Kişisel veri işleme faaliyetlerinde en çok tartışılan başlık, açık rızanın gerçekten geçerli biçimde alınıp alınmadığıdır. KVKK, 6698 ve 5651 sayılı düzenlemeler ekseninde hazırlanan bu kontrol listesi, inceleme başlamadan önce yapılabilecek hazırlığı, savunma yazısının kurgusunu ve idari yaptırım kararına karşı yola çıkma tercihini ele alır.
Açık Rızanın Geçerlilik Testi
Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir onaydır. Bu üç unsurdan biri eksikse, alınan onay hukuki dayanak olarak işlev göremez. Uygulamada en sık rastlanan sorun, rızanın hizmetin ön koşulu hâline getirilmesidir; hizmetten yararlanmak için onay vermek zorunda bırakılan kullanıcının iradesinin özgür olduğu söylenemez.
Rızaya Dayanmadan Önce Sorulacak Soru
Kontrol listesinin en kritik maddesi şudur: bu işleme faaliyeti gerçekten açık rızaya mı dayanmalıdır? Sözleşmenin kurulması veya ifası, hukuki yükümlülüğün yerine getirilmesi ya da meşru menfaat gibi başka bir işleme şartı mevcutken rıza almak, hem gereksiz hem de riskli olabilir; çünkü rızanın geri alınması hâlinde faaliyetin dayanağı ortadan kalkar. Bu nedenle her işleme faaliyeti için dayanak ayrı ayrı belirlenmeli ve envantere yazılmalıdır.
İnceleme Öncesi Hazır Olması Gereken Belgeler
- Veri işleme envanteri ve saklama imha politikası
- Aydınlatma metinlerinin sürüm geçmişi ve yayın tarihleri
- Rızanın alındığı ekran akışını gösteren kayıtlar ve zaman damgaları
- Yurt dışına aktarım varsa buna ilişkin belge ve taahhütler
- Veri işleyenlerle imzalanan sözleşmeler ve teknik tedbir kayıtları
- İlgili kişi başvurularının nasıl yanıtlandığını gösteren kayıt sistemi
Savunma Yazısının Kurgusu
Savunma yazısı, iddia edilen ihlali reddetmekle yetinmemeli; işleme faaliyetinin hukuki dayanağını, alınan teknik ve idari tedbirleri ve ihlalin tespiti hâlinde alınan düzeltici adımları belgeye bağlayarak anlatmalıdır. Aydınlatma yükümlülüğü ile açık rıza yükümlülüğünün ayrı başlıklar olduğu gözden kaçırılmamalı, her biri ayrı bölümde ele alınmalıdır. İhlal bildirimi yapılmışsa, bildirimin zamanlaması ve kapsamı da savunmanın parçasıdır.
Karara Karşı Yola Çıkarken
İdari yaptırım kararı tebliğ edildiğinde ilk kontrol edilecek konu, başvurulacak merci ve süredir. Bu konuda mevzuatta değişiklik yapılmış olması nedeniyle, karar tarihinde yürürlükte olan hükme göre görevli yargı yerinin teyit edilmesi gerekir; yanlış mercie yapılan başvuru, süre kaybına yol açan en tipik hatadır. Ödeme yapılarak dosyanın kapatılması ile karara karşı dava açılması arasındaki tercihte yalnızca ceza tutarı değil, kararın gerekçesinin ileride benzer faaliyetler için oluşturacağı bağlayıcı etki de hesaba katılmalıdır.
Buradaki değerlendirmeler genel bilgilendirme amacı taşır. İşleme faaliyetinin niteliği ve kararın gerekçesi seçenekleri değiştirdiğinden, karar elinize ulaştığında belgelerle birlikte hızlı bir inceleme yapılması gerekir.