Kişisel veri uyuşmazlıklarının önemli bir kısmı, açık rızanın hiç alınmamasından değil, alınan rızanın geçerlilik şartlarını taşımamasından doğar. 6698 sayılı KVKK kapsamında açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanıdır. Hizmetin verilmesi rızaya bağlanmışsa ya da rıza metni onlarca farklı işleme faaliyetini tek kutuda toplamışsa, geçerlilik tartışması burada başlar. 5651 sayılı Kanun kapsamındaki içerik uyuşmazlıklarıyla kesiştiğinde tablo daha da katmanlı hale gelir.
Rıza Metnini Test Eden Sorular
- Rıza, hangi veri kategorisi için alındığını açıkça belirtiyor mu?
- Aydınlatma yükümlülüğü rızadan önce ve ayrı biçimde yerine getirilmiş mi?
- Rıza vermeyen kişi hizmetten yararlanmaya devam edebiliyor mu?
- Ticari elektronik ileti onayı ile veri işleme rızası birbirine karıştırılmış mı?
- Rızanın geri alınması için işleyen bir kanal tanımlanmış mı?
Süreyi Kaybettiren En Yaygın Hata
Kişisel veri ihlallerinde en sık rastlanan usul hatası, doğrudan Kurula şikâyet edilmesidir. Kural olarak önce veri sorumlusuna başvurulması gerekir; bu adım atlanırsa başvuru usulden değerlendirilebilir ve kişi baştan başlamak zorunda kalır. Veri sorumlusuna başvuru yapıldıktan sonra da beklemenin sınırsız olmadığı unutulmamalıdır. Cevap verilmemesi veya cevabın yetersiz kalması halinde şikâyet için işleyen süre kaçırıldığında, esasa ilişkin haklı bir talep dahi sonuçsuz kalabilir.
Başvuru Dosyasının Kurulması
- Verinin hangi kanaldan toplandığının belirlenmesi
- Rıza metninin ve aydınlatma bildiriminin ekran görüntüsüyle saklanması
- Veri sorumlusuna yapılan başvurunun tarihini kanıtlayan tebliğ belgesi
- Gelen cevabın tam metni ve cevap tarihinin kaydı
- Silme veya yok etme talebinin sonucunu gösteren yazışmalar
İdari Yol ile Yargı Yolu Arasındaki Tercih
Veri sorumlusu, süreç içinde verileri sildiğini bildirerek uzlaşmacı bir kapanış önerebilir. Bu noktada karar verirken silmenin yalnızca görünen kayıtları mı yoksa yedek sistemleri de mi kapsadığı, verinin üçüncü kişilere aktarılıp aktarılmadığı ve aktarılmışsa onlardan geri alınıp alınmadığı sorulmalıdır. Zarar doğmuşsa idari süreç ile tazminat boyutunun ayrı yollar olduğu ve birinin kapanmasının diğerini kendiliğinden sonlandırmadığı göz önünde tutulmalıdır.
Bu içerik yalnızca genel çerçeveyi aktarır; veri işleme faaliyetinin niteliği ve tarafların konumu değerlendirmeyi değiştirebilir. Başvuru takviminizi kurmadan önce dosyanıza özgü hukuki görüş almanız faydalı olacaktır.