Rıza ilkesi, İsrail gizlilik hukukunun temel ilkelerinden biridir. Bu ilkeye göre, yetkilendirme olmaksızın bir kişinin mahremiyetine müdahale yalnızca kişinin rızasıyla ve yalnızca kendisiyle ilgili hangi bilgilerin, kime ve hangi amaçlarla açıklanacağına karar verme yeteneğine sahip olduğu durumlarda yapılabilir. Rıza aynı zamanda kişinin kendisi hakkındaki bilgileri kontrol etme yeteneğini de yansıtır. Bu açıklamada, Gizlilik Koruma Otoritesi, gelişen dijital gerçeklik ışığında ilkenin uygulanmasına ilişkin görüşlerini ve 1981 tarihli Gizlilik Koruma Yasası’nın uygulanabilirliği konusundaki görüşlerini sunmakta ve netleştirmektedir.

Açıklama, Otorite’nin yasayla kendisine verilen çeşitli yetkileri kullanırken ve bu amaçla, yasanın ve ilgili düzenlemelerin hükümlerine uyumun denetlenmesi, bilgi veri tabanları siciline bir veri tabanının kaydedilmesi, mevcut bir kaydın iptali veya askıya alınması ve yasa hükümlerinin ihlali nedeniyle idari para cezası veya mali yaptırım uygulanması dahil olmak üzere kullanacağı hukuki yorumu yansıtmaktadır.

Açıklama, mahremiyete müdahale için veri sahibinin rızasını isteme yükümlülüğünün ne zaman ve hangi koşullar altında geçerli olduğu konusunu ele almamakta, bunun yerine Otorite’nin gizlilik koruma yasaları kapsamında geçerli rızanın neyi oluşturduğuna ve bu tür rızanın hangi kurallara göre alınması gerektiğine ilişkin yorumunu sunmaktadır.

Açıklamanın ana noktaları şunlardır:

Bilgilendirilmiş rıza talebinin içeriği ve sunumu:

Mahremiyete müdahale için verilen rıza, açık veya zımni (yani örtülü) olsun, bilgilendirilmiş olmalıdır. Bu nedenle, rıza talep eden kişi, veri sahibinin talebin içeriği, amaçları ve talebe rıza göstermesi veya reddetmesinin sonuçları hakkında bilgi sahibi olmasını sağlayacak şekilde hareket etmelidir.

Açıklama, “bilgilendirilmiş” rıza gerekliliğine uyumun yalnızca veri sahibine rızası için sunulan verilerin türü ve kapsamı ile ilgili olarak değil, aynı zamanda nasıl sunulduğu ile ilgili olarak da incelendiğini netleştirmektedir. Kişinin rızasının anlamını ve sonuçlarını anlama konusunda makul bir fırsat bulamadan verilen rıza geçerli rıza olarak kabul edilmeyecektir. Bu nedenle, rızanın içeriğinin ve eşlik eden bilgilerin açık, erişilebilir, basit ve anlaşılır bir şekilde sunulmasını sağlamak için özen gösterilmelidir. Bu bağlamda engelli bireyler gibi özel nüfuslara özel dikkat gösterilmelidir.

Taraflar arasında güç dengesizliklerinin olduğu durumlarda, ciddi mahremiyet ihlali potansiyeli olan bir eylemle uğraşırken veya başka karmaşık durumlarda (örneğin, etkileri yeterince net olmayan yeni teknolojilerin kullanımı gibi) – bu yükümlülük geliştirilmiş bir yükümlülük olarak kabul edilmeli ve rıza talep eden kişi, karara ilişkin tüm ilgili verileri belirgin ve basit bir şekilde ve mümkün olduğunca işlemin diğer bileşenlerinden ayrı olarak sunmayı sağlamalıdır. Rıza sürecindeki yetersiz detay, rızanın geçerliliğinin ihlaline yol açabilir.

Bir hizmetin, işlemin ana amacından önemli ölçüde farklı olan çeşitli amaçlar için bilgi toplamak istemesi durumunda, bu durum, rıza verilmeden önce, mümkün olduğunca işlemin diğer bileşenlerinden ayrı olarak, kullanım amaçları sunulurken açık ve belirgin bir şekilde belirtilmelidir.

Özgür irade, güç dengesizlikleri ve “şüpheli” rıza:

Verilen rızanın “şüpheli” olduğu konusunda doğası gereği endişe duyulan belirli durumlarda (örneğin, rıza talep eden ile veri sahibi arasında açık güç dengesizliklerinin olduğu bir durumda verilen rıza gibi) – mahremiyete müdahale için verilen rızanın özgür iradeden verildiğini kanıtlama yükü rıza talep edene düşebilir. Rızanın özgür seçim ve iradeden verilip verilmediğini incelemek için aşağıdakiler, diğerlerinin yanı sıra incelenecektir:

  • Rıza koşulları.
  • Rıza zamanı.
  • Rıza talebinin sunulma şekli (bilgi talep edenin, veri sahibinin rızasının anlamını ve sonuçlarını anlamasını zorlaştırmayı amaçlayan “karanlık desenler” ve tasarım araçları kullanması dahil).
  • Rızanın alınma şekli (açık veya zımni; aktif veya pasif).

Tarafların kimliği ve güç ilişkileri

Şüpheli rıza durumlarında, rıza talep eden, rızanın veri sahibinin özgür iradesini ve gerçek seçimini yansıttığını göstermek için makul bir alternatif sunmak veya gereksiz bilgilerin toplanmasına rıza göstermeyi hizmeti alma şartı haline getirmemek gibi çeşitli önlemler alabilir. Veri sahibinin benzer bir hizmet sunan diğer kuruluşlardan elde edebileceği başka bir alternatifin varlığı da, veri sahibinin rızasının özgür olmadığı iddiasına yeterli bir yanıt olarak kabul edilebilir.

Rızanın alınma şekli:

Rızanın alınma şekli geçerliliğini etkileyebilir. Zımni rızaya güvenmenin mümkün olduğu durumlarda bile, mümkün olduğunda, özellikle hassas veri toplama veya ciddi mahremiyet ihlaline yol açabilecek eylemler söz konusu olduğunda, kişiden açık rızasını almak tavsiye edilir.

Genel bir kural olarak, bir kişinin sessiz kalması veya kendisiyle ilgili bilgi toplama eylemine itiraz etmemesi, tek başına gizlilik koruma yasaları uyarınca geçerli bir rıza anlamına gelmez. Sözlü rıza verilmesi ispat gerektiren bir husustur ve bu nedenle, özellikle hassas veri toplama durumlarında veya taraflar arasında güç dengesizliklerinin söz konusu olduğu durumlarda, rıza isteyen kişinin bunu sunulabilir yollarla belgelendirmesi tavsiye edilir.

Genel bir kural olarak, duruma bağlı olarak rıza aktif olarak (Opt-in) veya pasif olarak (Opt-out) verilebilir. Ancak, Kurum, taraflar arasında güç dengesizliklerinin olduğu durumlarda, bir hizmetin amacı için gerekli veya doğrudan ilgili olmayan “profil çıkarma” amaçları için kişisel bilgilerin kullanımına rıza gösterilmesine ilişkin maddeler içeren bir anlaşmada, pasif rızanın yeterli olmadığını ve rızanın ayrı bir aktif rıza mekanizması (Opt-in) aracılığıyla alınması gerektiğini açıklıyor.

Rıza Olmadan Gizlilik İhlali – Savunmalara Güvenme:

Kurum, bir kişinin rızası olmadan gizliliğini ihlal eden ve bu amaçla Kanun’un 18(2) Bölümü hükümlerine dayanmak isteyen bir kuruluşun orantılılık şartını (Kanun’un 20(b) Bölümü) yerine getirmesi gerektiğini açıklıyor. Bu, veri sahibinin gizliliğini ihlal etmesini haklı gösterdiğine inandığı meşru nedenleri ve çıkarları gösterebilmesini içerir ve aksi takdirde, 18. Bölüm tarafından korunan çıkarlar için “makul olarak gerekenden daha fazla gizliliği bilerek ihlal ettiği” ve kötü niyetle hareket ettiği kabul edilebilir.

Rızanın Geri Çekilmesi:

Kişisel bilgilerin yasal olarak elde edilmiş rızaya dayanarak kullanıldığı durumlarda ve veri sahibinin rızasını geri çekmek ve kendisi hakkındaki bilgilerin kullanımını durdurmak istemesi halinde, rızanın baştan geri alınamaz şekilde verilmediği durumlarda bile ve özellikle bilgilerin devam eden kullanımının talep edenin gizliliğine ciddi şekilde zarar vereceği durumlarda bu talep olumlu olarak değerlendirilmelidir.

Ayrıca, rıza sürecini güçlendirmeye yönelik çeşitli önlemlerin uygulanmasının – örneğin zımni rızaya karşı açık rızanın tercih edilmesi; aktif bir rıza mekanizmasının kullanılması (pasifin aksine); ve rıza şartını ve beraberindeki bilgileri basitleştirmek ve erişilebilir kılmak için teknolojik ve tasarım araçlarının kullanılması (bu önlemlerin yasal olarak zorunlu olmadığı durumlarda) – denetleyiciye alınan rızanın yasal olarak elde edildiğini göstermesine olanak tanıyacağı belirtiliyor.