Açık Rıza

Akıllı saatler ve giyilebilir teknolojiler aracılığıyla elde edilen fiziksel sağlığınıza ilişkin nabız ve uyku düzeni gibi bilgiler, doğrudan kişisel sağlık verisi niteliğini haizdir ve kural olarak rızanız dışında işlenemez. Sağlık verileri, kişilerin mahremiyetini barındıran özel nitelikli kişisel veriler arasında yer aldığından hukukumuzda çok daha sıkı koruma kurallarına tabi tutulmaktadır.

Kiraladığınız elektrikli scooter gibi araçların konumunuzu anlık olarak takip etmesi, hukuki incelemeye esas oluşturabilecek bir kişisel veri işleme faaliyetidir. Şehirlerde sağlanan ulaşım hizmetlerinde araçların nerede hareket ettiğine dair bilgiler, o aracı kullanan kişinin konum bilgilerini de açığa çıkarmaktadır.

Veri koruma hukukunun sarsılmaz kurallarından biri olan amaca bağlılık ilkesi, kişisel verilerinizin yalnızca sürecin en başında size bildirilen belirli, açık ve meşru amaç çerçevesinde işlenmesini katı bir şekilde şart koşmaktadır. Eğer başlangıçta aydınlatıldığınız ve onay verdiğiniz bu hukuki sınırların dışına çıkılarak verileriniz başka bir ticari projede veya farklı amaçlarla kullanılmaya başlanırsa, bu durum çok net bir hukuka aykırılık hali teşkil edecektir.

Veri sorumlusu tarafından toplanan kişisel verilerin, yalnızca size başlangıçta bildirilen belirli, açık ve meşru amaçlarla bağlantılı olarak kullanılması zorunlu olup, bu verilerin sonradan amacı dışında kullanılması açık bir ihlal teşkil eder. İş başvurusu gibi spesifik bir niyetle sunduğunuz özgeçmiş bilgilerinizin, sonradan pazarlama veya reklam gibi bambaşka bir ticari menfaat için işlenmesi dürüstlük kuralına aykırılık oluşturmaktadır.

Bir mağazanın sizinle sadece üyelik veya aktivasyon işlemlerini tamamlamak maksadıyla aldığı telefon numaranızı, daha sonradan rızanızı almaksızın reklam ve kampanya içerikleri göndermek için kullanması amaca uygunluk ilkesine aykırı olup yasal bir eylem değildir. Kişisel veriler ilk toplanma anında hangi sebeple beyan edildiyse yalnızca o amaca hizmet edebilir; işletmelerin sonradan ortaya çıkan yeni pazarlama stratejileri için sizden mutlaka yeniden açık rıza alması yasal bir zorunluluktur.

Sağlık hizmetlerinin ertelenemez ve ikame edilemez doğası gereği, salt kişisel verilerinizin işlenmesine yönelik bir onamı vermediğiniz için temel bir hak olan tedavi hakkı kapsamında hizmetten mahrum bırakılmanız hukuken kabul edilebilir bir durum değildir. Hastanelerin size sunduğu aydınlatma metni bir rıza alma işleminden ziyade kanuni bir bilgilendirme yükümlülüğünün yerine getirilmesidir.

Size sağlık merkezinde sunulan belgede, hem yapılacak tıbbi müdahalenin risklerine dair bilgilendirmenin hem kanuni aydınlatma metninin hem de verilerinizin işlenmesine yönelik onayın birleştirilerek tek seferde imzalatılması yasal düzenlemelere aykırılık teşkil edebilecek bir uygulamadır. Kanun çerçevesinde veri sorumlusunun sizi aydınlatma ve bilgilendirme yükümlülüğü ile sizden verilerinizi işleyebilmek için talep edeceği açık rıza süreci birbirinden tamamen bağımsız ve net bir şekilde yürütülmek mecburiyetindedir.

Aydınlatma yükümlülüğünün yerine getirilmesi ile açık rıza alınması işlemlerinin aynı kutucuk üzerinden veya iç içe geçmiş tek bir metinle gerçekleştirilmesi, mevzuat uygulamaları açısından uygun bulunmayan bir yöntemdir. Aydınlatma yükümlülüğü, veri sorumlusunun yerine getirmesi gereken kanuni bir zorunluluk iken, rıza alınması kişinin özgür iradesiyle karar vermesi gereken ayrı bir süreçtir.

Standart sözleşme gibi uygun güvencelerden birinin sağlanması durumunda yurt dışına veri aktarımı için ilgili kişilerden açık rıza alınması zorunlu olmamakla birlikte, aktarım öncesinde mutlaka şeffaf bir şekilde aydınlatma yükümlülüğü yerine getirilmelidir. Veri sorumlusu, kişisel verilerin kim tarafından, hangi hukuki sebebe dayanılarak, hangi amaçla işleneceğini ve yurt dışındaki hangi alıcı gruplarına aktarılacağını veri sahiplerine sade ve anlaşılır bir dille bildirmelidir.

Kesinlikle mecburidir, zira kanun gereği veri sorumlusu veya yetkilendirdiği kişi, kişisel verilerinizi elde ettiği sırada sizi verilerin hangi amaçla işleneceği ve kimlere aktarılacağı konusunda mutlaka bilgilendirmek zorundadır. Aydınlatma yükümlülüğü adı verilen bu kural, açık rıza alınan veya kanundaki diğer hukuka uygunluk nedenlerine dayanılarak yapılan tüm veri işleme faaliyetlerinde eksiksiz olarak yerine getirilmelidir.