Kişisel verilerin işlenmesinde açık rızaya dayanıldığı iddia edilen hemen her dosyada tartışma aynı noktaya gelir: rıza gerçekten özgür iradeyle mi verilmiş, yeterince aydınlatılmış mı ve belirli bir işleme faaliyetine mi ilişkin? 6698 sayılı KVKK bu üç unsuru birlikte arar. İhlal iddiası ileri sürüldüğünde ya da idari yaptırım kararıyla karşılaşıldığında, sürecin hangi kanaldan yürütüleceği doğru belirlenmezse esasa ilişkin savunma hiç değerlendirilmeyebilir.
Açık Rızanın Zayıf Halkaları
- Hizmetin sunumunun rıza şartına bağlanması, yani rızanın alternatifsiz hâle getirilmesi.
- Aydınlatma metniyle rıza beyanının tek metinde birleştirilmesi ve ayrı onay alınmaması.
- Rızanın kapsamının genel ifadelerle yazılması, hangi veri türünün hangi amaçla işleneceğinin belirsiz kalması.
- Geri alma yolunun fiilen işletilememesi ya da geri alma sonrası kayıtların silinmemesi.
Bu başlıklar, hem şikâyet dilekçesinin hem de savunmanın iskeletini oluşturur. Denetimde en çok sorgulanan nokta, rızanın alındığı anın kayıtla ispatlanıp ispatlanamadığıdır.
İlgili Kişi İçin Sıralı Yol
Veri koruma mevzuatı doğrudan şikâyetle başlayan bir yapı kurmaz. İlgili kişinin önce veri sorumlusuna başvurması, cevap alamaması ya da cevabı yetersiz bulması hâlinde Kurula şikâyette bulunması beklenir. İlk aşama atlandığında şikâyet usulden değerlendirme dışı kalabilir. Bu nedenle veri sorumlusuna yapılan başvurunun tarihi, gönderim yöntemi ve içeriği mutlaka belgelenmelidir.
Yaptırım Kararı Geldiğinde Hangi Yargı Koluna Gidilir
Kurul kararlarına ve idari para cezalarına karşı başvurulacak merci, mevzuat değişiklikleriyle farklılaşabilmektedir. Bu nedenle karar metninin sonunda yer alan başvuru yolu ve süre bilgisi esas alınmalı, ayrıca yürürlükteki güncel düzenleme kontrol edilmelidir. Yargı kolunun yanlış seçilmesi hâlinde başvuru görev yönünden reddedilir ve bu arada kısa olan süre tükenir. Kararın tebliğ tarihi, dosyanın en kritik verisi olarak ayrı kaydedilmelidir.
Veri Sorumlusu Tarafında Hazırlık
İnceleme başladığında istenen belgeler bellidir: işleme envanteri, saklama ve imha politikası, aydınlatma metinleri, rıza kayıtları, veri işleyenlerle yapılan sözleşmeler ve varsa ihlal bildirim kayıtları. Bu setin denetim öncesinde hazır bulunması, sadece savunmayı değil, yaptırımın ölçüsünü de etkileyebilecek bir uyum göstergesidir. Yayınlanan içeriklerin kaldırılmasına ilişkin talepler söz konusuysa, 5651 sayılı Kanun kapsamındaki ayrı süreç de gözden geçirilmelidir.
Yukarıdaki değerlendirmeler genel bilgilendirme amacı taşır. Veri işleme faaliyetinin niteliği ve kararın içeriği izlenecek yolu değiştirebileceğinden, süre işlemeye başlamışken karar metninin bir hukukçuyla birlikte okunması yerinde olacaktır.