Açık rıza, kişisel veri işlemenin genel anahtarı değil, 6698 sayılı KVKK bakımından istisnai bir hukuka uygunluk sebebidir. Uygulamada idari para cezası tartışmalarının önemli bölümü rızanın hiç alınmamasından değil, alındığının ve geçerli biçimde alındığının gösterilememesinden doğar. Bu rehber, açık rıza dosyasını inceleme anında ayakta kalacak şekilde kurmak için sıralı bir risk azaltma listesi sunar.
Rızanın Geçerliliğini Bozan Üç Yapısal Hata
- Hizmet şartına bağlama: kişi onay vermeden işlemi tamamlayamıyorsa özgür iradeden söz edilemez; bu durumda dosyada rıza metni bulunması sonucu değiştirmez.
- Genel ve sınırsız metin: hangi veri kategorisinin hangi amaçla işleneceği belirli değilse rıza belirli bir konuya ilişkin sayılmaz.
- Aydınlatma ile rızanın tek metne gömülmesi: bilgilendirme ayrı bir yükümlülüktür; iki metin birleştirildiğinde her ikisi de tartışmalı hale gelir.
Delil Eksikliği Tam Olarak Nerede Başlar
İspat külfeti veri sorumlusundadır. Bir ekran görüntüsü, onayın kim tarafından, ne zaman, hangi kanaldan ve hangi metin sürümüne verildiğini göstermez. Metin güncellendiğinde eski sürüm arşivlenmemişse, geçmişte alınan onayların içeriği geriye dönük olarak kanıtlanamaz. Aynı boşluk rızanın geri alınması talepleri için de geçerlidir: geri alma kaydı tutulmuyorsa, işlemenin ne zaman durdurulduğu gösterilemez.
Denetime Hazır Rıza Arşivi
- Her onay kaydına kimlik referansı, tarih-saat ve kanal bilgisi bağlanır.
- Onay anında yürürlükte olan metnin sürüm numarası kayda iliştirilir ve o sürüm değişmez biçimde saklanır.
- Geri alma talepleri aynı tabloda, aynı ayrıntı düzeyiyle tutulur.
- Rızaya dayanmayan işlemeler ayrı sütunda gösterilir; hangi işlemenin sözleşme, hukuki yükümlülük veya diğer işleme şartına dayandığı açıkça yazılır.
- Kayıtlara erişim ve değiştirme yetkisi sınırlandırılır, değişiklik izleri korunur.
Cezai Riski Büyüten Sessiz Alanlar
Çalışan verileri, özel nitelikli veriler, çerez ve reklam kimlikleri, üçüncü taraf pazarlama aktarımları ile yurt dışına aktarım genellikle rıza arşivinin dışında kalır. Bu alanlar çoğu zaman ayrı bir ekip tarafından yönetildiği için envanterde görünmez; şikâyet geldiğinde ise ilk sorulan yer burasıdır.
Kurul Yazısı Geldiğinde İzlenecek Sıra
Gelen yazının hangi veri konusu kişiye ve hangi işleme faaliyetine ilişkin olduğu önce netleştirilir; ardından o faaliyete ait onay kaydı, aydınlatma metni ve saklama süresi tek bir dosyada birleştirilir. Yanıtta sunulmayan belgenin sonradan güçlükle tartışıldığı gözetilerek, cevap yazısı belge ekleriyle birlikte hazırlanır.
Buradaki değerlendirmeler genel nitelikte olup her kuruluşun veri işleme yapısı farklıdır. Somut bir inceleme veya şikâyet dosyasında, işleme faaliyetinin ayrıntısına göre hukuki destek alınması yerinde olur.