Öncelikle açık rıza diğer hukuka uygunluk hallerine göre bir üstünlüğü bulunmamaktadır. Hatta önce diğer hukuka uygunluk hallerine bakılmalı eğer bir uygunluk hali mevcut değilse o zaman Açık Rıza yöntemine başvurulmalıdır.
1- Açık Rıza Tüm Kişisel Veri İşleme Faaliyetlerini Kapsayacak Şekilde Alınabilir Mi?
Belirli bir konu ile sınırlandırılmayan ve ilgili işlemle sınırlı olmayan genel nitelikteki açık rızalar “Şemsiye rızalar” hukuken geçersizdir.
2- Açık Rızanın Alınmasında Herhangi Bir Şekil Şartı Var mıdır?
Açık rızanın açıklanması herhangi bir şekil şartına tabi değildir. Açık rızanın alındığı konusundaki ispat yükü veri sorumlusuna aittir. Bu sebeple veri sorumlusu olan şirketler ilgili kişiden her sayfası ıslak imzalı olacak şekilde açık rıza beyanı almalıdır.
Uygulamada bazı şirketler açık rıza onayını sms sistemi üzerinden almaktadır. Herhangi bir şekil şartı olmadığı için şirketler konunun özünü kaçırmadan farklı yollar ile çalışan adayından, çalışanından, müşterisinden, hizmet aldığı 3. Kişilerden açık rıza beyanını alabilir. Bu nokta da dikkat edilmesi gereken ispat yükünün veri sorumlusunda olduğunu unutmamaktır.
3- Açık Rıza Geri Alınabilir Mi?
Açık rıza geri alınabilir. Ancak açık rızayı geri alma işlemi ileriye dönük etkilidir.
4- Açık Rıza, Herhangi Bir Ürün Ve/ Veya Hizmetin Sunumunun (Ya Da Herhangi Bir Üründen Ve/Veya Hizmetten Yararlandırmanın) Ön Şartı Yapılabilir Mi?
Açık rıza kesinlikle şarta bağlanamaz. Açık rızanın şarta bağlanması, açık rızanın unsurlarından özgür irade ile açıklanması unsuruna aykırıdır. Herhangi bir ürün ve/veya hizmetin sunumu (ya da herhangi bir üründen ve/veya hizmetten yararlandırılması) ilgili kişi tarafından açık rıza verilmesi şartına bağlanamaz.
Açık Rızanın bir hizmet veya üründen yararlanılması şartına bağlanamayacağına dair Kişisel Verileri Koruma Kurulu Kararı aşağıdadır.
Karar Tarihi : 25/03/2019 ve 31/05/2019
Karar No : 2019/81 ve 2019/165
Konu Özeti : Spor salonu hizmeti sunan veri sorumlularının, üyelerinin giriş-çıkış kontrolünü biyometrik veri işleyerek yapması ile ilgili Kurul Kararları
Spor salonu hizmeti sunan iki ayrı şirketin (veri sorumluları), üyelerinin giriş-çıkış kontrolünde el-avuç okutma sistemine geçilmesi, kaydı tutulan üyelere ait vesikalık fotoğraf, son ziyaret saati gibi bilgilerin herkesin görebileceği bir TV ekranında yansıtılması gibi biyometrik verileri de içeren bazı özel nitelikli kişisel verileri işlemesi ve bu bilgilerin güvenli şekilde muhafaza edildiğinden şüphe duyulması üzerine ilgili kişilerce Kuruma intikal ettirilen muhtelif ihbar ve şikâyetlerin incelenmesi neticesinde yapılan değerlendirmede:
…Herhangi bir ürün ve/veya hizmetin sunumunun, açık rıza verme ön şartına bağlanmaması gerektiği ve eğer yapılan seçimin sonuçları, kişisel veri sahibinin seçim özgürlüğünü etki altında bırakıyorsa, bu durumda rızanın özgürce verildiğini söylemenin mümkün bulunmadığı dikkate alındığında bahse konu somut olayda, üyelere sunulan online üyelik sözleşmesinde, özel nitelikli kişisel veri olan avuç içi izinin alınmasına onay verilmesinin sözleşmenin kurulması için zorunlu bir şart olarak sunulduğu ve kurala uyulmaması halinde firmaya fesih hakkı tanınmış olduğu hususları birlikte değerlendirildiğinde üyelerin kulüplere girişlerde avuç içi izi bilgilerinin alınmasına rıza göstermemeleri halinde söz konusu hizmetten yararlanamayacakları dikkate alındığında, üyeler tarafından verilen açık rızaların özgür iradeye dayalı olduğunu söylemenin mümkün bulunmadığı bu kapsamda veri sorumlusu tarafından hizmetin sunulmasının açık rıza şartına bağlandığının değerlendirildiği,
bu itibarla ilgili veri sorumluları hakkında,
Spor kulübünde giriş çıkış kontrolünün yapılabilmesi ve kulüp hizmetlerinden faydalanmak isteyen kişilere ilişkin… Avuç içi izi verisinin işlenmesi için kişilerden açık rızalarının alınması yoluna gidildiği ancak açık rıza verilmemesi durumunda kulüp hizmetlerinden yararlanamadıkları dikkate alındığında üyelerden alınan açık rızanın Kanunun 12 nci maddesinin (1) numaralı fıkrasının (a) bendine aykırılık teşkil etmesi nedeniyle Kanunun 18 inci maddesinin (1) numaralı fıkrasının (b) bendi kapsamında idari para cezası uygulanmasına karar verilmiştir.
Kanunun Yayımından Önce Alınan Rızalar, Hangi Şartlarda Kanuna Uygun Kabul Edilecektir?
Kanunun Geçici 1. maddesinin 3. fıkrası uyarınca Kanunun yayımı tarihinden önce hukuka uygun olarak alınmış rızalar, bir yıl içinde aksine bir irade beyanında bulunulmaması halinde bu Kanuna uygun kabul edilir. Dolayısıyla Kanunun yayımı tarihinden önce alınan rızanın Kanuna uygun kabul edilebilmesi için genel hukuk kurallarına uygun olması ve bir yıl içinde aksine bir irade beyanında bulunulmamış olması gerekmektedir.
Kanunun Yürürlüğe Girmesinden Önce İşlenen Kişisel Veriler Hakkında Ne Gibi Bir İşlem Yapılacaktır?
Kanunun Geçici 1. maddesi uyarınca, Kanunun yayımı tarihinden önce işlenmiş olan kişisel veriler, bu tarihten itibaren iki yıl içinde Kanun hükümlerine uygun hâle getirilir. Kanun hükümlerine aykırı olduğu tespit edilen kişisel veriler derhâl silinir, yok edilir veya anonim hâle getirilir.
Bu hüküm uyarınca veri sorumluları, Kanunun yayımı tarihinden önce toplamış olduğu kişisel verilere dayalı olarak gerçekleştirdiği kişisel veri işleme faaliyetlerini bu Kanunun yayımı tarihinden itibaren 2 yıl içerisinde Kanuna uyumlu hale getirmelidir. Bu çerçevede uyumlu hale getirilmesi gereken kişisel veri işleme faaliyetleri içerisinde Kanuna uyumsuzluğu tespit edilip uyumlu hale getirilmeyen faaliyetlerin işleme faaliyetleri durdurulmalıdır. Kanuna uyumsuz olan kişisel veri işleme faaliyetlerinin konusu olan kişisel veriler derhal silinmeli, yok edilmeli veya anonim hale getirilmelidir.
Fiziksel Olarak Tutulan Ve Veri Kayıt Sisteminin Bir Parçası Olmayan Kişisel Verilere, Kişisel Verilerin İşlenmesine İlişkin Hükümler Uygulanacak Mıdır?
Fiziksel olarak kayıt altına alınan ancak veri kayıt sisteminin parçası olmayan kişisel verilere Kanunun kişisel verilerin işlenmesine ilişkin hükümleri uygulanmaz.
Comments