6698 sayılı Kişisel Verilerin Korunması Kanunu’nun yürürlüğe girmesiyle kişilerin kişisel verilerinin
işlenmesi, öngörülen istisnalar dışında, kişilerin açık rızasına bağlanmıştır. Avrupa Birliği’nde sadece
özel nitelikli kişisel verilerin işlenmesi için açık rıza aranırken 6698 sayılı Kanun, her türlü kişisel
verinin işlenmesini açık rızaya bağlamıştır. Başka bir deyişle kural olarak kişilerin kişisel verilerinin
işlenmesi ancak kişilerin açık rızası ile mümkündür. Ayrıca Anayasa’nın 20. maddesinin 3.fıkrası
kişisel verilerin ancak kanunda öngörülen hallerde ve açık rızaya dayalı olarak işlenebileceğini ifade
etmektedir. Bu anlamda açık rıza gerek özel nitelikli kişisel veriler gerekse de özel nitelikli olmayan
kişisel veriler açısından bir hukuka uygunluk nedenidir. Açık rıza kavramı, Kanun’un 3.maddesinin (a)
bendinde tanımlanmıştır. İlgili bende göre açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye
dayanan ve özgür iradeyle açıklanan rızayı ifade etmektedir. Kanun çerçevesinde açık rıza, kişinin
sahip olduğu verinin işlenmesine, kendi isteği ile ya da karşı taraftan gelen istek üzerine, onay vermesi
anlamını taşımaktadır. Açık rıza kavramının üç unsuru vardır:
-Belirli Bir Konuya İlişkin Olma: Kişisel verilerin işlenmesine ilişkin verilen rızanın geçerli olması belirli
bir konuya ilişkin olmasına bağlıdır. Bu bağlamda belirli ve bildirilmiş bir konuya ilişkin olmayan, her
türlü konuya ilişkin kişisel verilerin paylaşılmasının peşinen kabul edildiği durumlarda belirli bir konuya
ilişkin olma unsuru gerçekleşmediğinden açık rızadan bahsedilemeyecektir. Burada veri sorumlusu,
ilgili kişiye kişisel verilerinin hangi konuya ilişkin işleneceğini açıklamakla yükümlüdür. Eğer birden
fazla konuya ilişkin olarak kişisel veriler işlenecek ise veri sorumlusu bu konuları da ilgili kişiye
açıklayacaktır. Veri sorumlusunun sonradan farklı amaçlarla bu verileri işlemek istemesi durumunda
ayrıca buna ilişkin rıza alınması gerekecektir. Aynı durum, verilerin işlenme amaçlarının değişmesi
halinde de geçerlidir. Yani açık rızanın varlığından bahsedebilmek için ilgili kişi, kişisel verilerinin hangi
konuya ilişkin işleneceğini mutlaka bilmelidir.
-Bilgilendirmeye Dayanma: Açık rıza olumlu bir irade beyanı olması hasebiyle iradesini açıklayan
kişinin irade beyanını açıkladığı konuya ilişkin yeterli bilgisinin olması gerekir. Ayrıca kişi, irade
açıklamasının sonuçlarına da vâkıf olmalıdır. Bu anlamda kişinin rızasını açıkladığı konuya ilişkin
bilgisinin olması ve fakat irade açıklamasının sonuçlarına ilişkin bilgiye sahip olmaması durumunda
geçerli bir açık rızadan söz edilemeyecektir. Bilgilendirme, anlaşılabilir ve erişilebilir olmalıdır. Anlaşıla
bilirlikten kasıt somut olayın özelliğine göre şekillenmek koşuluyla sade ve açık bir dil kullanılmasıdır.
Erişilebilirlik ise bilginin doğrudan ilgili kişiye sağlanmasını ifade eder. İşlenecek verilerin önem
derecesi arttıkça bilgilendirme yükümlülüğünde veri sorumlusunun özen yükümlülüğü de artacaktır.
-Özgür İradeyle Açıklanma: Her irade beyanı gibi açık rıza beyanının geçerliliği de herhangi bir irade
sakatlığına uğramadan açıklanmış olmasına bağlıdır. Başka bir deyişle kişinin iradesini sakatlayan her
türlü durum açık rızayı da geçersiz kılacaktır. İradeyi sakatlayan durumlara cebir, tehdit, hile örnek
verilebilir. Öte yandan psikolojik, sosyal, ekonomik baskı da dahil edilerek bu kavramlar geniş
yorumlanmalıdır. Bu gibi durumlarda rıza geçersiz olacaktır. Özgür irade kapsamında
değerlendirilmesi gereken bir diğer husus da tarafların eşit olmadığı hukuki ilişkilerdir. Tarafların eşit
olmadığı hukuki ilişkilerde bilhassa zayıf tarafın iradesinin sağlıklı oluştuğundan emin olmak gerekir.
Farzımuhal, işçi-işveren ilişkisinde işçiye rıza göstermeme imkanının tanınıp tanınmadığı yahut
herhangi bir hak kaybı korkusuyla rıza gösterilip gösterilmediği iyi değerlendirilmelidir. Eğer rıza
göstermeme imkânı tanınmamış yahut baskı, tehdit altında rıza verilmişse geçerli bir rızadan söz
edilemeyecektir. Ayrıca açık rızanın özgür irade ile açıklanması gerektiğinden, ilgili kişinin açık
rızasının alınması, bir ürün veya hizmetin sunulmasının ya da ürün veya hizmetten
yararlandırılmasının da ön şartı olarak ileri sürülmemelidir. Bu halde de özgür bir irade ve geçerli açık
rızadan bahsedilemeyecektir. Açık rızanın alınması herhangi bir şekle bağlanmamıştır. Yani rıza;
yazılı, sözlü, elektronik imza, güvenli elektronik imza, ıslak imza gibi yollar ile alınabilecektir. Ne var ki
açık rızanın alınmadığı iddiası karşısında ispat yükü veri sorumlusuna düşmektedir. O halde veri
sorumlusu açık rızayı ispat edilebilir şekilde almalıdır. Açık rızanın verilmesi kişiye sıkı sıkıya bağlı bir
hak niteliği taşımaktadır. Bu sebeple verilen açık rızanın her zaman geri alınması mümkündür.
Unutulmamalıdır ki açık rızanın geri alınması ileriye etkili sonuç doğuracaktır. Veri sorumlusu, açık
rızanın geri alınması beyanının kendisine ulaşmasından itibaren veri işlemeyi durdurmakla
yükümlüdür.