Kişisel verilerin işlenmesinde açık rıza, yalnızca bir onay kutusu değil; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir beyandır. Uyuşmazlıkların önemli bölümü rızanın alınıp alınmadığından çok, alındığının ispat edilememesinden doğar. Bu rehber, 6698 sayılı KVKK kapsamındaki başvuru sürelerini ve ispat sorununu birlikte ele alır.
Rızanın Geçerliliğini Zayıflatan Tipik Kurgular
Hizmetin alınmasının rıza verilmesi şartına bağlanması, tek bir metinde aydınlatma ile rızanın birleştirilmesi, birden fazla amaç için tek bir onay alınması ve önceden işaretlenmiş kutular uygulamada en sık karşılaşılan sorunlardır. Ayrıca sözleşmenin kurulması için zorunlu olan bir veri işleme faaliyetinde ayrıca rıza istenmesi, hukuki sebep karışıklığı yaratır.
Süre Zinciri Nasıl İşler
İlgili kişi önce veri sorumlusuna yazılı olarak başvurur. Veri sorumlusunun talebi en geç otuz gün içinde sonuçlandırması beklenir. Talebin reddi, verilen cevabın yetersiz bulunması veya hiç cevap verilmemesi hâlinde Kişisel Verileri Koruma Kuruluna şikâyette bulunulabilir. Bu şikâyet, cevabın öğrenilmesinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde yapılır. Veri sorumlusuna başvurmadan doğrudan Kurula gidilmesi, şikâyetin esasa girilmeden değerlendirilmemesine yol açar.
Başvuru Dilekçesinde Bulunması Gerekenler
- Kimlik bilgileri ile tebligata esas adres veya elektronik posta adresi
- Talebin hangi veri kategorisine ve hangi işleme faaliyetine ilişkin olduğu
- Rızanın hangi tarihte ve hangi kanaldan alındığı ileri sürülüyorsa buna yönelik itiraz
- Silme, yok etme ve aktarımın durdurulması gibi taleplerin ayrı ayrı yazılması
- Başvurunun yapıldığı tarihi kanıtlayan gönderi kaydı
İspat Yükü Kimin Üzerinde
Açık rızanın varlığını ispat yükü veri sorumlusundadır. Buna karşılık ilgili kişinin de başvurusunu zamanında yaptığını göstermesi gerekir. Bu nedenle başvurunun kayıtlı elektronik posta, noter kanalı veya veri sorumlusunun ilan ettiği başvuru sistemi üzerinden yapılması ve sistem çıktısının saklanması önemlidir. Cevabın hiç verilmediği hâllerde, otuz günlük sürenin dolduğu tarihin belgelenmesi şikâyet süresinin başlangıcını tartışmasız kılar.
Kurul Kararının Ardından
Kurul kararlarına karşı idari yargı yolu açıktır. Ayrıca kişisel verilerin hukuka aykırı işlenmesi nedeniyle uğranılan zarar için genel hükümlere göre tazminat talep edilebilir; bu talebin idari süreçten bağımsız işlediği gözden kaçırılmamalıdır.
Bu metin genel bilgilendirme niteliğindedir. Veri kategorisi, işleme amacı ve veri sorumlusunun statüsü sürece etki ettiğinden, somut olayda bir hukukçuya danışılması yerinde olur.