6698 Sayılı Kişisel Verilerin Korunması Kanunu’na göre kişisel verileri işlenecek olan her gerçek kişinin kanuna uygun şekilde aydınlatılması ve açık rızasının alınması gerekmektedir.
Aydınlatma metni ve açık rıza alma konusunda şekil olarak herhangi bir sınırlandırma getirilmemiş; ancak bunların zorunlu olarak içermesi gereken bazı bilgiler olduğunun altı çizilmiştir. Bu bilgiler Kişisel Verileri Koruma Kurumu tarafından hazırlanan rehberlerde ve tebliğlerde daha detaylı olarak açıklanmıştır.
Buna göre, kişisel veri işleme faaliyetinden önce mutlaka ilgili kişiler aydınlatılmalıdır. Bu, yazılı/sözlü veya görsel/işitsel yöntemlerle yapılabilir. Her ne yöntemle alınıyor olursa olsun aydınlatma yapılırken ilgili kişilere aktarılması gereken bazı bilgiler olduğundan bahsetmiştik. 6698 Sayılı Kişisel Verilerin Korunması Kanununa göre bir aydınlatmada mutlaka kişisel verilerin hangi amaçla işleneceği, kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel verileri toplamanın yöntemi ve hukuki sebebi ve son olarak ilgili kişilerin 6698 Sayılı Kanun’un 11. Maddesinde sayılan haklarının yer alması gerekmektedir.
İlgili kişilerden açık rıza alınırken kişi söz konusu kişisel verisinin işlenmesinin yalnızca kendi hür iradesiyle vereceği rızaya bağlı olduğunu anlamalıdır. Açık rıza alınırken, verecekleri açık rıza neticesinde hangi kişisel verilerinin ne amaçla ve hangi hukuki sebebe dayanılarak işleneceği açıklanmalıdır.
Aydınlatma yükümlülüğünün yerine getirilmesi her hâlükârda veri sorumluları için zorunluyken açık rıza alınması konusunda 6698 Sayılı Kanun’da bazı kurallar ve istisnalar sayılmıştır. Kişisel veriler; kanunlarda açıkça öngörülmesi, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, ilgili kişinin kendisi tarafından alenileştirilmiş olması gibi durumlarda veri sorumluları ilgili kişinin açık rızasını almadan ilgili kişiye ait kişisel veriyi işleyebilir. Burada önemli olan nokta yalnızca kanunda sayılan şartları sağlayan kişisel veri için bu istisnanın geçerli olduğudur. Örneğin 4857 sayılı İş Kanunu’na göre işçilerin özlük dosyasında bulunması zorunlu olan kimlik bilgileri kanunlarda açıkça öngörülmesi işleme şartına dayalı olarak işlendiği takdirde ilgili kişiden açık rıza alınması gerekmemektedir.
İlgili kişilerden açık rıza alınmasının belli unsurları vardır. Bu unsurlar temel alınarak bir açık rıza, belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanıyor olmalı ve en önemlisi de özgür iradeyle açıklanıyor olmalı. İlgili kişilerin bir hizmetten faydalanabilmeleri için açık rıza vermeleri zorunlu kılınmışsa, verilen bu açık rızanın kişinin özgür iradesiyle açıklandığını söyleyemeyiz. Bu durumda da açık rıza geçersiz sayılır ve veri sorumlusu KVKK’ya aykırı bir şekilde kişisel veri işlemiş olur.
