Kişisel veri işleyen kuruluşlar için en pahalı hata, çoğu zaman verinin kendisinde değil, işlemenin hukuki sebebinde yapılır. KVKK, 6698 sayılı Kanun ve 5651 sayılı Kanun ekseninde hazırlanan bu metin, açık rıza kurgusundaki kusurları ve idari para cezası ile karşılaşıldığında yanlış mercie başvuru riskini ele alır.
Açık rızanın geçersiz sayıldığı tipik kurgular
6698 sayılı Kanun açık rızayı belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan irade beyanı olarak tanımlar. Uygulamada bu üç unsurun tamamı sık sık zedelenir: hizmetin verilmesi rıza şartına bağlanır, tek bir kutucukla hem üyelik hem ticari elektronik ileti hem yurt dışı aktarım rızası alınır ya da rıza metni aydınlatma metniyle iç içe geçirilir. Bunların her biri rızayı sakatlar. Daha temel bir hata ise rızaya hiç ihtiyaç olmayan hâllerde rıza almaktır: sözleşmenin ifası, hukuki yükümlülüğün yerine getirilmesi veya meşru menfaat gibi işleme şartlarından biri varken alınan rıza, veri sahibi rızasını geri çektiğinde işlemeyi dayanaksız bırakır.
Ceza kararı geldiğinde: itiraz kapısı nerede?
İdari yaptırım kararına karşı gidilecek merci, mevzuatta yapılan değişikliklerle farklılaşmıştır. Bu nedenle karar elinize geçtiğinde, kararın dayanağı ve tarihi esas alınarak yürürlükteki hükmün teyit edilmesi gerekir; kararın tebliğ ekindeki başvuru yolu bildirimi de bu açıdan incelenmelidir. Eski bir uygulamaya göre hazırlanmış dilekçeyi yanlış mercie sunmak, kısa olan itiraz süresini tüketir ve ceza kesinleşir. Süre hak düşürücü nitelikte olduğundan, tebliğ tarihinin evrak kaydına geçirilmesi ilk adımdır.
Denetim öncesi kontrol listesi
- Veri envanteri güncel mi; her işleme faaliyeti için hukuki sebep ayrı ayrı yazıldı mı?
- Aydınlatma metni ile açık rıza metni birbirinden ayrıldı mı?
- Rızanın alındığı an, kanal ve metin sürümü kayıt altında mı?
- Rızayı geri alma mekanizması, en az rıza vermek kadar kolay mı?
- Yurt dışına aktarım ve aktarılan üçüncü taraflar listesi güncel mi?
- 5651 kapsamındaki log kayıtları, saklama süresi ve bütünlüğü sağlanmış mı?
Veri sahibi başvurusu ile Kurul şikâyeti arasındaki sıra
Veri sahibi, önce veri sorumlusuna başvurmak zorundadır; başvuru reddedildiğinde veya süresinde cevap verilmediğinde Kurul'a şikâyet yolu açılır. Veri sorumlusu açısından bu kademe bir savunma imkânıdır: başvuruya süresi içinde, gerekçeli ve belgeye dayalı bir yanıt verilmesi, birçok dosyanın Kurul aşamasına taşınmadan kapanmasını sağlar. Yanıtsız bırakılan başvuru ise hem şikâyet hem de yaptırım riskini birlikte büyütür.
Kısa hatırlatma
Bu içerik genel bilgilendirme amacı taşır. Veri işleme faaliyetinin niteliği ve kararın dayanağı, izlenecek yolu doğrudan değiştirir. Yaptırım kararı tebliğ edildiğinde süre işlemeye başladığından, dosyayı gecikmeden hukuki incelemeye açmanız gerekir.