Kişisel verilerin açık rızaya dayanmadan işlendiği iddiasında hak arama yolu kademelidir. Doğrudan Kurula ya da mahkemeye gitmek yerine önce veri sorumlusuna başvurmak zorunludur; bu basamağın atlanması, esas iddia yerinde olsa bile şikâyetin usulden reddiyle sonuçlanır.
Rıza Gerçekten Açık Rıza mı
Açık rızanın geçerli sayılabilmesi için belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması gerekir. Hizmetin alınmasının rıza verilmesi şartına bağlandığı, tek bir kutucukla birden fazla işleme amacının birlikte onaylatıldığı ya da rızanın sözleşme metnine gömüldüğü hallerde bu unsurlar tartışmalı hale gelir. Ayrıca kanunda sayılan işleme şartlarından biri varsa rızaya hiç ihtiyaç bulunmadığı için, veri sorumlusunun dayandığı hukuki sebebin doğru tespiti savunmanın da iddianın da çıkış noktasıdır.
Kademeli Başvurunun Takvimi
- İlgili kişi, talebini yazılı olarak veya Kurulun belirlediği yöntemlerle veri sorumlusuna iletir.
- Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır.
- Başvuru reddedilir, yetersiz cevap verilir veya hiç cevap verilmezse; cevabın öğrenildiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyet edilir.
- Kurulun verdiği karara karşı idari yargı yolu açıktır.
Bu zincirde en sık yapılan hata, veri sorumlusuna başvuru yapıldığını gösteren kaydın saklanmamasıdır. Elektronik posta, kayıtlı elektronik posta çıktısı veya noter ihtarnamesi gibi tarihi belgelenebilir bir yöntem tercih edilmelidir.
Kurul Kararına Karşı Hangi Mahkeme
Kurul kararları idari işlem niteliğinde olduğundan, iptali istemiyle idare mahkemesinde dava açılır. İdari yargıdaki dava açma süresi kararın tebliğinden itibaren işler ve bu süre, veri ihlalinden doğan tazminat talebi için işleyen sürelerden bağımsızdır. Tazminat ve kişilik haklarına dayalı talepler ise adli yargıda görülür; iki yolun aynı anda ve ayrı takvimlerle yürütülmesi gerekir.
Delil Olarak Ne Sunulur
Rıza metninin ekran görüntüsü ve tarihli sürümü, aydınlatma metni, çerez politikası, veri işleme envanterine ilişkin talepler, gelen ticari iletiler ve bunların gönderim kayıtları dosyaya eklenmelidir. Verinin nereden elde edildiği açıklanamadığında, veri sorumlusunun hesap verebilirlik yükümlülüğü öne çıkar.
İdari Yaptırım ile Kişisel Talep Farkı
Kurulun veri sorumlusuna idari para cezası vermesi, ilgili kişiye doğrudan bir ödeme yapılmasını sağlamaz. Maddi ve manevi zararın giderilmesi için ayrıca dava açılması gerektiği baştan bilinmelidir; aksi halde şikâyet süreci sonuçlandığında tazminat için öngörülen süreler tükenmiş olabilir.
Bu yazı genel çerçeveyi anlatmaktadır. Verinin türü, işleme amacı ve veri sorumlusunun statüsü izlenecek yolu değiştirebileceğinden, başvuru metnini hazırlarken hukuki destek almanız ve tarihleri kayıt altına almanız önerilir.