Veri koruma incelemelerinde en sık karşılaşılan tartışma, işlemenin hukuki dayanağının gerçekten açık rıza olup olmadığıdır. 6698 sayılı KVKK ve internet ortamındaki faaliyetler bakımından 5651 sayılı Kanun birlikte değerlendirildiğinde, veri sorumlusunun savunması büyük ölçüde sistem kayıtlarına dayanır. Bu yazı, idari para cezası riskine karşı delil eksikliği nasıl giderilir sorusunu ele alıyor.
İspat Yükü Veri Sorumlusundadır
Rızanın alındığını göstermek ilgili kişiye değil, veri sorumlusuna düşer. Bu nedenle "kullanıcı kabul etmişti" savunması, tarih ve içerik bakımından doğrulanabilir bir kayıtla desteklenmediğinde sonuç doğurmaz. Kayıt, rızanın hangi metne, hangi anda ve hangi kanaldan verildiğini birlikte göstermelidir.
Rıza Kaydının Taşıması Gereken Unsurlar
İnceleme sırasında sorulan sorulara cevap verebilmek için tutulması gereken asgari veri seti şudur:
- Onay anının zaman damgası ve işlem kimliği
- O anda kullanıcıya gösterilen metnin sürümü ve arşiv kopyası
- Onayın hangi arayüz üzerinden verildiği ve varsa işlem kaydı
- Rızanın geri alınması talebi geldiyse, talebin işlendiği an
- Aydınlatma yükümlülüğünün ayrıca yerine getirildiğini gösteren kayıt
Aydınlatma ile Rızayı Karıştırmamak
Uygulamadaki tekrar eden hata, aydınlatma metni ile rıza metninin tek bir kutucukta birleştirilmesidir. Aydınlatma her halde yerine getirilmesi gereken bir yükümlülükken, açık rıza yalnızca belirli işlemler için gerekli bir hukuki sebeptir ve özgür iradeye dayanmalıdır. Hizmetin verilmesi rıza şartına bağlanmışsa, rızanın özgür iradeye dayandığı savunması güçsüz kalır. Savunma hazırlanırken, işlemenin aslında başka bir hukuki sebebe dayandırılabilip dayandırılamayacağı da mutlaka değerlendirilmelidir.
İnceleme Aşamasında Savunma Kurgusu
Kuruma verilecek cevap, sorulan soruların sırasına birebir uyarak yazılmalı; her cevabın altına dayanağı olan ekran görüntüsü, log kaydı veya politika belgesi eklenmelidir. Veri envanteri, saklama ve imha politikası ile varsa veri işleyen sözleşmeleri, sistemli bir yapının varlığını gösterdiği için değerlendirmede ağırlık taşır. Eksik bir uygulamanın inceleme sırasında giderilmiş olması da ayrıca belgelenmelidir.
Ceza Kararına İtiraz Yolu
İdari para cezasına karşı başvurulacak merci ve süre, kararın tebliğ edildiği yazıda gösterilir; kabahatler mevzuatı çerçevesinde bu itirazlar kural olarak sulh ceza hâkimliği önünde ileri sürülür. Süre kısa olduğundan tebliğ tarihinin kaydedilmesi ilk adımdır. İtiraz dilekçesinde hem işlemin hukuki dayanağına hem de cezanın miktarının belirlenmesinde gözetilen ölçütlere ayrı ayrı itiraz edilmesi, kısmi sonuç alınabilmesi bakımından önemlidir.
Yukarıdaki açıklamalar genel niteliktedir; işlenen verinin türü ve faaliyetin kapsamı değerlendirmeyi değiştirebilir. Bir inceleme yazısı ulaştıysa, cevap süresi işlemeye başlamadan hukuki görüş almanız uygun olur.