Kişisel verilerin işlenmesinde açık rıza, sıkça başvurulan ama en kolay sakatlanan hukuka uygunluk sebebidir. 6698 sayılı Kanun açık rızayı belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onay olarak tanımlar. Bu üç unsurdan biri eksikse rıza geçersiz sayılır ve işleme baştan hukuka aykırı hale gelir. Aşağıda hem rızanın geçerliliği hem de başvuru takvimi ele alınmaktadır.
Rızayı Sakatlayan Uygulamalar
- Hizmetin sunulmasını rıza verilmesi şartına bağlamak, iradenin özgürlüğünü ortadan kaldırır
- Aydınlatma metni ile rıza metnini tek bir onay kutusunda birleştirmek
- Rızayı önceden işaretlenmiş kutuyla almak
- Hangi verinin hangi amaçla işleneceğini belirtmeyen genel ifadeler kullanmak
- Aktarım yapılacak üçüncü kişileri hiç göstermemek
Rızanın Geri Alınması ve Sonrası
İlgili kişi verdiği açık rızayı her zaman geri alabilir. Geri alma ileriye etkilidir; yani o ana kadar yapılan işlemenin hukuka uygunluğunu tek başına ortadan kaldırmaz, ancak geri alma anından sonra işlemeye devam edilmesi ihlal oluşturur. Veri sorumlusunun bu talebi yerine getirmesi için başka bir hukuka uygunluk sebebine dayanabildiği hâller ayrıca değerlendirilmelidir; örneğin kanunen saklanması zorunlu kayıtlar rızanın geri alınmasıyla silinmez.
Önce Veri Sorumlusuna Başvuru
Kanun, Kurula şikâyetten önce veri sorumlusuna başvurulmasını zorunlu tutar. Başvuru yazılı olarak veya Kurulun belirlediği yöntemlerle yapılır. Veri sorumlusu, talebi niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırmakla yükümlüdür. Başvurunun tarihi ve tebliğ edildiği yöntem mutlaka kayıt altına alınmalıdır; sonraki tüm süreler bu tarihe bağlanır.
Kurula Şikâyet Penceresi
- Başvuru reddedilir, verilen cevap yetersiz bulunur ya da süresinde cevap verilmezse şikâyet yolu açılır.
- Şikâyet, cevabı öğrenme tarihinden itibaren otuz gün içinde yapılmalıdır.
- Her hâlde başvuru tarihinden itibaren altmış gün geçmekle şikâyet hakkı sona erer.
- Şikâyet dilekçesine, veri sorumlusuna yapılan başvuru ve varsa cevap eklenir.
İdari Yol ile Yargı Yolunun Ayrılığı
Kurula şikâyet, ihlalin idari yaptırımla sonuçlanmasını sağlayabilir; ancak uğranılan maddi ve manevi zararın tazmini genel hükümlere göre ayrıca dava konusu yapılır. Verinin hukuka aykırı biçimde ele geçirilmesi veya yayılması söz konusuysa ceza hukuku boyutu da bağımsız olarak işler. Bu üç yolun süreleri birbirinden farklıdır ve biri diğerinin süresini durdurmaz.
Buradaki açıklamalar genel bilgilendirme amaçlıdır. Verinin türü, işleme amacı ve veri sorumlusunun statüsü değerlendirmeyi değiştirebileceğinden, otuz ve altmış günlük süreler işlemeye başlamışken veri koruma alanında çalışan bir hukukçuya danışılması önerilir.