Kişisel veri uyuşmazlıklarının önemli kısmı, verinin işlenip işlenmediği değil hangi hukuki sebebe dayanıldığı üzerinde yoğunlaşır. Açık rıza, 6698 sayılı Kanun'daki işleme şartlarından yalnızca biridir; buna rağmen uygulamada her işleme için toplanmaya çalışılır. Bu rehber, açık rızanın geçerlilik koşullarını ve rızaya dayanılamayan hâllerdeki başvuru–şikâyet zincirini süre yönetimiyle birlikte ele alır.
Geçerli Açık Rızanın Üç Unsuru
Kanun açık rızayı; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onay olarak tanımlar. Bu üç unsurdan biri eksikse alınan onay hukuken sonuç doğurmaz. Uygulamada en sık karşılaşılan sakatlıklar şunlardır:
- Hizmetin sunulmasının rızaya bağlanması; yani rıza vermeyen kişinin hizmetten yararlandırılmaması.
- Aydınlatma metni ile rıza metninin tek bir kutucukta birleştirilmesi.
- "Her türlü amaçla işlenmesini kabul ediyorum" gibi kapsamı belirsiz genel ifadeler.
- Rızanın geri alınabileceğine ilişkin bilginin hiç verilmemesi.
Sözleşmenin kurulması veya hukuki yükümlülüğün yerine getirilmesi gibi başka bir işleme şartı zaten mevcutken ayrıca rıza istenmesi de, ilgili kişide yanıltıcı bir izlenim doğurduğu için eleştirilir.
Başvuru Zinciri ve Süreler
İlgili kişi doğrudan Kurul'a gidemez; önce veri sorumlusuna başvurmak zorundadır. Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Başvuru reddedilir, verilen cevap yetersiz bulunur ya da hiç cevap verilmezse, cevabı öğrenme tarihinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyette bulunulur. Bu takvim nedeniyle başvurunun tarihi belgelenebilir bir kanaldan yapılması gerekir; KEP, noter veya veri sorumlusunun ilan ettiği başvuru yöntemi tercih edilmelidir.
İspat Dosyasını Kim Kurar?
İşlemenin hukuka uygun olduğunu göstermek veri sorumlusuna düşer. Bu nedenle veri sorumlusu tarafında kişisel veri işleme envanteri, saklama ve imha politikası, aydınlatma metninin sürüm geçmişi ve rıza kayıtlarının zaman damgalı biçimde tutulması gerekir. İlgili kişi tarafında ise verinin nereden geldiğini gösteren izler önem taşır: hiç ilişki kurulmamış bir şirketten gelen ticari elektronik ileti, üçüncü kişiden veri aktarımı yapıldığının göstergesi olabilir. İleti izin sisteminden alınacak kayıtlar bu iddiayı destekler.
Şikâyet mi, Tazminat Davası mı?
Kurul'a şikâyet idari yaptırım sürecini başlatır; kişisel zararın giderilmesi ise genel hükümlere göre açılacak tazminat davasının konusudur. İki yol birbirini engellemez, ancak birbirini besler: Kurul kararında yer alan tespitler, tazminat davasında güçlü bir dayanak oluşturur. Bu nedenle acele bir uzlaşma yerine önce idari sürecin sonucunu beklemek, çoğu dosyada daha isabetli bir tercihtir. Veri sorumlusundan gelen "kayıtları sildik" bildiriminin, ihlalin hiç yaşanmadığı anlamına gelmediği de gözden kaçırılmamalıdır.
Bu metin genel bilgilendirme sunar ve her veri işleme faaliyeti kendi koşulları içinde değerlendirilmelidir. Süre zincirinin kısalığı nedeniyle, başvurunuzu göndermeden önce içeriğini hukuki açıdan gözden geçirtmeniz yararlı olacaktır.