Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında bilinmesi gereken en temel konulardan birisi de kişisel veri işleme şartlarının neler olduğudur. İşte bu kişisel veri işleme şartlarından en önemlisi ve en çok hata yapılanı açık rıza alınmasıdır. Peki, ama kişisel verinin işlenmesi için açık rıza aranmayan haller nelerdir?
Açık rıza nedir?
Açık rızanın geniş bir tanımını daha önce yapmış ve konuyu ayrıntısıyla izah etmiştim: https://mustafabaysal.com/acik-riza-kvkk/
Açık rıza; belirli bir konuya ilişkin, öncesinde yapılan bilgilendirmeye dayanarak yapılan bir özgür irade açıklamasıdır.
Kişisel veri işleme şartları
6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında yer alan bir veri sorumlusunun kişisel veriye ilişkin birçok sorumluluğu bulunsa da bunların başında kişisel veri işleme şartlarının varlığı gelir.
Kişisel veri işleme şartları; adından da anlaşılacağı üzere, bir kişisel verinin veri sorumlusu tarafından işlenebilmesi için varlığu muhakkak gereken bir şarttır.
Bir başka deyişle, kişisel veri işleme şartları mevcut değilse, o kişisel veri işlenmemelidir. Bu tıpkı, covid salgını nedeniyle aranan aşı olma şartına benzer. Bir kimsenin aşısı yoksa, bu kişi sinema salonuna giremeyecektir. Böyle olunca artık bu kişinin sinemada ne izleyeceğinin, ne yiyip içeceğinin ya da hangi koltuğa oturacağının bir önemi kalmaz.
Kişisel veri işleme şartları neler?
Bunları burada tek tek saymak istemezdim; çünkü daha önce de yazdım: https://mustafabaysal.com/kisisel-veri-isleme-sartlari/
Fakat açık rıza alınmasının gerek olmadığı durumları anlatabilmek için, önce kişisel veri işlemenin diğer şartlarını bilmek gerekir.
Şöyle ki; aşağıdaki haller, açık rıza haricindeki kişisel veri işleme halleridir:
Kanun’un 5/2 maddesi:
- Kanunlarda açıkça öngörülmesi
- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması
- Veri sorumlusunun hukuki yükümlülüğünü yerine getire-bilmesi için zorunlu olması
- İlgili kişinin kendisi tarafından alenileştirilmiş olması
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması
Kanun’un 6/3 maddesi
- Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri; kanunlarda öngörülen hallerde işlenebilir.
- Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.
Açık rıza alınması gerekmeyen haller
İşte yukarıda sayılan ve Kanun’un 5/2 ve 6/3 maddelerinde belirtilen hallerden herhangi birisinin var olması durumunda, artık açık rıza alınması GEREKMEZ. Bir başka deyişle; açık rıza alınması gerekmeyen haller yukarıda tek tek sayılan hallerden ibarettir.
Açık rıza alınması gereken haller
Yukarıda saydığım ve Kanun’un 5/2 ile 6/3 maddesinde yer alan şartların var olmaması durumunda, artık açık rıza alınması gerekir.
Hatta demeliyim ki; açık rıza alınmasının ilk şartı, diğer veri işleme şartlarının herhangi birisinin var olmamasıdır. 5/2 ve 6/3 şartlarından herhangi birinin varlığı halinde açık rıza alınmasının gerekmemesi bir yana, bu durumda çık rıza kesinlikle ALINMAMALIDIR.
Bu durum Kişisel Verileri Koruma Kurumu tarafından şöyle ifade edilmiştir:
“Ancak belirtmek gerekir ki; açık rıza dışındaki veri işleme şartlarından biri varken ayrıca ilgili kişiden açık rıza alınması, ilgili kişinin yanıltılması ve yanlış yönlendirilmesi sonucunu doğurabilecektir. Bu nedenle, öncelikle veri sorumlusu tarafından kişisel veri işleme faaliyetinin açık rıza dışındaki işleme şartlarından birine dayanıp dayanmadığı değerlendirilmeli, açık rıza dışında bir veri işleme şartı söz konusu değilse veri işleme faaliyetini gerçekleştirebilmek için ilgili kişinin açık rızasının alınması yoluna gidilmelidir.” (https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/d077b665-66b6-4615-975a-249f93e084ba.pdf)
SONUÇ
Açık rıza aranmayan haller hangileridir? Bu sorunun cevabı, bilindik cevaplardan farklı olacak ve şu şekilde verilecektir:
“6698 sayılı Kanun’un 5/2 ve 6/3 maddelerinde sayılan kişisel veri işleme şartları mevcutsa, açık rıza aranmayacak demektir. Bir başka deyişle; açık rıza aranmayan haller, 5/2 ve 6/3 maddelerinde sayılan hallerdir.”.
Bir kişisel verinin işlenmesi için açık rıza alınması, başvurulması gereken SON çare olmalıdır. Halbûki uygulamada aksine, bilinçsiz veri sorumluları her kişisel veri için açık rıza alma yoluna gitmektedir.
Açık rıza aranmayan haller var olduğu müddetçe, açık rıza alınması yasal olmayacak ve kişisel veri işleme faaliyetini en baştan sakatlayacaktır.
