Kişisel verilerin işlenmesinde açık rızaya dayanıldığı hâllerde, rızanın hukuka uygun alındığını göstermek veri sorumlusunun görevidir. 6698 sayılı KVKK kapsamında kesilen idari para cezalarının önemli bir bölümü, işlemenin kendisinden değil, rızanın ispatlanamamasından doğar.
Ceza Kararının Dayanağını Okumak
İtiraz stratejisi, kararın hangi yükümlülük ihlaline dayandırıldığı belirlenmeden kurulamaz. Aydınlatma yükümlülüğünün ihlali, veri güvenliğine ilişkin tedbirlerin alınmaması ve hukuka aykırı işleme birbirinden farklı gerekçelerdir; savunma da buna göre ayrışır. Açık rıza tartışmasında kararın çekirdeği genellikle şudur: rıza özgür iradeyle mi verilmiştir, belirli bir konuya ilişkin midir, bilgilendirmeye mi dayanmaktadır?
İtiraz Nereye Yapılır?
Kurul kararları tek tip değildir. Verilen idari para cezasına karşı izlenecek yol ile Kurulun veri sorumlusuna yönelttiği talimat niteliğindeki kararlara karşı açılacak davanın mercii aynı olmayabilir; idari para cezalarına itirazda kabahatler mevzuatının genel çerçevesi ile idari yargı yolu arasındaki ayrım uygulamada tartışma konusudur. Bu nedenle merci tercihi, kararın tebliğ metninde yer alan başvuru yolu bilgisi ve güncel yargısal uygulama birlikte değerlendirilerek yapılmalı; tereddüt hâlinde süre kaçırılmaması için başvuru en erken tarihte yapılmalıdır.
Sürenin İşlemeye Başladığı An
Süre, kararın usulüne uygun tebliği ile işlemeye başlar. Kurumsal yapılarda tebligatın kayıtlı elektronik posta adresine ulaşması ile ilgili birime iletilmesi arasında geçen süre, çoğu kez hak kaybının asıl sebebidir. Tebligatın kime ve ne zaman ulaştığını gösteren kayıt, itiraz dilekçesinin ekinde yer almalıdır.
Açık Rızanın İspatında Aranan Kayıtlar
- Rızanın alındığı arayüzün o tarihteki görünümü ve metni.
- Onay kaydının zaman damgalı log kayıtları ve bu logların bütünlüğünü gösteren mekanizma.
- Aydınlatma metninin rıza metninden ayrı sunulduğunu gösteren yapı.
- Rızanın geri alınmasına ilişkin başvuruların ne kadar sürede işleme alındığına dair kayıtlar.
- Veri işleme envanteri ve saklama-imha politikasının ilgili faaliyetle uyumu.
Log Eksikliğinin Bedeli
Rıza kaydı tutulmamışsa, savunma tanık beyanıyla ya da genel süreç anlatımıyla kurulmaya çalışılır; bu ise ispat gücü zayıf bir zemindir. Arayüz metni sonradan değiştirildiyse, o tarihteki sürümün gösterilebilmesi gerekir. Sürüm geçmişi tutulmayan sistemlerde bu neredeyse imkânsızdır. Ayrıca 5651 sayılı Kanun kapsamındaki trafik bilgisi saklama yükümlülükleriyle KVKK'daki saklama sınırlarının birlikte yönetilmemesi, bir yükümlülüğe uyarken diğerini ihlal etme sonucunu doğurabilir.
Tebliğden Sonraki İlk Hafta
Karar eline ulaşan veri sorumlusu, öncelikle ilgili sistemlerde log ve arayüz kayıtlarının silinmesini durdurmalı, süreç sahiplerinden yazılı bilgi almalı ve itiraz dilekçesinin dayanacağı belge listesini çıkarmalıdır. Bu adımlar tamamlanmadan yazılan itiraz, çoğunlukla iddia düzeyinde kalır.
Bu yazı genel bilgi sunar; ceza kararının gerekçesi ve kurum yapınız izlenecek yolu değiştirir. İtiraz süresi kısa olduğundan, kararı aldığınız gün hukuki değerlendirme başlatmanız önerilir.