Açık rıza, KVKK m.3'te tanımlanan, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan onaydır. Kişisel verilerin hukuka uygun işlenmesini sağlayan temel şartlardan biridir. Web sitelerinde zorunlu olmayan çerezlerin (analitik, pazarlama) ziyaretçinin cihazına yazılabilmesi için önceden açık rıza alınması gerekir.
Açık rıza, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 3. maddesinde 'belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza' olarak tanımlanır. Bu tanım üç unsuru bir araya getirir: kişinin neye onay verdiğini bilmesi, onaydan önce yeterince bilgilendirilmesi ve kararını baskı altında kalmadan vermesi. GDPR'ın 4. ve 7. maddelerindeki rıza tanımı ve koşulları da büyük ölçüde aynı ilkelere dayanır; bu nedenle iki mevzuata birden tabi olan siteler benzer bir rıza standardını hedefleyebilir.
Web siteleri açısından açık rıza en çok çerezlerde gündeme gelir. Teknik olarak zorunlu çerezler dışındaki analitik ve pazarlama çerezleri, ziyaretçinin cihazına ancak açık rıza alındıktan sonra yazılabilir. Önceden işaretlenmiş kutular, 'siteyi kullanmaya devam ederek kabul etmiş sayılırsınız' gibi ifadeler veya sessiz kalmanın onay sayılması geçerli rıza oluşturmaz. Ayrıca reddetmek, kabul etmek kadar kolay olmalıdır; ziyaretçi tümünü reddetme seçeneğine ilk ekranda ulaşabilmelidir.
Site sahibinin yapması gerekenler özetle şunlardır: çerezleri kategorilere ayırmak, zorunlu olmayanları rıza gelene kadar engellemek, ziyaretçiye kategori bazında seçim sunmak, verilen rızayı tarih ve tercih detayıyla kayıt altına almak ve rızanın istendiği anda geri çekilebilmesini sağlamak. Rıza kayıtları, veri sorumlusunun ispat yükümlülüğü bakımından önemlidir. Rıza metinleri sade ve anlaşılır bir dille yazılmalı, hukuki jargona boğulmamalıdır.
Sık sorulan sorular
Açık rıza nasıl alınır?
Ziyaretçiye çerez banner'ı üzerinden hangi çerezlerin hangi amaçla kullanıldığı açıklanır, kategori bazında seçim sunulur ve onay ancak aktif bir hareketle (buton tıklama, kutu işaretleme) alınır. Reddetme seçeneği ilk ekranda ve kabul etmek kadar kolay olmalıdır. Verilen rıza tarih, tercih ve banner sürümüyle birlikte kayıt altına alınır; ziyaretçi tercihini her an değiştirebilmelidir.
Açık rıza her çerez için zorunlu mu?
Hayır. Sitenin çalışması için teknik olarak zorunlu çerezler (oturum, güvenlik, sepet gibi) rıza gerektirmez; bunlar için aydınlatma yeterlidir. Analitik, pazarlama ve genel işlevsel tercih çerezleri ise zorunlu kapsamına girmediği için açık rıza alınmadan kullanılamaz; kullanıcının açıkça seçtiği dil tercihini hatırlayan arayüz çerezleri gibi dar istisnalar zorunlu sayılabilir. Hangi çerezin hangi kategoriye girdiğini belirlemek için sitenin düzenli olarak taranması iyi bir başlangıçtır.
Bu içerik bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz.