Kişisel verilerin işlenmesine dayanak olarak açık rıza gösteren kuruluşlar, denetim sırasında çoğu zaman aynı soruyla karşılaşır: bu rızanın alındığını ve geçerli olduğunu nasıl ispat ediyorsunuz? 6698 sayılı Kişisel Verilerin Korunması Kanunu ile internet ortamındaki yayınlara ilişkin 5651 sayılı Kanun birlikte değerlendirildiğinde, idari para cezası riskinin büyük bölümünün hukuki yorumdan değil, kayıt düzeni eksikliğinden doğduğu görülür.
İspat yükü veri sorumlusundadır
Bir işleme faaliyetinin açık rızaya dayandığını savunuyorsanız, rızanın varlığını gösterme yükümlülüğü sizdedir. Bu yüzden savunma, rızanın alındığı anı yeniden kurabilmelidir: rıza hangi ekranda, hangi metinle, hangi tarihte ve kim tarafından verildi? Yalnızca "onay kutusu vardı" demek yetmez; o tarihte yürürlükte olan metnin sürümü ve kaydın kendisi gerekir.
Denetimde istenen kayıt seti
Bir inceleme başladığında kısa sürede sunulması gereken belgeler bellidir. Bunları önceden hazır tutmak, savunmanın kalitesini doğrudan yükseltir:
- Aydınlatma metninin tarihli sürümleri ve hangi tarihte hangi metnin gösterildiğine dair kayıt
- Rıza kaydının zaman damgalı log dökümü ve rızanın kapsamını gösteren metin
- Veri işleme envanteri ile işleme amaçlarının eşleşme tablosu
- Yurt dışına aktarım varsa dayanağını gösteren belgeler
- Rızanın geri alınmasına ilişkin talep kayıtları ve bunların ne kadar sürede işlendiği
Rızanın geçersiz sayıldığı tipik kurgular
Uygulamada rızanın geçerliliği en çok üç noktada tartışılır. Birincisi, hizmetin sunulmasının rıza verilmesi şartına bağlanmasıdır; özgür iradeyle verilmediği değerlendirilen bir rıza dayanak oluşturmaz. İkincisi, farklı amaçların tek bir kutucukta toplanmasıdır; ticari elektronik ileti onayı ile işleme rızasının birbirine karışması yaygın bir hatadır. Üçüncüsü, geri alma imkânının fiilen sağlanmamasıdır. Bu üç başlık, cezaya karşı savunma hazırlarken en önce kontrol edilmesi gereken noktalardır.
İtiraz mı, uyum planı mı
Ceza kararı tebliğ edildiğinde, öngörülen kanun yolu ve süresi kararın kendisinde gösterilir; başvurunun hangi mercie ve hangi süre içinde yapılacağı, mevzuattaki güncel duruma göre tebliğ edilen metin üzerinden teyit edilmelidir. Karar verirken şu ayrımı yapın: eğer tartışma somut bir maddi hataya ya da işlemenin aslında başka bir hukuki sebebe dayandığına ilişkinse, itirazın belgeyle desteklenmesi mümkündür. Buna karşılık eksiklik gerçek bir uyum boşluğundan kaynaklanıyorsa, enerjinizi uzun bir itiraz sürecine değil, tekrarını önleyecek kayıt altyapısına ayırmak daha isabetli olabilir. Her hâlde, itiraz süresi işlerken uyum çalışmasının başlatılmış olması, sonraki değerlendirmelerde lehinize bir tablo oluşturur.
Kapanış
Buradaki bilgiler genel niteliktedir. İşleme faaliyetinin kapsamı, veri kategorisi ve kararın gerekçesi izlenecek yolu değiştirir. Ceza kararını aldığınızda, süre kaybetmeden hem hukuki hem teknik tarafı birlikte değerlendirecek bir destek almanız önerilir.