Kişisel verilerin açık rızaya dayandırıldığı hâllerde tartışma çoğu kez rızanın varlığı üzerinde değil, geçerliliği ve geri alınabilirliği üzerinde çıkar. 6698 sayılı Kişisel Verilerin Korunması Kanunu ve gerektiğinde 5651 sayılı Kanun çerçevesinde bu rehber, veri sahibinin izleyeceği başvuru sırasını ve süre yönetimini konu alıyor.
Açık Rızayı Geçersiz Kılan Durumlar
Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanıdır. Hizmetin alınması rızaya bağlanmışsa, rıza metni aydınlatma metniyle birleştirilmişse veya kapsamı belirsiz genel bir onay alınmışsa geçerlilik tartışması doğar. Ayrıca kanunda öngörülen bir işleme şartı varken ayrıca rıza alınması, işlemenin dayanağını belirsizleştirir.
Zorunlu İlk Durak: Veri Sorumlusuna Başvuru
Kurula doğrudan gidilmesi çoğu kez başvurunun iade edilmesiyle sonuçlanır; çünkü kural olarak önce veri sorumlusuna yazılı başvuru yapılması gerekir. Başvuru metninde kimlik bilgileri, talebin konusu ve dayanağı açıkça yer almalıdır. Talep tek cümlelik olmamalı; verilerin silinmesi, üçüncü kişilere aktarımın durdurulması ve aktarım yapılanlara bildirim gibi kalemler ayrı ayrı istenmelidir.
Süre Takvimini Kurmak
- Başvurunun veri sorumlusuna ulaştığı tarih belgelendirilir; kayıtlı elektronik posta veya noter kanalı tercih edilir
- Veri sorumlusunun cevap için öngörülen süresi takvime işlenir
- Cevap verilmemesi veya cevabın yetersiz bulunması hâlinde Kurula şikâyet için tanınan süre ayrıca izlenir; bu süre sınırlıdır ve kaçırıldığında şikâyet yolu kapanabilir
- Rızanın geri alındığı tarih, sonraki işlemelerin hukuka aykırılığını belirlediği için ayrıca kaydedilir
Şikâyet Dilekçesinde Ne Aranır
Kurula yapılan şikâyette, veri sorumlusuna yapılan başvurunun ve alınan cevabın eklenmesi gerekir. Dilekçede hangi verinin, hangi amaçla, hangi hukuki sebebe dayanılarak işlendiği ve bunun neden hukuka aykırı olduğu somutlaştırılmalıdır. Zararın oluştuğu iddia ediliyorsa buna ilişkin belgeler de eklenir.
İdari Süreçle Yargı Yolunun İlişkisi
Kurul kararı, veri sahibinin uğradığı zarar için ayrıca genel hükümlere göre tazminat talep etmesine engel değildir. Bazı dosyalarda veri sorumlusu, şikâyet aşamasında verilerin silinmesi ve taahhüt verilmesi yoluyla anlaşma önerir. Böyle bir teklif değerlendirilirken silme işleminin yedekleri de kapsayıp kapsamadığı ve aktarım yapılan üçüncü kişiler nezdinde ne yapılacağı yazılı olarak netleştirilmelidir; aksi hâlde veri dolaşımda kalmaya devam eder.
Yukarıdaki açıklamalar genel bilgi niteliğindedir. İşleme faaliyetinin yapısı ve elinizdeki belgeler süreci değiştirebileceğinden, başvuru öncesinde hukuki değerlendirme almanız yararlı olacaktır.