KVKK'da kişisel veri işlemek için bir hukuki sebep gerekir. Açık rıza bu sebeplerden yalnızca biridir ve çoğu zaman en zayıf olanıdır.
Meşru menfaat ise rıza almadan veri işlemenizi sağlayan altı alternatif sebepten biridir. İkisini karıştırmak, uygulamada en sık görülen hatadır.
Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Kendi durumunuz için bir hukukçuya danışın.
Açık rıza nedir?
Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır.
Üç şartın hepsi birden gerekir. Biri eksikse rıza geçersizdir.
Belirli konuya ilişkin. "Verilerimin işlenmesini kabul ediyorum" gibi genel bir ifade geçersizdir. Hangi veri, hangi amaçla belirtilmelidir.
Bilgilendirmeye dayanan. Kişi neye onay verdiğini bilmelidir. Aydınlatma yapılmadan alınan rıza geçerli değildir.
Özgür iradeyle. Hizmet almanın rıza vermeye bağlanması özgür irade sayılmaz. Rıza vermezse hizmetten mahrum kalıyorsa, o rıza sakattır.
Ayrıca rıza her zaman geri alınabilir. Geri alındığında işlemeyi durdurmanız gerekir.
Meşru menfaat nedir?
Veri sorumlusunun meşru menfaati için veri işlenebilir; şu şartla: ilgili kişinin temel hak ve özgürlüklerine zarar vermemesi gerekir.
Bu bir denge testidir. Sizin menfaatiniz ile kişinin mahremiyeti tartılır.
Örnek: iş toplantısında size verilen kartviziti CRM'e kaydetmek. Ticari iletişimi sürdürmek meşru bir menfaattir ve kişinin beklentisiyle çelişmez.
Karşı örnek: aynı kartvizitteki e-postaya, kişi istemediği halde haftalık pazarlama bülteni göndermek. Burada denge kişinin aleyhine bozulur.
Hangisini seçmeli?
Mümkünse rıza dışındaki sebeplere dayanın.
Rıza kırılgandır: geri alınabilir, geçerliliği tartışılabilir, kaydını tutmak zorundasınız.
Sözleşmenin ifası, hukuki yükümlülük ya da meşru menfaat gibi sebepler daha sağlamdır.
Rıza yalnızca başka sebep bulunmadığında ve gerçekten seçim sunabildiğinizde kullanılmalıdır.
Kartvizit verilerinde pratik ayrım
Kartviziti rehbere kaydetmek: meşru menfaat. Kişi zaten iletişim kurulması amacıyla verdi.
Kişiye teklif için dönmek: meşru menfaat. Kartın veriliş amacıyla uyumlu.
Toplu pazarlama e-postası göndermek: ayrı bir onay gerekir. Ticari elektronik ileti mevzuatı da devreye girer.
Veriyi üçüncü tarafa satmak: hiçbir sebep örtmez. Yapmayın.
Sınırların ayrıntısı için kartvizit verileri ve KVKK yazımıza bakabilirsiniz.
Her iki halde de aydınlatma zorunlu
Sık yapılan hata, "meşru menfaate dayanıyorum, kişiye bir şey söylemem gerekmez" sanmaktır.
Aydınlatma yükümlülüğü hukuki sebepten bağımsızdır. Hangi sebebe dayanırsanız dayanın, kişiyi bilgilendirmek zorundasınız.
Aydınlatma metni nasıl hazırlanır yazımızda içeriğini anlattık.
Sık Sorulan Sorular
Her veri işleme için rıza almam gerekir mi?
Hayır. Rıza altı hukuki sebepten yalnızca biridir ve genelde son çare olarak kullanılmalıdır.
Rıza geri alınırsa ne olur?
İşlemeyi durdurmanız gerekir. Başka bir hukuki sebebe dayanamıyorsanız veriyi silmelisiniz.
Meşru menfaat için belge tutmalı mıyım?
Denge testini yazılı olarak yapmanız, denetim halinde savunmanızı güçlendirir.
Hizmet vermeyi rızaya bağlayabilir miyim?
Bağlayamazsınız. Bu, rızayı özgür irade olmaktan çıkarır ve geçersiz kılar.