Bir şirketin, üyelik sözleşmesi veya kullanım şartları metninin içine, 'hizmetlerimizi kullanmakla, kişisel bilgilerinizin yurtdışına aktarılmasını kabul etmiş sayılırsınız' şeklinde bir hüküm koyması, KVKK m. 9 uyarınca aranan 'açık rıza' şartını karşılar mı? Kişisel Verileri Koruma Kurulu'nun Amazon Turkey kararında bu tür bir 'zımni kabul' veya 'varsayıma dayalı onay' uygulamasını neden hukuka aykırı bulduğunu, 'bilgilendirme' ve 'özgür irade' unsurları açısından analiz ediniz.
Hayır, bu tür bir hüküm, KVKK m. 9'un ve genel olarak Kanun'un aradığı 'açık rıza' şartını kesinlikle karşılamaz. KVKK'nın Amazon Turkey kararında bu uygulamayı hukuka aykırı bulmasının temel nedenleri, açık rızanın iki temel unsurunun ihlal edilmesidir: 1) Bilgilendirmeye Dayanma Unsurunun İhlali: Açık rıza, 'bilgilendirmeye' dayanmalıdır. Bu, veri sorumlusunun, hangi kişisel verilerin, hangi amaçlarla, hangi ülkelere, hangi hukuki sebeple aktarılacağını; aktarımın risklerinin ne olduğunu açık, anlaşılır ve kolayca erişilebilir bir şekilde ilgili kişiye sunması gerektiği anlamına gelir. Bu bilgilendirmenin, kilometrelerce uzunluktaki bir 'Kullanım Şartları' veya 'Gizlilik Bildirimi' metninin içine gizlenmesi, Kanun'un aradığı anlamda bir bilgilendirme değildir. Yurtdışına veri aktarımı gibi önemli bir işlem için, ayrı, katmanlı ve vurgulu bir aydınlatma yapılması gerekir. Kullanıcının bu metinleri okuduğunun 'varsayılması', bilgilendirme yükümlülüğünü yerine getirmez. 2) Özgür İrade Unsurunun İhlali: Açık rıza, 'özgür iradeyle' açıklanmalıdır. Bir hizmetin kullanımının, rızanın verilmesine bağlanması (take-it-or-leave-it approach), iradeyi özgür olmaktan çıkarır. Kullanıcı, hizmeti almak istiyorsa, yurtdışı aktarımına onay vermekten başka bir seçeneği kalmamaktadır. Bu bir dayatmadır. Özgür iradeden bahsedebilmek için, kullanıcının yurtdışına veri aktarımına 'onay vermeme' (opt-out) seçeneğine sahip olması ve bu seçeneği kullanmasının, hizmeti almasına engel teşkil etmemesi gerekir. Amazon kararında Kurul, bu tür bir 'zımni kabul' veya 'varsayıma dayalı onay'ın, Kanun'un aradığı aktif, bilgilendirilmiş ve özgür iradeye dayalı rıza tanımına uymadığı için hukuka aykırı olduğuna karar vermiştir. (Kaynak: vonahukuk.com/kisisel-verileri-koruma-kurulunun-amazon-turkey-hakkindaki-7-5-2020-tarihli-karari-hk/)