Kişisel Verileri Koruma Kurulu’nun Açık Rıza ve Aydınlatma Metinlerinin Ayrı Düzenlenmesine İlişkin İlke Kararı
Kişisel verilerin işlenmesi sürecinde veri sorumlularının en temel yükümlülüklerinden biri, ilgili kişileri aydınlatmak ve gerekli hallerde açık rıza almaktır. Uygulamada ise aydınlatma metinleri ile açık rıza beyanlarının çoğu zaman iç içe geçirilerek tek bir metin halinde sunulduğu görülmektedir.
Kişisel Verileri Koruma Kurulu (“Kurul”), bu uygulamanın yaygınlığı ve yol açtığı hukuka aykırılıklar nedeniyle, veri sorumluları tarafından açık rıza metni ile aydınlatma metninin ayrı ayrı düzenlenmesi gerektiğine ilişkin bir İlke Kararı kabul etmiştir.
6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında aydınlatma yükümlülüğü, Kanun’un 10. maddesinde düzenlenmiş olup veri sorumlusunun ilgili kişilere belirli bilgileri sunmasını zorunlu kılmaktadır. Açık rıza ise kişisel verilerin işlenmesine ilişkin hukuki sebeplerden biri olup, belirli, bilgilendirmeye dayalı ve özgür iradeyle açıklanan rıza olarak tanımlanmaktadır. Kurul, söz konusu iki yükümlülüğün nitelik itibarıyla farklı hukuki fonksiyonlara sahip olduğunu ve bu nedenle aynı metin içerisinde sunulmasının hukuka uygun olmadığını değerlendirmiştir.
İlke Kararı Kapsamında Getirilen Temel Esaslar
Kurul tarafından alınan İlke Kararı uyarınca veri sorumlularının aşağıdaki hususlara dikkat etmesi gerekmektedir:
1. Aydınlatma ve Açık Rıza Süreçlerinin Ayrıştırılması: Aydınlatma yükümlülüğü, herhangi bir açık rıza şartına bağlı olmaksızın yerine getirilmelidir. Açık rıza alınması gereken durumlarda, aydınlatma ve açık rıza süreçleri birbirinden bağımsız şekilde yürütülmelidir.
2. Metinlerin Ayrı Ayrı Düzenlenmesi: Aydınlatma metni ile açık rıza metni farklı başlıklar altında ve ayrı metinler olarak hazırlanmalıdır. Her iki metnin aynı sayfada yer alması halinde dahi, metinlerin açıkça ayrıştırılması ve farklı beyanlar içermesi gerekmektedir.
3. Açık Rızanın Şarta Bağlanmaması: Açık rıza, bir hizmetin sunulmasının ön koşulu haline getirilemez. Açık rıza alınması gereken hallerde, ilgili kişilere gerçek anlamda seçim imkânı tanınmalıdır.
4. Aydınlatma Metinlerinin Niteliği: Aydınlatma metinleri açık, anlaşılır ve sade bir dil ile hazırlanmalı, genel ve muğlak ifadelerden kaçınılmalı, yanıltıcı veya eksik bilgi içermemelidir. Ayrıca metinlerde işlenen veri kategorileri, işleme amacı, hukuki sebep açık ve net şekilde belirtilmelidir.
5. Açık Rızanın Ayrı Bir Beyan Olarak Alınması: Açık rıza, “okudum, anladım” gibi ifadelerle dolaylı şekilde değil,ayrı ve açık bir irade beyanı ile alınmalıdır.
6. Tek Metin Uygulamasına İlişkin Değerlendirme: Kurul, özellikle uygulamada sıkça karşılaşılan aydınlatma ve açık rızanın aynı metin içerisinde yer aldığı ve/veya metin sonunda genel bir onay kutusu ile her iki sürecin birlikte kabul ettirildiği uygulamaların hukuka uygun olmadığına işaret etmiştir.
Sonuç
Söz konusu İlke Kararı, veri sorumlularının kişisel veri işleme süreçlerinde kullandıkları metinlerin yapısını doğrudan etkileyen niteliktedir. Bu kapsamda özellikle internet siteleri, mobil uygulamalar, üyelik ve satış süreçleri ile insan kaynakları uygulamalarında kullanılan aydınlatma ve açık rıza metinlerinin gözden geçirilmesi gerekmektedir. Aydınlatma yükümlülüğünün açık rızadan bağımsız şekilde yerine getirilmesi, açık rıza alınması gereken hallerde ise ilgili kişilere gerçek anlamda bir seçim imkânı tanınacak şekilde ayrı bir mekanizma kurulması önem arz etmektedir.
Bu çerçevede veri sorumlularının mevcut uygulamalarını Kurul’un belirlediği ilke ve esaslar doğrultusunda yeniden yapılandırmaları, hem KVKK’ya uyumun sağlanması hem de olası idari yaptırımların önüne geçilmesi bakımından kritik niteliktedir. İlke Kararı, aydınlatma yükümlülüğü ile açık rıza mekanizmasının birbirinden ayrılması gerektiğini açık şekilde ortaya koymakta olup, veri sorumlularının bu ayrımı hem metin düzeyinde hem de süreç yönetimi bakımından titizlikle gözetmeleri gerekmektedir.
Asist Hukuk Bürosu
