.5/2-f |
| Uyuşmazlıkta kullanılacak kayıtlar | Hakkın tesisi ve korunması | m.5/2-e |
| Biyometrik giriş sistemi | Özel nitelikli veri — ayrı dal, ölçülülük ve alternatif şart | m.6 |
Rızaya gerçekten ihtiyaç duyulan istisnai hâllerde iki şart aranır: reddetmenin somut bir sonucu olmamalı ve reddeden çalışana eşdeğer bir alternatif sunulmalıdır. Parmak iziyle giriş sisteminde kart ya da şifre seçeneğinin bulunmaması, rızayı tek başına geçersiz kılar — çünkü işe girmek için başka bir yol bırakılmamıştır.
Geri alma: her zaman, ileriye etkili
Açık rıza her zaman ve gerekçe göstermeden geri alınabilir. Burada dürüst olmak gerekir: 6698 sayılı Kanun’da “rızanın geri alınması” başlıklı bir hüküm yoktur. Hak, rızanın kişiliğe sıkı sıkıya bağlı bir irade beyanı olmasından ve Anayasa’nın 20. maddesinin üçüncü fıkrasındaki güvenceden doğar; Kanun içinde ise sonuçlarıyla görünür (m.7 ve m.11). Numarasız olması hakkı zayıflatmaz, yalnızca kaynağının başka yerde olduğunu gösterir.
Geri alma ileriye etkilidir
Geri alma anına kadar yapılmış işlemeler hukuka uygun kalır; geçmişe dönük olarak hukuka aykırı hâle gelmez. Aksi kabul edilseydi rızaya dayanan hiçbir işleme güvenli olmaz ve dün hukuka uygun olan iş bugün ihlale dönüşürdü.
Geri alma anından itibaren işleme durur
İşlemeyi gerektiren sebep ortadan kalktığı için veriler resen veya ilgili kişinin talebi üzerine silinir, yok edilir ya da anonim hâle getirilir (m.7/1). Yöntem ve süreler, Kurum’un silme, yok etme ve anonim hâle getirme yönetmeliğine göre belirlenir.
Geri almak, rıza vermek kadar kolay olmalıdır
Tek tıkla alınan bir rıza için ıslak imzalı dilekçe istenmesi, hakkı fiilen kullanılamaz kılar ve rızanın en baştaki özgürlüğünü de tartışmalı hâle getirir.
Kısmî geri alma mümkündür
Rıza amaç amaç verildiği için amaç amaç geri alınabilir. Kişi ticari iletişime verdiği rızayı geri alırken üyelik işlemlerine ilişkin rızayı sürdürebilir.
Dayanak sonradan değiştirilemez
Rıza geri alındığında “o hâlde meşru menfaate dayanırım” denilerek işlemeye devam edilemez. Hangi işlemenin hangi şarta dayandığı BAŞTAN belirlenir; sonradan dayanak değiştirmek, ilgili kişiye baştan yanlış bilgi verildiğini kabul etmek olur.
İspat ve aydınlatmadan ayrılma
Bir işlemenin açık rızaya dayandığını iddia eden taraf veri sorumlusudur ve iddiasını ispatla yükümlüdür (TMK m.6; HMK m.190). Bu yüzden rızanın varlığı kadar içeriği de kayıt altına alınır: kim, ne zaman, hangi amaç için, hangi veri kategorileri bakımından ve kendisine hangi metin gösterildikten sonra rıza vermiştir. Son kalem en çok atlanandır — o tarihte yürürlükte olan aydınlatma metninin sürümü saklanmazsa, “bilgilendirmeye dayanan” unsurunun sağlandığı gösterilemez.
İnce nokta şudur: rıza kaydının kendisi de bir kişisel veri işlemedir ve dayanağı açık rıza değildir. Öyle olsaydı, kişi rızasını geri aldığında ispat kaydı da silinmek zorunda kalır ve veri sorumlusu geçmişteki işlemenin hukuka uygunluğunu hiçbir zaman gösteremezdi. Kaydın dayanağı altıncı halkadır: bir hakkın tesisi ve korunması (m.5/2-e).
Aydınlatma ile rıza aynı işlem değildir
Aydınlatma yükümlülüğünün yerine getirilmesi ile açık rızanın alınması, ayrı ayrı yapılması gereken iki işlemdir; bu, Kurum’un aydınlatma yükümlülüğünde uyulacak usul ve esaslara ilişkin tebliğinin 5. maddesinde düzenlenmiştir. Farkı görmek için iki soruyu ayırmak yeter: aydınlatma bilgi vermedir ve dayanak ne olursa olsun her hâlde yapılır; açık rıza ise bir izindir ve yalnızca çekirdeğe inildiğinde istenir.
Tek kutucukta birleştirmenin iki hatası
☐ Aydınlatma metnini okudum ve kişisel verilerimin işlenmesine açık rıza veriyorum.
- Aydınlatmayı ilgili kişinin onayına bağlar. Oysa aydınlatma onaya bağlı değildir: kişi kutucuğu işaretlemese de bilgilendirilmiş olması gerekir.
- Rızanın hangi işlemeye verildiğini belirsizleştirir. Aynı kutucuk hem m.5/2’ye dayanan işlemeleri hem rızaya bağlı olanları kapsıyormuş gibi görünür ve “belirli bir konuya ilişkin” olma unsuru kaybolur.
Özel nitelikli veride ayrı dal
Sağlık, cinsel hayat, din, mezhep, felsefi inanç, siyasi düşünce, ırk ve etnik köken, kılık kıyafet, dernek, vakıf ve sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler özel nitelikli kişisel veridir (KVKK m.6/1). Bunların işlenmesi kural olarak yasaktır ve yalnızca sayılı hâllerde mümkündür. Kavramın tanımı değişmez; değişen, alternatif halkaların listesidir — ve bu liste belirgin biçimde daha dardır.
Karşılaştırma, hangi halkaların kaybolduğunu tek bakışta gösterir: özel nitelikli veride sözleşmenin ifası ve meşru menfaat yoktur. Genel bir “hukuki yükümlülük” şartı da yoktur; onun yerine yalnız istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarıyla sınırlı bir şart vardır.
| Halka | Genel veri (m.5/2) | Özel nitelikli veri (m.6) |
|---|---|---|
| Kanunlarda açıkça öngörülme | Var (a) | Var |
| Hayatın veya beden bütünlüğünün korunması | Var (b) | Var |
| Sözleşmenin kurulması veya ifası | Var (c) | YOK |
| Hukuki yükümlülük | Var (ç) — genel | Yalnız istihdam, İSG, sosyal güvenlik, sosyal hizmet ve sosyal yardım alanlarında |
| Alenileştirme | Var (d) | Var — alenileştirme iradesine uygun olmak kaydıyla |
| Hakkın tesisi, kullanılması veya korunması | Var (e) | Var |
| Meşru menfaat | Var (f) | YOK |
| Sağlık amaçlı işleme (sır saklama yükümlüsü eliyle) | Ayrı şart yok | Var — amaç ve işleyen kişi bakımından sınırlı |
| Vakıf, dernek, sendika: üye ve mensuplara yönelik | Ayrı şart yok | Var — üçüncü kişilere açıklanmamak kaydıyla |
| Kurul’ca belirlenen yeterli önlemler | Aranmaz | HER HÂLDE ŞART |
İki uyarı. Birincisi: açık rıza, özel nitelikli veride teknik olarak bu listenin ilk bendidir, listenin dışında değil. Sayfanın onu yine çekirdeğe koymasının sebebi hukuki değil pratiktir — listedeki diğer bentlerden biri varsa rızaya gerek yoktur ve rızayla başlamak burada, genel veride olduğundan daha da pahalıya mal olur. İkincisi: 6. madde 2024 yılında 7499 sayılı Kanun ile yeniden yazıldı. Şart listesi ikinci fıkraya taşındı ve “yeterli önlemler” son fıkra oldu; 2024 öncesi kaynaklar aynı listeyi eski fıkra numaralarıyla anar. İki kaynağı yan yana koyduğunuzda birinin yanlış olduğunu düşünmeyin, tarihe bakın.
Neden son çare: yanlış dayanağın bedeli
Uygulamadaki hâkim hata rıza almamak değil, gerekmediği hâlde rıza almaktır. Görünüşte temkinli bir tercihtir — “ne olur ne olmaz, bir de rıza alalım”. Oysa m.5/2’deki şartlardan biri varken ayrıca rıza istemek ilgili kişiyi yanıltır: kendisine gerçek olmayan bir seçim sunulmuş olur. Bedeli üç yerden çıkar:
-
1
Rıza geri alındığında sıkışırsınız
İşleme aslında zorunluydu ama siz onu geri alınabilir bir beyana bağladınız. Geri alma geldiğinde ya durursunuz (yükümlülüğü ihlal edersiniz) ya devam edersiniz (kendi söylediğiniz dayanağı çiğnersiniz). Üçüncü bir yol yoktur.
-
2
Rıza baştan geçersiz sayılabilir
Sunulan seçim gerçek değilse rıza özgür iradeye dayanmaz ve geçersizdir. Elinizde geçersiz bir rıza kalır; doğru dayanağı sonradan göstermek ise ilgili kişiye baştan yanlış bilgi verdiğinizi kabul etmek anlamına gelir.
-
3
Aydınlatma metniniz yanlış olur
Aydınlatma metni işlemenin hukuki sebebini bildirir (m.10). Rızayı dayanak olarak gösteren bir metin, gerçekte hukuki yükümlülüğe dayanan bir işleme için yanlış beyandır ve bu, ayrı bir aykırılıktır.
Aynı mantık yurt dışına aktarımda da işler. KVKK m.9, aktarım için önce yeterlilik kararını, sonra uygun güvenceleri (standart sözleşme, bağlayıcı şirket kuralları, taahhütname ve benzeri yolları) sayar; açık rızaya dayanan aktarım ise arızi hâller arasında, muhtemel riskler hakkında bilgilendirme şartıyla yer alır. Sürekli ve yapısal bir aktarımı geri alınabilir bir beyana bağlamak, ilk geri alma bildiriminde duracak bir sistem kurmak demektir.
Son olarak: açık rıza bir yedek dayanak olarak eklenemez. Aynı işleme için aynı anda iki şart gösterilemez; hangi faaliyetin hangi şarta dayandığı veri işleme envanterinde tek tek belirlenir. Halka daraltıcının işi de budur — kutucuk eklemek değil, çoğu zaman onu kaldırmak.
Sık sorulan sorular
Açık rıza nedir?
Her kişisel veri işleme için açık rıza gerekir mi?
Açık rıza geri alınabilir mi? Geri alınırsa ne olur?
Hizmetin verilmesi açık rıza şartına bağlanabilir mi?
Çalışandan açık rıza alınabilir mi?
Aydınlatma metni ile açık rıza metni tek bir belgede birleştirilebilir mi?
Açık rızayı kim ispatlar?
Sessiz kalmak ya da önceden işaretlenmiş kutucuk açık rıza sayılır mı?
Özel nitelikli kişisel verilerde açık rızanın şartları farklı mı?
On sekiz yaşından küçüklerin açık rızası nasıl alınır?
Açık rıza ne kadar süreyle geçerlidir?
Kaynaklar ve dayanak
- 6698 sayılı Kişisel Verilerin Korunması Kanunu m.3, m.5, m.6, m.7, m.9, m.10 ve m.11 — Açık rızanın tanımı, işleme şartları, özel nitelikli veriler, silme, yurt dışına aktarım, aydınlatma yükümlülüğü ve ilgili kişinin hakları
- 4857 sayılı İş Kanunu m.75 — İşçi özlük dosyası — çalışan verilerinde rıza yerine hukuki yükümlülük dayanağının kaynağı
- 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu — Sigortalı bildirim ve kayıt yükümlülükleri; istihdam alanındaki hukuki yükümlülük örnekleri
- 4721 sayılı Türk Medeni Kanunu m.6, m.16 ve m.23-24 — İspat yükü, ayırt etme gücüne sahip küçüğün kişiye sıkı sıkıya bağlı hakları, kişilik hakkı
- 6100 sayılı Hukuk Muhakemeleri Kanunu m.190 — İspat yükünün dağılımı — rızaya dayandığını iddia eden veri sorumlusu ispatla yükümlüdür
Son güncelleme: 29 Ağustos 2026. Mevzuat değişebilir; kritik bir karar öncesi yürürlükteki metni kaynağından doğrulayın.
Dayanağı tek tek belirlemek dosya işidir
Korinsa, sözleşme ve uyum dosyalarınızı tek yerde toplar: aydınlatma ve rıza metinlerinin sürümlerini saklar, iki sürüm arasındaki madde farkını gösterir ve belgeyi kimin ne zaman gördüğünü kayıt altına alır.