Kişisel verilerin işlenmesinde açık rıza, sanıldığından daha kırılgan bir hukuki dayanaktır. Rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olması gerekir. Uyuşmazlık çıktığında ise tartışma iki noktaya sıkışır: rızanın varlığını kim ispat edecek ve başvuru süreleri içinde hangi adım atılacak. Bu rehber ikisini birlikte ele alır.
Rızanın İspat Yükü Veri Sorumlusundadır
6698 sayılı Kanun çerçevesinde bir işleme faaliyetinin açık rızaya dayandığını gösterme yükü, veri sorumlusuna aittir. Bu nedenle rıza metninin arşivlenme biçimi, tek başına bir uyum konusudur. Kutucuğun ne zaman, hangi metinle ve hangi arayüzde işaretlendiği kayıt altına alınmamışsa, işleme faaliyeti hukuki dayanağını ispat edemez. Aydınlatma yükümlülüğünün rızadan ayrı ve önce yerine getirilmiş olması da ayrıca belgelenmelidir.
Sık Görülen Rıza Kurgusu Hataları
- Hizmetin verilmesini rızaya bağlamak, yani rızayı zorunlu koşula çevirmek
- Birden çok amacı tek kutucukta toplayıp seçim imkânı bırakmamak
- Rızanın geri alınması için işlevsel bir kanal öngörmemek
- Sözleşmenin ifası gibi başka bir hukuki sebep varken gereksiz yere rıza almak
- Aydınlatma metni ile rıza metnini aynı paragrafta birleştirmek
Başvuru ve Şikâyet Takvimi
İlgili kişi öncelikle veri sorumlusuna başvurmak durumundadır. Kanun, veri sorumlusuna talebi en kısa sürede ve en geç otuz gün içinde sonuçlandırma yükümlülüğü getirir. Talep reddedilir, verilen yanıt yetersiz kalır veya süresinde cevap verilmezse, ilgili kişi yanıtı öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Bu takvimin en kırılgan halkası başvurunun tarihinin ispatıdır; bu nedenle başvuru, tarihi belgelenebilir bir kanaldan yapılmalıdır.
İki Yolun Ayrı Ayrı İşlemesi
Kurula şikâyet yolu ile genel mahkemelerde açılacak tazminat davası birbirinin alternatifi değildir. İdari süreçte hukuka aykırılık tespiti aranırken, tazminat talebinde zararın ve zarar ile işleme arasındaki bağın gösterilmesi gerekir. Zararın belgelenmesi, uygulamada en çok ihmal edilen kalemdir. Ayrıca içerik internette yayılmışsa 5651 sayılı Kanun kapsamındaki kaldırma yolu da paralel biçimde işletilebilir.
Kurum Tarafında Hazırlık Dosyası
Veri sorumlusu tarafında risk azaltmanın ölçütü, bir talep geldiğinde yirmi dört saat içinde şu üç belgenin çıkarılabilmesidir: işleme faaliyetinin envanter kaydı, dayanılan hukuki sebep ve rıza alınmışsa rızanın zaman damgalı kaydı. Bu üçlü hazır değilse, süre içinde verilen cevap dahi içeriksiz kalır.
Yukarıdaki bilgiler genel çerçeveyi aktarır; her işleme faaliyetinin hukuki sebebi kendi bağlamında değerlendirilmelidir. Verilerinizle ilgili bir talebiniz reddedildiyse, şikâyet süresi kısa olduğundan vakit kaybetmeden hukuki görüş alınması yerinde olur.