KVKK HAKKINDA DOĞRU BİLİNEN YANLIŞLAR

 

• Bir kişisel veri işleme faaliyeti Kanunda öngörülen birden fazla işleme şartına dayanılarak gerçekleştirilebilir mi?

  Kişisel veri işleme faaliyeti gerçekleştirilirken birden fazla kişisel veri işleme şartı bulunabilir. Açık rıza dışındaki veri işleme şartlarından biri varken ayrıca ilgili kişiden açık rıza alınması, ilgili kişinin yanıltılması ve yanlış yönlendirilmesi anlamına geleceğinden kişisel veri işleme faaliyeti açık rıza işleme şartı ile birlikte diğer işleme şartlarına dayanılarak gerçekleştirilemeyecektir. Örneğin, işveren tarafından maaş bordrosu düzenlemek amacıyla çalışanların kişisel verilerinin işlenmesi, kişisel veri işleme şartlarından “Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması” ve “Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması” şartına dayanılarak gerçekleştirilebilir.  

• Açık rızaya dayanılarak işlenen kişisel verilerin ilk işleme amacından farklı bir amaçla kullanılabilmesi için yeniden açık rıza alınmalı mıdır?

  İlgili kişi tarafından verilen açık rıza yalnızca ilk işleme faaliyeti öncesinde belirtilen amaçlar için verilmiş sayılmaktadır. Yeni amaçlar kapsamında gerçekleştirilecek kişisel veri işleme faaliyetleri için açık rızanın yeniden alınması gerekmektedir. Örneğin bir mağazanın, müşterilerinin satın alma alışkanlıklarını analiz etmek, müşterilerine özel teklifler yapmak, indirim kuponları göndermek için açık rıza kapsamında kişisel verilerinin işleneceğini belirttikten sonra ilgili kişilerin verilerini pazarlama şirketlerine aktarması, işleme amacından farklı bir amaç ile kişisel verilerin işlenmesi sonucunu doğuracağından bu amaç için yeniden açık rıza alınması gerekecektir.  

• Açık rızanın ilgili kişi tarafından geri alınması, açık rızanın verilmesinden daha zor usul şartlarına bağlanabilir mi?

  Açık rıza özgür iradeye dayandığı için, her zaman geri alınabilir. Açık rızanın geri alınması açık rızanın verilmesinden daha zor usul şartlarına bağlanamayacaktır. Örneğin, bir bankanın kampanyaları hakkında ilgili kişilerin bilgilendirilmesine ilişkin ilgili kişilerin mobil uygulama aracılığıyla, haftanın her günü yirmi dört saat içinde açık rıza vermesi mümkün iken açık rızanın geri alınması işleminin mesai saatleri içerisinde şubeye başvurulması şartına bağlanamayacaktır.  

• Aktif Rıza Yöntemi (Opt-in) seçeneği sunulmayıp sadece Pasif Rıza Yöntemi (Opt-out) seçeneği sunularak, ilgili kişinin kişisel verilerinin işlenmesi durumunda hukuka uygun bir işlemeden bahsedilebilir mi?

  Aktif Rıza Yöntemi (Opt-in); önceden seçili olarak sunulmayan ve ilgili kişinin aktif bir hareketi ile onay vermesini gerektiren bir rıza yöntemi iken, Pasif Rıza Yöntemi (Opt-out); ilgili kişinin aktif bir hareketi olmaksızın, önceden seçili olarak sunulan ve bu doğrultuda kişisel verilerinin işlendiğini gösteren bir rıza yöntemidir. Örneğin; “Kampanyalardan haberdar olmak ister misiniz?” sorusuna ilişkin kutucuğun seçili olmaksızın ilgili kişiye sunulması ve “Evet” kutucuğunun ilgili kişi tarafından işaretlenmesi halinde opt-in yöntemi, bu kutucuğun seçili olarak ilgili kişiye sunulması ve “Evet” kutucuğunda yer alan işaretlemenin ilgili kişi tarafından kaldırılması halinde opt-out yöntemi kullanılmış olmaktadır. Geçerli bir açık rızadan bahsedebilmek için aktif rıza yöntemi, yani opt-in şeklinde bir seçim sunulması gerektiğinden, opt-out seçeneği sunularak kişisel verilerin işlenmesi halinde, hukuka uygun bir kişisel veri işleme faaliyetinden bahsedilemeyecektir.