Açık rıza her zaman en güvenli değil; veri sahibi rızayı geri çekebilir. Meşru menfaat, sözleşmesel zorunluluk gibi alternatifler genellikle daha sağlam.
KVKK m.5 ve 6 hukuki sebepler
- Açık rıza.
- Kanunlarda açıkça öngörülmesi.
- Sözleşmenin kurulması veya ifası için zorunluluk.
- Veri sorumlusunun hukuki yükümlülüğü.
- Veri sahibinin kendi tarafından alenileştirilmiş olması.
- Bir hakkın tesisi, kullanılması veya korunması.
- Meşru menfaat (kişisel veriler için; özel nitelikli veriler için yok).
Açık rıza ne zaman gerek?
- Pazarlama amaçlı iletişim (SMS, e-posta).
- Profil çıkarma, hedefli reklam.
- Çerez (analitik / pazarlama).
- Üçüncü taraflara tanıtım amaçlı paylaşım.
- Yurt dışına aktarım (alternatif yoksa).
Meşru menfaat ne zaman?
- Bilgi güvenliği (log, SIEM).
- İşletme istihbarat (anonim trafik analizi).
- Sahtecilik tespiti.
- İç kontrol.
- Hak savunması.
"Balancing test" — denge testi
- Şirket menfaati nedir?
- Veri sahibi açısından beklenen mi?
- Daha az müdahaleci alternatif var mı?
- Müdahale orantılı mı?
- Belge halinde test sonucu saklanmalı.
Sıkça sorulan sorular
CRM kullanıyoruz, müşteri verileri için açık rıza alalım mı?
Sözleşme ifası için zorunluysa hayır; "ürün/hizmet ilişkisi" hukuki sebep yeterli. Pazarlama için ek açık rıza ayrı modül.
İK'da çalışan verisi için ne kullanmalı?
İş Kanunu + Sosyal Güvenlik mevzuatı kapsamı: hukuki yükümlülük. Performans değerlendirme: meşru menfaat (balancing test ile). Sağlık verisi: özel nitelikli, ek koruma.
Açık rıza geri çekilirse ne olur?
Geri çekme tarihinden sonra işleme durdurulur. Ancak meşru menfaat / sözleşme ifası gibi farklı sebep varsa o devam edebilir. Bu nedenle çoklu sebep belgeleme önerilir.
Çerez rızası web sitesinde nasıl alınmalı?
"Reddet" en az "Kabul Et" kadar görünür; ön işaretli kutular geçersiz; pazarlama çerezi opt-in. Detay: KVKK Çerez Rehberi 2022.
Hukuki sebep değişikliği yapılabilir mi?
Evet, ancak veri sahibine bildirim + aydınlatma metni güncelleme + bazı durumlarda yeni rıza. Sebep "açık rıza"dan "meşru menfaat"e taşınırsa balancing test belgesi şart.
İlgili mevzuat
- 6698 sayılı KVKK m.12 — Veri güvenliği yükümlülüğü; ihlal bildirimi (m.12/5).
- 6698 sayılı KVKK m.14 — Tazminat hakkı.
- 6698 sayılı KVKK m.18 — İdari para cezası (5 milyon TL'ye kadar).
- GDPR Art. 33-34 — AB sınır ötesi aktarımda 72 saat ihlal bildirimi.
- TCK m.135-136 — Kişisel verilerin hukuka aykırı kaydedilmesi/yayılması.