Bir kişinin veya şirketin Risk Merkezi nezdindeki bilgileri kural olarak gizlidir. Bu bilgilerin kendisine ya da onay vermesi koşuluyla belirlediği gerçek veya tüzel kişilere verilmesine ilişkin düzenleme, tam olarak bu gizliliğin hangi hâllerde ve hangi sınırlarla aşılabileceğini belirler. Uygulamada asıl tartışma, verilen onayın kapsamının ne olduğu üzerinde çıkar.
İki farklı talep: kendi raporunu almak ve üçüncü kişiye verdirmek
Birinci hâlde kişi kendi bilgilerini talep eder; bu, veri üzerindeki temel hakkın doğal sonucudur. İkinci hâlde ise bilgi, kişinin belirlediği bir üçüncü kişiye iletilir. İkinci durumda paylaşımın hukuka uygunluğu tamamen onayın geçerliliğine bağlıdır. Onay yoksa veya kapsamı aşılmışsa, paylaşım baştan hukuka aykırı hâle gelir.
Geçerli bir onayın taşıması beklenen unsurlar
- Onayın kime verildiğinin açıkça belirlenmiş olması
- Hangi bilgi türlerini ve hangi dönemi kapsadığının yazılması
- Kullanım amacının somut olarak gösterilmesi
- Geçerlilik süresinin ve geri alma usulünün belirtilmesi
- Onayın ayrı ve anlaşılır biçimde alınması, sözleşme metnine gömülmemesi
Ticari hayatta karşılaşılan riskli senaryolar
Bayilik, tedarik veya kiralama görüşmelerinde karşı taraftan geniş kapsamlı ve süresiz bir onay istenmesi sık rastlanan bir durumdur. Görüşme sonuçsuz kalsa bile onayın yürürlükte kalması, bilgilerin tekrar tekrar sorgulanmasına yol açabilir. Bu nedenle onay metinlerine görüşmenin sonuçsuz kalması hâlinde onayın kendiliğinden sona ereceği yönünde bir kayıt konulması pratik bir korumadır.
Kişisel verilerin korunması mevzuatıyla kesişme
Gerçek kişiler bakımından bu paylaşım, aynı zamanda 6698 sayılı Kanun kapsamında bir veri işleme faaliyetidir. Aydınlatma yükümlülüğünün yerine getirilmesi, verinin amaçla sınırlı kullanılması ve saklama süresi sona erdiğinde imhası beklenir. Onayın geri alınması hâlinde paylaşımın durdurulması gerekir; geri alma bildiriminin yazılı ve ispatlanabilir biçimde yapılması önemlidir.
Kapsam aşıldığında izlenecek yol
- Hangi bilginin, kime, hangi tarihte verildiğinin yazılı olarak sorulması
- Onay metninin kapsamıyla fiili paylaşımın karşılaştırılması
- Veri sorumlusuna başvuru, sonuç alınamazsa Kurula şikâyet
- Ticari itibar zedelenmişse maddi ve manevi zarar kalemlerinin belgelenmesi
Aktarılan bilgiler genel çerçeve niteliğindedir; onay metinlerinin somut ifadesi sonucu doğrudan etkilediğinden, imzalamadan önce metnin hukuki incelemeden geçirilmesi tavsiye edilir.