Açık rızayı sözleşme hükmüyle alabilir miyiz?

Tabi ki alabiliriz, peki sonrası? Hadi durumu değerlendirelim:

Açık rızanın ne olduğunu eğer bu paylaşımın yapıldığı bülten listesine dahilseniz, zaten biliyorsunuzdur. Yine de özetlemek gerekirse, açık rıza, elimizde veri işleme şartı veya hukuki sebep olarak anılan hallerin bulunmadığı senaryolarda verisini elde ettiğimiz ve herhangi bir şekilde kullanacağımız kişiden almamız gereken onayı ifade ediyor.

Açık rıza denilen bu onayın birtakım unsurları var:

• Öncelikle onay veren kişinin bilgilendirilmesi gerekiyor. Yani kişiden telefon numarasını istemeden önce telefon numarasını niçin isteyeceğimizi/istediğimizi bilmesi gerekiyor.
• Sonra onayın belirli bir konuyla ilişkilendirilmesi gerekiyor. Örneğin “İletişim bilgilerimi istediğiniz gibi kullanabilirsiniz” ifadesi bir açık rıza değildir. Çünkü rızanın verilme amacı belirlenememektedir. “Şahsıma ait 53x xxx xxxx numaralı hattı mesai saatleri içerisinde arayarak bana ulaşabilirsiniz” ise bir açık rızadır.
• Bir de onayın ilgili kişinin iradesine dayanması konusu var. Burası önemli. Peki neden?

İrade dediğimiz şey de hem aktif bir eylem hem de pasif bir eylem olabiliyor. İlgili kişinin umursamazlığı, sessizliği gibi hareketsiz eylemler de aslında birer irade beyanı kabul edilebilir. Ancak 6698 SK’da anılan onayın “açıklığı” ile kastedilen eylemin aktif bir eylem olması, yani ilgili kişinin onayını parlatan bir işlem gerekiyor.

Uygulamada veri sorumluları imza ve belge kalabalığının önüne geçmek adına, eğer ilgili kişilerle zaten halihazırda bir sözleşme ilişkisi içerisine giriyorlarsa (tüketici sözleşmesi, iş sözleşmesi vb. olabilir) bu sözleşmeden bağımsız olarak açık rıza almalarını gerektiren faaliyetleri de sözleşmeye ekleyerek açık rıza temininden kurtulmak isteyebiliyorlar.

Açık rızanın sözleşme hükmüyle alınması konusu bu ara İrlanda Veri Koruma Otoritesi’nin gündemini meşgul etti ve muhtemelen Avrupa Veri Koruma Otoritesi’nin önüne gidecek bir karara varıldı. Karara konu olay Facebook kullanıcısı olmak isteyen kişinin “Hizmet Şartları” ve “Veri Politikası” olarak anılan iki metni kabul etmek ve/veya bu metinler güncellenirse kullanıcı olmayı sürdürmek için güncel metinleri kabul etmek zorunda bırakılmasıyla ilgili. Soruşturmayı yürüten müfettiş, görüşünde şu hususları ele aldı:

• Kabul butonunu tıklamak rıza göstermek anlamına gelir mi,
• Veri işleme şartı rıza mı sözleşmenin ifası mı,
• Veri işleme şartına dair aydınlatma yapılmış sayılabilir mi, yani süreç yeterince şeffaf mı,

Müfettiş, veri işleme şartının son derece net olması gerektiğini, bu şart rıza ise kullanıcının rıza gösterme işleminde bulunduğunun farkında olması gerektiğini belirtti. Müfettişe göre Facebook, Hizmet Şartlarını ve Veri Politikasını onaylatarak ilgili kullanıcılardan rıza almaya çalışmıyordu. Diğer tarafta kullanıcılar ise veri işleme şartını bir sözleşme ilişkisinden ziyade bir rıza gösterme olarak algılıyorlardı.

Müfettiş sözleşme ilişkisi ile rıza gösterme eyleminin iki farklı veri işleme şartı olduğunu ve hukuki sonuçlarının farklı olduğunu söyledi. Veri Politikasının Hizmet Şartlarının bir uzantısı, eki olamayacağını, bunlardan Hizmet Şartlarının sözleşme ilişkisini yansıttığını, Veri Politikasının ise şeffaflıkla ilgili olduğunu ve burada yer alan işleme faaliyetlerinden bazılarının rıza şartını gerektirdiğini belirtti.

Şunun altını çizmek gerekir: Sözleşmenin ifası için gerekli olma şartına dayanılabilmesi için, eğer söz konusu kişisel veri kullanılmazsa taraflardan birinin sözleşmeyle üstlendiği borcu yerine getirememesi gerekir. Müfettiş bunu ifade etmek için “kesinlikle gerekli (strictly necessary)” ifadesini kullanmıştır. Karara konu olayda Facebook’un kullanıcıların verilerinden davranışsal reklamcılık faaliyetleri kapsamında yararlanması, müfettiş tarafından sözleşmenin ifası şartına dayandırılamamıştır.

Türk Hukuku bakımından da özellikle tüketici ve iş sözleşmelerinde tüketicinin ve işçinin diğer tarafa kıyasla müzakere kabiliyetinin oldukça kısıtlı olduğu, bunların “zayıf akit” olduğu kabul edilir. Bu nedenle kanunlarda tüketici ve işçi lehine olan düzenlemelerin sözleşmeyle kısıtlanması mümkün değildir. Eğer sözleşmede bu tür bir kısıtlayıcı bir hüküm yer alırsa, bu hüküm geçersiz kabul edilir ve sözleşme bu hüküm dışarıda bırakılarak uygulanır. Bununla birlikte bir veri koruma otoritesinin (örneğin Kişisel Verileri Koruma Kurumu’nun) sözleşmenin geçerliğini tartışma yetkisi olmadığının altını çizelim. Bu geçerlik tartışmasında yalnızca yargı yetkilidir.

Yani özetle sözleşmeyle açık rıza almak sözleşmenin rıza alınan hükmünün Sözleşme Hukuku bağlamında geçersiz olarak kabul edilmesine sebep olacağı gibi, Veri Koruma Hukuku bakımından da veri işleme şartının sağlanamamasına sebep olacaktır. Veri sorumlusu bu tür bir senaryoda kullanıcının sonraki itirazında sözleşmenin ihlaline dayanamayabilir veya veri koruma otoritesine usule uygun bir rıza elde ettiğini ispat edemeyebilir.

Benzer senaryolarla muhatapsanız risk almaya değer mi, detaylı değerlendirme ve görüş için iletişime geçebilirsiniz.