Kanunun madde 3 hükmü açık rızayı üç unsurla tanımlar: belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza. Üçünden biri eksikse ortada geçerli bir açık rıza yoktur.
İlk unsurun somut bir sonucu var: belirli bir konuyla sınırlandırılmayan, genel nitelikteki rızalar — Kurum'un deyişiyle battaniye rızalar — hukuken geçersiz sayılıyor. “Tüm kişisel verilerimin her türlü amaçla işlenmesine izin veriyorum” tarzı bir onay bu kapsamda.
Açık Rıza Her Zaman Gerekli Değil
Yaygın bir yanlış, kişisel veri işlemek için her durumda rıza alınması gerektiğini sanmak. Kanunun madde 5 hükmü, rıza aranmaksızın veri işlenebilecek altı hâli sayar: kanunlarda açıkça öngörülmesi; fiilî imkânsızlık nedeniyle rızasını açıklayamayacak durumdaki kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olması; bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması; veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması; ilgili kişinin kendisi tarafından alenileştirilmiş olması; bir hakkın tesisi, kullanılması veya korunması için zorunlu olması; ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için zorunlu olması.
Bunun pratik anlamı şu: bir alışveriş sözleşmesinin ifası için adres bilgisinin işlenmesine ayrıca rıza alınmasına gerek yoktur. Gereksiz yere rıza istemek, rızayı geçersiz kılma riskini de beraberinde getirir.
Hizmetin Şartı Yapılamaz
Kurum'un açık rıza rehberi bu noktada net bir ifade kullanıyor: açık rızanın alınması bir ürün veya hizmetin sunulmasının ya da hizmetten yararlandırılmasının ön şartı olarak ileri sürülemez; açık rıza herhangi bir hizmet şartına bağlanamaz. Gerekçe tanımın kendisinde: ön şart hâline getirilen bir rıza özgür iradeye dayanmaz.
Aynı rehber işçi-işveren ilişkisine ayrı bir not düşüyor: çalışana rıza göstermeme imkânının etkin biçimde sunulmadığı ya da rıza göstermemenin çalışan açısından olumsuz bir sonuç doğuracağı durumlarda rızanın özgür iradeye dayandığı kabul edilemez.
Geri Alınabilir
Açık rıza verildikten sonra geri alınabilir. Kanunda bunu düzenleyen ayrı bir madde yok; dayanak Kurum'un açıklaması: açık rıza vermek kişiye sıkı sıkıya bağlı bir hak olduğundan verilen rıza geri alınabilir ve kişisel verilerin geleceğini belirleme hakkı ilgili kişiye aittir.
Geri almanın bir sınırı var: işlem ileriye yönelik sonuç doğurur. Geri alma beyanı veri sorumlusuna ulaştığı andan itibaren hüküm ifade eder ve rızaya dayalı faaliyetler o andan itibaren durdurulur; geçmişe dönük olarak işlemleri hükümsüz kılmaz.
Şekil ve İspat
Diğer mevzuattaki düzenlemeler saklı kalmak üzere açık rızanın yazılı alınması zorunlu değil; elektronik ortam ve çağrı merkezi gibi yollarla da alınabilir. Buna karşılık ispat yükü veri sorumlusundadır; yani rızanın alındığını kanıtlamak zorunda olan taraf kuruluştur.
Kanunun madde 6 hükmü, özel nitelikli kişisel veriler için ayrı bir rejim kurar ve bu rejim 2024 yılında 7499 sayılı Kanun'la değiştirildi: maddenin ikinci fıkrası yürürlükten kaldırıldı, üçüncü fıkrası yeniden yazıldı ve işleme şartları tek bir listede toplandı. Bu değişiklikten sonra açık rıza, özel nitelikli verilerde tek yol değil, listedeki şartlardan yalnızca biridir. Yukarıdaki hükümler 11 Kasım 2026 tarihinde kanunun güncel metninden ve Kurum yayınlarından kontrol edildi.
Bu Sayfada Ne Yok?
- Hazır rıza metni şablonu yok. Genel nitelikteki rızalar geçersiz sayıldığı için şablon vermek yanıltıcı olurdu.
- Özel nitelikli veri kategorilerinin tek tek listesi yok. Yayın ilkelerimiz gereği bu nitelikler sayfalarımızda sayılmıyor; kanunun kullandığı kategori adı kullanıldı.
- 2024 öncesi madde 6 metninin alıntısı yok. Mülga fıkranın birebir lafzı birincil kaynaktan teyit edilemedi.
- İdari para cezası tutarı yok.
- Yurt dışına veri aktarımında rızanın rolü yok. O rejim 2024'te tümden değişti ve ayrı bir konudur.
- Somut olaya ilişkin değerlendirme yok.
- Kişisel ölçü ve inanç bilgileri yok. Yayın ilkelerimiz gereği hiçbir kişi için yazılmaz.
Sık Sorulan Sorular
Açık rıza tam olarak nedir?
Kanun üç unsur sayar: belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması. Üçünden biri eksikse geçerli rıza yoktur.
Her veri işleme için rıza gerekir mi?
Gerekmez. Kanun madde 5, rıza aranmaksızın işlemeye imkân veren hâlleri sayar; sözleşmenin ifası ve hukuki yükümlülük bunlar arasında.
Bir hizmet rıza şartına bağlanabilir mi?
Bağlanamaz. Kurum'un rehberi açık rızanın hizmet şartına bağlanamayacağını belirtir; ön şart hâline getirilen rıza özgür iradeye dayanmaz.
Verdiğim rızayı geri alabilir miyim?
Alabilirsiniz. Geri alma beyanı veri sorumlusuna ulaştığı andan itibaren hüküm doğurur ve ileriye yönelik sonuç verir.
Rızanın yazılı olması şart mı?
Şart değil; elektronik ortam ve çağrı merkezi gibi yollarla da alınabilir. Ancak alındığını ispat yükü veri sorumlusundadır.
“Tüm verilerimin işlenmesini kabul ediyorum” şeklinde bir onay geçerli mi?
Geçerli sayılmıyor. Belirli bir konuyla sınırlandırılmayan genel nitelikteki rızalar hukuken geçersiz kabul ediliyor.
Kaynak: 6698 sayılı Kişisel Verilerin Korunması Kanunu madde 3, madde 5 ve madde 6; hizmet şartı, geri alma ve şekil konuları Kişisel Verileri Koruma Kurumu’nun açık rıza açıklamaları ve Kurum’un Açık Rıza rehberinden alındı; madde 6 değişikliği 7499 sayılı Kanun (Resmî Gazete 12/3/2024-32487) ile yapılmıştır. Son kontrol: 11 Kasım 2026.
Yorumlar (0)
Henüz yorum yok. İlk yorumu siz yapın.