Açık rızaya dayandırılan veri işleme faaliyetleri, KVKK denetimlerinde idari para cezasına en sık konu olan başlıklardandır. Uygulamada sorun çoğu zaman verinin işlenmiş olmasından değil, rızanın alınma usulünden doğar. 6698 sayılı Kanun açık rızayı belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan beyan olarak tanımlar; bu üç unsurdan biri eksikse ortada hukuken geçerli bir rıza yoktur ve işleme faaliyeti dayanaksız kalır.
Rızayı Geçersiz Kılan Usul Kusurları
Denetimlerde tekrar eden hataların büyük kısmı metin kurgusundan kaynaklanır. Aşağıdaki durumlar, içerik doğru olsa bile işlemi usule aykırı hâle getirir:
- Hizmetin verilmesinin rıza şartına bağlanması, yani rızanın özgür iradeye dayanmaması
- Aydınlatma metni ile rıza beyanının tek bir onay kutusunda birleştirilmesi
- Önceden işaretlenmiş kutucuk veya sessiz kalmanın onay sayılması
- Geçmişte başka bir amaç için alınmış rızanın yeni faaliyete genişletilmesi
- Geri alma kanalının metinde yazılı olup fiilen çalışmaması
Denetim Öncesi Kontrol Listesi
- Veri envanterindeki her faaliyet için hukuki sebep sütunu doldurulur; sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat ile karşılanabilen işlemler rıza kapsamından çıkarılır.
- Rıza gerçekten zorunluysa, alınma anı, kanalı ve metin sürümü zaman bilgisiyle birlikte kayıt altına alınır.
- Geri alma talebinin sisteme düşüş süresi ve işlemenin fiilen durup durmadığı test edilir.
- Çalışan ve iş başvurusu verilerinde rızanın özgürlüğü ayrıca sorgulanır; bağımlılık ilişkisi bulunan hâllerde rıza tek başına güvenli dayanak değildir.
- Yurt dışına aktarım söz konusuysa aktarıma ilişkin ayrı bir değerlendirme yapılır; genel bir onay metni bu ihtiyacı karşılamaz.
İspat Yükü Kimde?
Rızanın varlığını ve kapsamını göstermek veri sorumlusuna düşer. Bu nedenle kontrol listesinin çıktısı bir metin dosyası değil, gösterilebilir kayıt olmalıdır: hangi kişiye, hangi tarihte, hangi metin sürümünün sunulduğu ve onayın nasıl kaydedildiği. Sürüm takibi yapılmayan sistemlerde, metin sonradan güncellendiğinde geçmiş onayların hangi içeriğe verildiği ispatlanamaz hâle gelir.
Kurul Yazısına Cevap Verirken
Bilgi ve belge talebi içeren yazılarda tanınan süre kısadır ve cevabın gecikmesi başlı başına yaptırım sebebi olabilir. Cevap dosyası hazırlanırken teknik ve idari tedbirlere ilişkin belgeler, ilgili kişi başvurularının nasıl yanıtlandığı ve varsa veri ihlali bildirimi süreci ayrı başlıklar hâlinde sunulmalıdır. İhlal bildirimi ile rıza tartışması birbirine karıştırıldığında savunmanın odağı dağılır.
Ceza Tebliğ Edildiğinde İzlenecek Yol
Yaptırım kararında öncelikle tebliğ tarihi ve kararın altında yer alan yargı yolu ile süre bildirimi esas alınır. Kurul kararlarına karşı başvurulacak merci mevzuat değişiklikleriyle güncellendiğinden, eski tarihli örneklere göre hareket etmek yanlış merciye başvuru ve süre kaybı riski doğurur. Başvuru dilekçesinde hem işlemin usulüne, hem ceza miktarının belirlenmesinde gözetilen ölçütlere ilişkin itirazlar birlikte ileri sürülmelidir.
Buradaki değerlendirmeler genel nitelikte olup her veri işleme faaliyetinin kendi teknik ve sözleşmesel bağlamı vardır. Kendi organizasyonunuza ilişkin bir kararı uygulamaya koymadan önce dosyanızın ayrıntılarıyla birlikte hukuki görüş alınması yerinde olur.