Açık Rıza mı Meşru Menfaat mi? — KVKK m.5/m.6 Hukuki Sebep Seçim Rehberi

Pazarlama ekibi “her müşteriden açık rıza alalım, işimiz garanti olsun” diyor. İK departmanı bordro için de rıza formu hazırlıyor. IT güvenlik logları için meşru menfaat seçmiş; ancak aydınlatma metninde bu gerekçe hiç geçmiyor. Üç birim, üç farklı mantık — ve hepsi aynı gizlilik politikasını referans alıyor.

Bu tablo Türkiye’deki KVKK uyum programlarının en yaygın kırılma noktasıdır: hukuki sebep seçimi. “Açık rıza meşru menfaat hangisi KVKK” sorusu basit bir tercih değildir; her işleme faaliyeti için doğru m.5 dayanağını belirlemek, aydınlatma metninden envanter kaydına kadar tüm uyum zincirini şekillendirir.

Bu rehber, KVKK m.5 ve m.6 kapsamındaki hukuki sebepleri, açık rıza ile meşru menfaat arasındaki farkı, karar tablosunu ve “her şeye rıza alalım” yaklaşımının neden yanlış olduğunu somut örneklerle açıklar.

KVKK m.5: Kişisel Verilerin İşlenme Şartları

KVKK m.5/1 uyarınca kişisel veriler, ilgili kişinin açık rızası olmaksızın işlenemez. Ancak m.5/2, açık rıza dışında beş alternatif hukuki sebep tanır. Veri sorumlusu, her işleme faaliyeti için bu şartlardan en az birini somut olarak gerekçelendirmelidir:

Temel ilke: Açık rıza (m.5/1), diğer şartların uygulanamadığı durumlarda devreye girer. Kanuni yükümlülük veya sözleşme ifası yeterliyken rıza istemek hem gereksiz hem risklidir — çünkü rıza her an geri alınabilir (m.7).

Açık Rıza Nedir, Ne Değildir?

KVKK m.3/I-ü açık rızayı “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlar. Pratikte açık rıza şu özellikleri taşır:

• Belirli konuya ilişkin: “Tüm verilerim için rıza veriyorum” genel ifadesi yetersizdir; işleme amacı net olmalıdır.
• Bilgilendirmeye dayanan: m.10 aydınlatma yükümlülüğü yerine getirilmeden alınan rıza geçersiz sayılabilir.
• Özgür iradeyle: İşçi-işveren, hasta-hastane gibi güç dengesizliği olan ilişkilerde rıza sorgulanır (mesai takibinde biyometrik veri ilke kararı bunun somut örneğidir).
• Geri alınabilir: m.7 uyarınca ilgili kişi rızasını her zaman geri alabilir; veri sorumlusu bunu engelleyemez.

Açık rıza zorunlu olduğu tipik senaryolar:

• Pazarlama e-postası / SMS / arama (elektronik ticaret ve ilgili mevzuatla birlikte)
• Zorunlu olmayan çerezler ve analitik araçlar
• Özel nitelikli veri işleme (m.6/2 — kanuni istisna yoksa)
• Profilleme ve otomatik karar süreçleri (rıza veya açık hukuki dayanak gerekir)

Meşru Menfaat Nedir, Ne Zaman Uygulanır?

KVKK m.5/2-f, veri sorumlusunun veya üçüncü kişinin meşru menfaatleri için veri işlenmesine izin verir — ancak temel hak ve özgürlüklere zarar vermemek kaydıyla. Bu denge testi (legitimate interest assessment, LIA) fiilen şu sorulara dayanır:

1. Meşru bir menfaat var mı?
2. İşleme bu menfaat için gerekli mi?
3. İlgili kişinin hak ve özgürlükleri ile menfaat dengesi nasıl?

Meşru menfaat uygun olduğu tipik senaryolar:

• IT güvenlik logları ve saldırı tespiti
• İşyeri fiziksel güvenliği (kamera — ölçülülük şartıyla)
• Dolandırıcılık ve suistimal önleme
• Kurumsal iletişim altyapısı (e-posta, intranet)
• Mevcut müşteri ilişkisi kapsamında sınırlı iyileştirme (pazarlama değil)

Meşru menfaat uygun olmadığı durumlar:

• Doğrudan pazarlama (açık rıza veya ETK mevzuatı gerekir)
• Çalışan performans profillemesi (güç dengesizliği)
• Özel nitelikli veri işleme (m.6 ayrı rejim)
• Hassas veri kategorilerinde geniş kapsamlı profilleme

Karar Tablosu: Hangi Süreçte Hangi Hukuki Sebep?

Aşağıdaki tablo, sık karşılaşılan işleme faaliyetleri için doğru hukuki sebep seçimini özetler. Her satır envanterde ayrı bir kayıt olmalıdır.

Bu tablo genel çerçeve sunar; her kurum kendi LIA ve hukuki değerlendirmesini yapmalıdır. “Tablodaki gibi yaptık” demek yerine, envanterde gerekçeyi yazılı dokümante etmek denetimde fark yaratır.

“Her Şeye Rıza Alalım” Yaklaşımı Neden Yanlış?

Birçok kurum, uyum karmaşıklığından kaçmak için tüm işleme faaliyetlerine açık rıza dayandırır. Bu yaklaşım üç temel sorun yaratır:

1. Rıza geri alınabilir — süreç kırılganlaşır

KVKK m.7 uyarınca ilgili kişi rızasını her zaman geri alabilir. Bordro için rıza dayandırdıysanız, çalışan rızasını geri aldığında maaş ödemeyi durduramazsınız — çünkü bordro zaten kanuni yükümlülük (m.5/2-ç) kapsamındadır. Gereksiz rıza, geri alma talebiyle operasyonel gürültü yaratır.

2. Aydınlatma ve rıza karışır

Aydınlatma (m.10) ve açık rıza (m.5/1) ayrı yükümlülüklerdir. Aydınlatma, rıza gerekmese bile yapılmalıdır. “Rıza formu aldık, aydınlatma da tamam” varsayımı hatalıdır. Aydınlatma metninde sık yapılan 7 hata rehberimiz, bu ayrımın pratikte nasıl bozulduğunu detaylandırır.

3. Denetimde tutarsızlık riski

VERBİS’te “hukuki yükümlülük” beyan ederken sözleşmede “açık rıza” istemek; envanterde meşru menfaat yazıp aydınlatmada rıza kutusu göstermek — bu çelişkiler denetimde sistematik ihlal algısı yaratır.

Doğru yaklaşım: Her işleme faaliyeti için tek bir birincil hukuki sebep belirleyin; rıza gerekmeyen yerde rıza istemeyin.

m.6: Özel Nitelikli Veriler İçin Ayrı Rejim

Sağlık verisi, biyometrik veri, sendika üyeliği, ceza mahkûmiyeti gibi özel nitelikli kişisel veriler KVKK m.6 kapsamında daha sıkı kurallara tabidir. m.5/2’deki genel hukuki sebepler özel nitelikli veri için doğrudan uygulanmaz; m.6/2’de sayılan şartlardan biri gerekir:

Özel nitelikli veri işlemede “meşru menfaat” m.6/2’de doğrudan sayılmaz. Biyometrik mesai takibi örneğinde olduğu gibi, m.6 şartlarından hiçbiri karşılanmıyorsa işleme hukuka aykırıdır — açık rıza bile kurtarmaz.

Hukuki Sebep Seçimi: Adım Adım Süreç

1. İşleme faaliyetini tanımlayın

“Müşteri verileri” değil; “e-ticaret sipariş yönetimi ve kargo paylaşımı” gibi spesifik faaliyet. Veri işleme envanteri rehberimizdeki faaliyet bazlı ayrıştırma bu aşamada kritiktir.

2. Veri kategorisini belirleyin

Kişisel veri mi, özel nitelikli veri mi? Özel nitelikliyse m.6 rejimine geçin.

3. m.5/2 şartlarını sırayla test edin

Karar ağacı:

Özel nitelikli veri mi?
  → Evet: m.6/2 şartlarından biri var mı?
    → Hayır: İşleme yapılamaz (veya tasarım değiştirilmeli)
  → Hayır: m.5/2-a (kanun) uygulanabilir mi?
    → Evet: Kanuni yükümlülük
    → Hayır: m.5/2-c (sözleşme) uygulanabilir mi?
      → Evet: Sözleşmenin ifası
      → Hayır: m.5/2-ç (hukuki yükümlülük) uygulanabilir mi?
        → Evet: Hukuki yükümlülük
        → Hayır: m.5/2-e (hak tesisi) uygulanabilir mi?
          → Evet: Hakkın tesisi/korunması
          → Hayır: m.5/2-f (meşru menfaat) — LIA yapılabilir mi?
            → Evet: Meşru menfaat (LIA dokümante)
            → Hayır: Açık rıza (m.5/1) gerekli

4. LIA (meşru menfaat değerlendirmesi) dokümante edin

Meşru menfaat seçtiyseniz, üç sorunun cevabını yazılı kaydedin:

• Menfaat: Hangi meşru kurumsal menfaat?
• Gereklilik: Daha az müdahaleci alternatif var mı?
• Denge: İlgili kişinin hakları neden ağır basmıyor?

Bu doküman envanter satırına eklenmeli; denetimde ispat aracıdır.

5. Aydınlatma metnini hukuki sebebe göre güncelleyin

Her faaliyet için aydınlatmada hangi hukuki sebebe dayanıldığı açıkça belirtilmelidir. Meşru menfaat seçilen faaliyette “rıza veriyorum” kutusu göstermek hata; kanuni yükümlülük kapsamındaki bordro için rıza istemek de hata.

6. Envantere kaydedin ve periyodik gözden geçirin

Hukuki sebep, envanterin zorunlu alanlarından biridir. Süreç, mevzuat veya iş modeli değiştiğinde hukuki sebep de yeniden değerlendirilmelidir.

Sık Yapılan Hatalar

Hukuki Sebep ve Aydınlatma Bağlantısı

KVKK m.10 aydınlatma yükümlülüğü, ilgili kişiye en az şu bilgileri vermeyi zorunlu kılar:

• Veri sorumlusunun kimliği
• İşleme amaçları
• Kimlere aktarılabileceği
• Toplama yöntemi ve hukuki sebebi
• m.11 kapsamındaki haklar

“Hukuki sebep” ifadesi aydınlatmada açıkça yer almalıdır: “Bordro verileriniz, 4857 sayılı İş Kanunu ve SGK mevzuatı kapsamındaki hukuki yükümlülüğümüzü yerine getirmek amacıyla işlenmektedir (KVKK m.5/2-ç).”

Meşru menfaat seçilen faaliyetlerde ilgili kişiye itiraz hakkı (m.11/1-g) hatırlatılmalıdır; bu, meşru menfaat rejiminin doğal parçasıdır.

Lexidata Uyum Paneli ile Hukuki Sebep Eşleme

Lexidata uyum paneli, veri işleme envanterinde her faaliyet için hukuki sebep atamasını süreç bazlı yönetmenizi sağlar:

• Faaliyet bazlı envanter kayıtları — amaç, hukuki sebep (m.5/2 bendi), veri kategorisi, özel nitelikli veri işareti
• Aydınlatma metni yönetimi — envanter satırlarıyla bağlantılı, hukuki sebebe uygun versiyonlu metin takibi
• Tutarlılık kontrolü — envanter, aydınlatma ve VERBİS beyanı arasında çelişki uyarısı
• LIA not alanı — meşru menfaat seçilen faaliyetlerde denge testi dokümantasyonu
• Değişiklik geçmişi — hukuki sebep değişikliklerinin izlenebilirliği

“Açık rıza mı meşru menfaat mi?” sorusunun cevabı her faaliyet için farklıdır; ancak cevabın envanterde, aydınlatmada ve operasyonda tutarlı olması gerekir. platform.lexidata.io adresinden uyum panelini inceleyebilir, envanterinizde süreç bazlı hukuki sebep eşlemesini başlatabilirsiniz.