6698 sayılı Kişisel Verilerin Korunması Kanunu’nun yürürlüğe girmesiyle kişilerin kişisel verilerinin işlenmesi, öngörülen istisnalar dışında, kişilerin açık rızasına bağlanmıştır. Avrupa Birliği’nde sadece özel nitelikli kişisel verilerin işlenmesi için açık rıza aranırken 6698 sayılı Kanun, her türlü kişisel verinin işlenmesini açık rızaya bağlamıştır. Başka bir deyişle kural olarak kişilerin kişisel verilerinin işlenmesi ancak kişilerin açık rızası ile mümkündür. Ayrıca Anayasa’nın 20. maddesinin 3.fıkrası kişisel verilerin ancak kanunda öngörülen hallerde ve açık rızaya dayalı olarak işlenebileceğini ifade etmektedir. Bu anlamda açık rıza gerek özel nitelikli kişisel veriler gerekse de özel nitelikli olmayan kişisel veriler açısından bir hukuka uygunluk nedenidir. Açık rıza kavramı, Kanun’un 3.maddesinin (a) bendinde tanımlanmıştır. İlgili bende göre açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı ifade etmektedir. Kanun çerçevesinde açık rıza, kişinin sahip olduğu verinin işlenmesine, kendi isteği ile ya da karşı taraftan gelen istek üzerine, onay vermesi anlamını taşımaktadır. Açık rıza kavramının üç unsuru vardır:

Belirli Bir Konuya İlişkin Olma: Kişisel verilerin işlenmesine ilişkin verilen rızanın geçerli olması belirli bir konuya ilişkin olmasına bağlıdır. Bu bağlamda belirli ve bildirilmiş bir konuya ilişkin olmayan, her türlü konuya ilişkin kişisel verilerin paylaşılmasının peşinen kabul edildiği durumlarda belirli bir konuya ilişkin olma unsuru gerçekleşmediğinden açık rızadan bahsedilemeyecektir. Burada veri sorumlusu, ilgili kişiye kişisel verilerinin hangi konuya ilişkin işleneceğini açıklamakla yükümlüdür. Eğer birden fazla konuya ilişkin olarak kişisel veriler işlenecek ise veri sorumlusu bu konuları da ilgili kişiye açıklayacaktır. Veri sorumlusunun sonradan farklı amaçlarla bu verileri işlemek istemesi durumunda ayrıca buna ilişkin rıza alınması gerekecektir. Aynı durum, verilerin işlenme amaçlarının değişmesi halinde de geçerlidir. Yani açık rızanın varlığından bahsedebilmek için ilgili kişi, kişisel verilerinin hangi konuya ilişkin işleneceğini mutlaka bilmelidir.

Bilgilendirmeye Dayanma: Açık rıza olumlu bir irade beyanı olması hasebiyle iradesini açıklayan kişinin irade beyanını açıkladığı konuya ilişkin yeterli bilgisinin olması gerekir. Ayrıca kişi, irade açıklamasının sonuçlarına da vâkıf olmalıdır. Bu anlamda kişinin rızasını açıkladığı konuya ilişkin bilgisinin olması ve fakat irade açıklamasının sonuçlarına ilişkin bilgiye sahip olmaması durumunda geçerli bir açık rızadan söz edilemeyecektir. Bilgilendirme, anlaşılabilir ve erişilebilir olmalıdır. Anlaşıla bilirlikten kasıt somut olayın özelliğine göre şekillenmek koşuluyla sade ve açık bir dil kullanılmasıdır. Erişilebilirlik ise bilginin doğrudan ilgili kişiye sağlanmasını ifade eder. İşlenecek verilerin önem derecesi arttıkça bilgilendirme yükümlülüğünde veri sorumlusunun özen yükümlülüğü de artacaktır.

Özgür İradeyle Açıklanma: Her irade beyanı gibi açık rıza beyanının geçerliliği de herhangi bir irade sakatlığına uğramadan açıklanmış olmasına bağlıdır. Başka bir deyişle kişinin iradesini sakatlayan her türlü durum açık rızayı da geçersiz kılacaktır. İradeyi sakatlayan durumlara cebir, tehdit, hile örnek verilebilir. Öte yandan psikolojik, sosyal, ekonomik baskı da dahil edilerek bu kavramlar geniş yorumlanmalıdır. Bu gibi durumlarda rıza geçersiz olacaktır. Özgür irade kapsamında değerlendirilmesi gereken bir diğer husus da tarafların eşit olmadığı hukuki ilişkilerdir. Tarafların eşit olmadığı hukuki ilişkilerde bilhassa zayıf tarafın iradesinin sağlıklı oluştuğundan emin olmak gerekir. Farzımuhal, işçi-işveren ilişkisinde işçiye rıza göstermeme imkanının tanınıp tanınmadığı yahut herhangi bir hak kaybı korkusuyla rıza gösterilip gösterilmediği iyi değerlendirilmelidir. Eğer rıza göstermeme imkânı tanınmamış yahut baskı, tehdit altında rıza verilmişse geçerli bir rızadan söz edilemeyecektir. Ayrıca açık rızanın özgür irade ile açıklanması gerektiğinden, ilgili kişinin açık rızasının alınması, bir ürün veya hizmetin sunulmasının ya da ürün veya hizmetten yararlandırılmasının da ön şartı olarak ileri sürülmemelidir. Bu halde de özgür bir irade ve geçerli açık rızadan bahsedilemeyecektir. Açık rızanın alınması herhangi bir şekle bağlanmamıştır. Yani rıza; yazılı, sözlü, elektronik imza, güvenli elektronik imza, ıslak imza gibi yollar ile alınabilecektir. Ne var ki açık rızanın alınmadığı iddiası karşısında ispat yükü veri sorumlusuna düşmektedir. O halde veri sorumlusu açık rızayı ispat edilebilir şekilde almalıdır. Açık rızanın verilmesi kişiye sıkı sıkıya bağlı bir hak niteliği taşımaktadır. Bu sebeple verilen açık rızanın her zaman geri alınması mümkündür. Unutulmamalıdır ki açık rızanın geri alınması ileriye etkili sonuç doğuracaktır. Veri sorumlusu, açık rızanın geri alınması beyanının kendisine ulaşmasından itibaren veri işlemeyi durdurmakla yükümlüdür.