Açık rızaya dayandırılan veri işleme faaliyetleri, denetim aşamasında en çok tartışılan konuların başında gelir. KVKK ve 6698 sayılı Kanun çerçevesinde rızanın varlığı kadar, ne zaman ve hangi kapsamda alındığının ispatı da veri sorumlusuna aittir. Bu rehber, hem başvuru sürecini hem de idari yaptırım aşamasını takvimlemeyi konu alır.
Açık Rızanın Geçerliliğini Belirleyen Unsurlar
Rızanın belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması aranır. Hizmetin sunulmasını rıza şartına bağlamak, rızayı sözleşmenin genel kabul metnine gömmek veya önceden işaretlenmiş kutucuk kullanmak, geçerliliği tartışmalı hâle getirir. Ayrıca rızanın her zaman geri alınabilir olduğu ve geri alma sonrası işlemenin durdurulması gerektiği, sistem tasarımında baştan öngörülmelidir.
Rızanın İspatı: Kayıt Tutma Düzeni
- Rızanın alındığı tarih, saat ve kanal bilgisinin log kayıtlarıyla eşleştirilmemesi
- Rıza alınırken gösterilen aydınlatma metninin o tarihteki sürümünün saklanmaması
- Rıza geri alma taleplerinin hangi tarihte işleme konduğunun izlenememesi
- Yurt dışına aktarım söz konusuysa aktarımın hukuki dayanağına ilişkin belgenin bulunmaması
- İşleme faaliyetinin envanterle uyumsuz olması ve saklama süresinin gerekçesiz uzatılması
Başvuru ve Şikâyet Sırasını Doğru Kurmak
- İlgili kişi, kural olarak önce veri sorumlusuna başvurur; bu başvurunun yapıldığı tarih belgelenir.
- Yanıt verilmemesi veya yanıtın yetersiz kalması hâlinde Kurula şikâyet yolu gündeme gelir.
- Veri sorumlusu tarafında ise talebe verilecek yanıtın süresi ve içeriği önceden şablonlanır.
- İhlal bildirimi gerektiren durumlar için ayrı bir müdahale planı hazırlanır.
- Her adımda hangi belgenin kime iletildiği tek bir kayıt defterinde tutulur.
İdari Para Cezasıyla Karşılaşıldığında
Yaptırım kararı tebliğ edildiğinde ilk yapılması gereken, kararın hangi işleme faaliyetine ve hangi döneme ilişkin olduğunu netleştirmektir. İtiraz için başvurulacak merci ve süre bakımından mevzuatta yapılan değişiklikler nedeniyle yanlış mercie başvuru riski yüksektir; bu nedenle güncel düzenlemenin karar tarihindeki hâliyle kontrol edilmesi zorunludur. Tebliğ tarihini gösteren belgenin saklanması, sürenin başlangıcı tartışmalı hâle geldiğinde belirleyici olur.
Savunmayı Belgeye Dayandırmak
Savunmanın gücü, alınan teknik ve idari tedbirlerin tarihli kayıtlarla gösterilebilmesine bağlıdır. Erişim yetkisi matrisi, şifreleme ve yedekleme uygulamaları, personel eğitim kayıtları ve ihlal sonrası alınan önlemler ayrı başlıklar hâlinde sunulduğunda değerlendirme somutlaşır. Genel ifadelerle yapılan savunmalar, çoğu zaman kayıt eksikliği olarak okunur.
Yukarıdaki bilgiler genel çerçeve sunar; işleme faaliyetinizin niteliği sonucu değiştirebilir. Tebliğ aldığınız bir karar varsa, süre işlemeye başladığından gecikmeden hukuki değerlendirme almanız uygun olur.