Karardaki olay ve sonuç
Uçuş sırasında sunulan internet hizmetine giriş ekranında kullanıcıdan iki kutuyu onaylaması isteniyordu. Bunlardan biri, havayoluna verilen bilgilerin kullanıcı doğrulaması amacıyla ilgili makamlar ve internet servis sağlayıcıyla paylaşılmasını kabul ettiğine ilişkin ifadeydi. Bu kutu işaretlenmeden hizmete devam edilemiyordu.
Kurul, soyadı, koltuk veya bilet numarasıyla yapılan doğrulamanın hizmetin sunulması için gerekli olduğunu; somut olayda sözleşmenin kurulması veya ifası, hukuki yükümlülük ve bir hakkın tesisi/kullanılması gibi açık rıza dışındaki işleme şartlarına dayanıldığını değerlendirdi.
Bu durumda kullanıcıdan ayrıca açık rıza istenmesi, işleme faaliyetinin gerçekten tercihe bağlı olduğu izlenimini doğuruyordu. Kurul bunu hukuka ve dürüstlük kurallarına uygun olma ilkesine aykırı buldu ve internet servis sağlayıcı hakkında 90.000 TL idari para cezasına karar verdi.
Açık rıza son çare niteliğinde bir işleme şartıdır
Uygulamada “risk almayalım, her şey için rıza alalım” yaklaşımı yaygındır. Oysa açık rıza, Kanun’daki işleme şartlarından yalnızca biridir. Veri işleme sözleşmenin kurulması veya ifası için doğrudan gerekliyse, hukuki yükümlülük nedeniyle zorunluysa ya da başka bir işleme şartına dayanıyorsa süreci rıza üzerine kurmak doğru olmayabilir.
Rıza, kişi tarafından geri çekilebilir. Hizmetin sunulması için vazgeçilmez bir veri işleme faaliyeti geri çekilebilir bir onaya bağlanırsa, rıza geri çekildiğinde işletmenin ne yapacağı belirsizleşir. Ayrıca kullanıcı “hayır” diyemiyorsa rızanın özgür iradeyle verildiği de savunulamaz.
Doğru yöntem her amaç için önce hukuki sebep analizidir. Açık rıza ancak uygun başka bir işleme şartı bulunmayan, gerçekten seçimlik faaliyetler için kullanılmalıdır.
Arayüzde “kabul ediyorum” yazması hukuki sebep yaratmaz
Bir onay kutusunun varlığı, arkasındaki veri işleme faaliyetini kendiliğinden hukuka uygun hâle getirmez. Kutunun zorunlu olup olmadığı, metnin anlaşılır olup olmadığı, kullanıcıya gerçek bir alternatif sunulup sunulmadığı ve işleme faaliyetinin hangi şart altında yürütüldüğü birlikte değerlendirilir.
Hizmet için zorunlu işlem, son kullanıcı sözleşmesi ve aydınlatma metniyle şeffaf biçimde açıklanabilir. Gerçekten isteğe bağlı analitik, kişiselleştirme veya pazarlama gibi amaçlar ise ayrı seçimlerle yönetilmelidir. Bu ayrım aynı zamanda kullanıcı deneyimini sadeleştirir.
Entegrasyonda veri sorumlusu kim?
Kararda havayolu şirketi ile internet servis sağlayıcının iki ayrı veri sorumlusu olduğu sonucuna varıldı. Hizmet ve marka ortaklığı sözleşmesi bulunması, taraflardan birini otomatik olarak yalnızca veri işleyen hâline getirmedi. Her tarafın işleme amaçları, vasıtaları ve karar yetkisi fiilî durum üzerinden değerlendirildi.
Bu yaklaşım; ödeme kuruluşu entegrasyonu, sadakat programı, SaaS uygulaması, ortak kampanya, kargo, çağrı merkezi ve kimlik doğrulama servislerinde de önemlidir. Sözleşmede “veri işleyen” yazması tek başına yeterli değildir. Taraf kendi amacı için veri işliyor veya işleme vasıtaları üzerinde belirleyici karar alıyorsa veri sorumlusu rolü gündeme gelebilir.
Ürün ve hukuk ekipleri için tasarım kontrolü
Hukuki sebep analizi yalnızca politika dosyasında kalmamalı; ekran, API ve olay kayıtlarına yansımalıdır. Ürün ekibi hangi kutunun zorunlu, hangisinin seçimlik olduğunu ve reddin işlevsel sonucunu bilmelidir.
- Her veri alanını belirli bir amaç ve hukuki sebeple eşleştirin.
- Zorunlu işlemler için “açık rıza veriyorum” dilini kullanmayın.
- Seçimlik amaçları ayrı kutulara bölün ve önceden işaretlemeyin.
- Entegrasyon taraflarının veri sorumlusu/veri işleyen rollerini fiilî yetkilere göre test edin.
- Rıza geri çekildiğinde hangi işlemlerin duracağını teknik olarak tanımlayın.
- Ekran sürümlerini ve kullanıcının gördüğü metni kanıtlayacak kayıtları saklayın.
Sık sorulan sorular
Sözleşme için gerekli verilerde açık rıza alınmalı mı?
Veri işlemenin sözleşmenin kurulması veya ifasıyla doğrudan ilgili ve gerekli olması hâlinde Kanun’un 5/2-c bendindeki şart değerlendirilebilir. Somut hukuki sebep analizi yapılmadan ayrıca açık rıza istemek kullanıcıyı yanıltabilir.
Zorunlu onay kutusu açık rıza sayılır mı?
Kullanıcı hizmeti ancak kutuyu işaretleyerek alabiliyorsa rızanın özgür iradeyle verildiği tartışmalı hâle gelir. Gerçekten zorunlu veri işlemede uygun açık rıza dışı sebep kullanılmalı; seçimlik işlemler ayrı tutulmalıdır.
Sözleşmede veri işleyen yazması yeterli mi?
Hayır. Tarafların fiilen hangi amaç ve araçlar üzerinde karar verdiği incelenir. Sözleşme önemli bir kanıttır ancak gerçek işleyişle uyumlu olmalıdır.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; somut olaya ilişkin hukuki görüş yerine geçmez. Güncel metin ve kapsam için resmî karar özetini inceleyiniz.