23.07.2026
*Sema Çelebi, Merve Germeşik
6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK/Kanun”) uyarınca, kişisel verilerin işlenmesinde hukuka uygunluğu sağlayan en temel dayanaklardan biri açık rızadır. Bu bilgi notunda, açık rızanın ne olduğunu, hangi durumlarda ve neden alınması gerektiğini özetleyeceğiz.
Under the Personal Data Protection Law No. 6698, one of the most fundamental legal bases ensuring the lawfulness of personal data processing is explicit consent. In this legal brief, we will summarize what explicit consent is, under what circumstances it must be obtained, and why.
1. Açık Rıza Nedir?
Günümüzde yürürlükte olan AB Genel Veri Koruma Tüzüğünün (“GDPR”) temelini oluşturan 95/46 EC sayılı Avrupa Birliği Direktifi açık rızayı, veri sahibinin kendisiyle ilgili kişisel verilerin işlenmesine onay verdiğini belirttiği, özgürce verilmiş, belirli ve bilgilendirmeye dayanan her türlü irade beyanı olarak tanımlar. Türkiye'de yürürlükte olan 6698 Sayılı Kişisel Verilerin Korunması Kanunu, temel yapı olarak eski 95/46/EC sayılı Avrupa Birliği Direktifi esas alınarak hazırlanmıştır. Nitekim uygulamada ortaya çıkan ihtiyaçlar doğrultusunda yapılan revizyonlarla güncellenmeye ve şekillenmeye devam etmektedir. Kanun’un 3. maddesinde açık rıza; “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanmıştır. Bir rızanın KVKK kapsamında geçerli sayılabilmesi için şu üç unsuru aynı anda taşıması zorunludur:
· Belirli bir konuya ilişkin olması: Rıza metninin genel ve ucu açık ifadeler içermemesi, verinin hangi somut amaçla işleneceğini net bir şekilde ortaya koyması gerekir.
· Bilgilendirilmeye dayanması: Kişiye, verilerinin kim tarafından, hangi amaçla işleneceği, kimlere aktarılacağı ve haklarının neler olduğu rıza alınmadan önce aydınlatma yükümlülüğü kapsamında açıkça anlatılmalıdır.
· Özgür iradeyle açıklanması: Kişinin üzerinde herhangi bir baskı, korkutma veya yanıltma olmamalıdır. En önemlisi, açık rıza bir hizmetin veya sözleşmenin ön şartı haline getirilmemelidir. Örneğin “Bu kutucuğu işaretlemezseniz alışveriş yapamazsınız.” deniliyorsa, bu rıza özgür iradeyle verilmiş sayılmaz. “Açıklanma” unsuru da arandığından, kanunun lafzının örtülü rızayı kabul etmediğini söylemek mümkündür.
Bu unsurları taşıyan açık rıza, kişisel verilerin işlenebilmesinde bir hukuka uygunluk nedeni olarak karşımıza çıkar.
2. Açık Rıza Aranmasının Amacı
Açık rıza, özünde gelişen teknoloji karşısında bireyin özel hayatının gizliliğini korumak amacıyla ortaya çıkmış bir kavramdır. Nitekim Kanun’un amacı da “kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir.”
Tarihsel gelişime baktığımızda ülkemizde KVKK öncesinde 5237 Sayılı Türk Ceza Kanunu’nda verilerin hukuka aykırı kaydedilmesine ilişkin suçlar yer almakta veya 4721 Sayılı Türk Medeni Kanunu kapsamında kişilik hakları üzerinden dolaylı koruma sağlanmaktaydı. Ancak spesifik bir veri koruma kanunu yoktu. 2010 yılındaki Anayasa değişikliği ile Anayasanın “Özel Hayatın Gizliliği” başlıklı 20. Maddesine: “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.” fıkrası eklenmiştir.
Böylece kişisel verilerin korunması, anayasal düzeyde temel bir hak ve hürriyet olarak kabul edilmiş ve bu hakkın sınırlarının ancak kanunla çizilebileceği belirtilmiştir. Ek fıkrada öngörüldüğü üzere 7 Nisan 2016’da KVKK, Resmi Gazete’de yayımlanarak yürürlüğe girmiştir.
Bu doğrultuda açık rızanın, kişiye sıkı sıkıya bağlı bir hak olduğu ve veri sahibinin verdiği açık rızayı her zaman geri çekme hakkına sahip olduğu belirtilmelidir. Rıza geri çekildiği andan itibaren, o rızaya dayalı olarak yapılan veri işleme faaliyetinin derhal durdurulması gerekir. Geri alma durumunda o ana kadar gerçekleşmiş olan kişisel verilerin işlenmesi faaliyeti geçersiz olmaz ancak veri sorumlusu açısından muhafazaları için hukuki dayanaktan yoksun ise bu kişisel veriler silinmelidir.
3. Açık Rıza Hangi Durumlarda Alınır?
KVKK’ya göre asıl olan, kişisel verilerin açık rıza ile işlenmesidir (KVKK m.5/1). Ancak Kanun, açık rıza alınmasına gerek olmayan istisnai durumlar belirlemiştir. Kanunun 5. maddesinin 2. fıkrasına göre bu durumlar şu şekilde listelenir:
“a) Kanunlarda açıkça öngörülmesi. b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması. c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması. ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması. d) İlgili kişinin kendisi tarafından alenileştirilmiş olması. e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması. f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.”
Ancak yürütülen veri işleme faaliyeti bu istisnalardan hiçbirine girmiyorsa kişiden açık rıza alınması gerekmektedir. Kanun’da açık rızanın arandığı iki temel husus özel nitelikli kişisel verilerin işlenmesi ve kişisel verilerin aktarılmasıdır.
a) Özel Nitelikli Kişisel Verilerin İşlenmesi
KVKK m.6/1, özel nitelikli kişisel veriyi tanımlamıştır. Buna göre;
“Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.”
Özel nitelikli verilerin işlenmesi kural olarak yasaktır. Ancak Kanun’un 6. maddesinin 3. fıkrasında yer alan hukuki sebepler nedeniyle ilgili kişinin özel nitelikle verileri işlenebilmektedir. Nitekim ilgili kişinin açık rızasının alınması da Kanun tarafından sayılan sınırlı istisnalarının başında gelmektedir. Her ne kadar istisnai durumlarda özel nitelikli kişisel verilerin işlenmesine izin verilmişse de, aynı maddenin 4. fıkrası uyarınca Kurul Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması gerekmektedir.
b) Kişisel Verilerin Aktarılması
KVKK m.8/1 uyarınca toplanılan kişisel veriler, ilgili kişinin açık rızası olmadıkça yurtiçinde aktarılamayacaktır. Bunun istisnalarını ise yukarıda listenelenen kişisel veri işlenmesine ve özel nitelikli kişisel verilerin işlenmesine kanunun açıkça izin verdiği haller oluşturur. Özel nitelikli kişisel verilerin aktarılabilmesinin önşartı yeterli önlemlerin alınmış olmasıdır. Yurtdışına aktarım için ise Kanun’da sıkı şartlar öngörülmüştür. 2024’teki değişiklikten önce yurtdışına kişisel veri aktarımı ilgilinin açık rızasına bağlanmışken, değişiklik ile GDPR’ın 5. Bölümünde öngörülen kademeli veri aktarımı modeline uyumlanılmıştır. Bu durumu yukarıda bahsedilen reformlardan biri olarak nitelendirmek mümkündür.
Sonuç olarak;
·Açık rıza mekanizmasının özü, gelişen teknoloji ve dijitalleşen dünya karşısında bireyin özel hayatının gizliliğini korumak, kişilerin temel hak ve özgürlüklerinin ihlal edilmesini önlemektir.
·Bir rıza beyanının KVKK kapsamında kişisel verilerin işlenebilmesi için geçerli bir hukuka uygunluk nedeni oluşturabilmesi; rızanın belirli bir konuya ilişkin olmasına, bilgilendirilmeye dayanmasına ve özgür iradeyle açıklanmasına bağlıdır. Bu üç unsurun aynı anda bulunmaması rızayı geçersiz kılar.
·Kanunun lafzı uyarınca örtülü rıza geçerli kabul edilmemekle birlikte, açık rızanın bir hizmetin veya sözleşmenin ön şartı haline getirilmesi iradeyi sakatlayacağından rıza özgürce verilmiş sayılmaz.
·Ülkemizdeki KVKK altyapısı temel olarak eski 95/46/EC sayılı Avrupa Birliği Direktifi'ni esas alarak kurgulanmış olsa da günümüzde gerçekleştirilen reformlar vasıtasıyla yürürlükteki güncel AB Genel Veri Koruma Tüzüğü (GDPR) ile uyumlu hale getirilmektedir.
