Kişisel verilerin işlenmesinde açık rızaya dayanılan durumlar, denetimlerde en çok tartışılan başlıklardan biridir. Rızanın gerçekten özgür iradeyle verilip verilmediği, belirli bir konuya ilişkin olup olmadığı ve bilgilendirmenin yeterliliği sorgulanır. Verilen idari para cezası sonrası ise ikinci bir sorun ortaya çıkar: başvurunun hangi mercie ve hangi süre içinde yapılacağı. Bu rehber ikisini birlikte ele alır.
Açık rızanın geçerlilik ölçütleri
- Rızanın belirli bir işleme faaliyetine ilişkin olması; genel ve kapsayıcı metinlerin geçerli sayılmaması
- Bilgilendirmenin rızadan önce ve anlaşılır biçimde yapılması
- Hizmetin sunulmasının rızaya bağlanmaması, yani rızanın gerçekten özgür iradeye dayanması
- Aydınlatma yükümlülüğü ile rızanın ayrı metinlerde ve ayrı onaylarla alınması
- Geri alma imkânının fiilen kullanılabilir olması ve geri alma sonrası işlemenin durdurulması
Denetimde en sık rastlanan tespit, aydınlatma metni ile rıza metninin tek bir onay kutusunda birleştirilmesidir. Bu durumda rızanın geçerliliği tartışmalı hale gelir ve işleme faaliyeti dayanaksız kalabilir.
Ceza kararı geldiğinde ilk kontroller
- Kararın tebliğ tarihi ve tebligatın kime yapıldığı kayda alınır.
- Kararın altında gösterilen başvuru yolu ve süresi bilgisi mutlaka okunur.
- Ceza hangi yükümlülüğün ihlaline dayandırılmış, tespitin dayanağı hangi belge, ayrı ayrı çıkarılır.
- Aynı olaya ilişkin başka bir inceleme ya da veri ihlali bildirimi bulunup bulunmadığı kontrol edilir.
- Ödeme yapılması halinde indirim uygulanıp uygulanmayacağı, itiraz iradesiyle birlikte değerlendirilir.
Merci sorusunu ciddiye almak
Kişisel verilere ilişkin idari yaptırım kararlarına karşı başvurulacak merci konusunda mevzuatta değişiklik yapılmıştır. Bu nedenle işlem tarihine göre farklı yolların uygulanması söz konusu olabilir; kimi dönemlerde sulh ceza hâkimliği, kimi dönemlerde idari yargı gündeme gelir. Bu belirsizliğe rağmen tek güvenli yöntem aynıdır: kararın kendisinde gösterilen başvuru yolunu ve süresini esas almak, tereddüt halinde işlem tarihinde yürürlükte olan hükmü teyit etmek. Yanlış mercie yapılan başvuru süreyi kural olarak korumaz ve karar kesinleşebilir.
Savunmayı belgeyle kurmak
İtiraz dilekçesinde soyut hukuka aykırılık iddiası yeterli olmaz. Veri envanteri, saklama ve imha politikası, aydınlatma ve rıza metinlerinin sürüm geçmişi, erişim yetkisi kayıtları ve varsa teknik tedbir raporları dosyaya konmalıdır. Metinlerin hangi tarihte güncellendiğini gösteren kayıt, işleme faaliyetinin tespit tarihinde hangi çerçevede yürüdüğünü ortaya koyar. Ceza miktarına yönelik itirazda ise fiilin ağırlığı, kusur ve varsa iyileştirme adımları ayrı bir başlıkta gösterilmelidir.
Ceza sonrası düzeltme planı
İtiraz süreci sürerken uygulamadaki eksikliğin giderilmesi ayrıca önemlidir. Aynı ihlalin devam etmesi, yeni bir inceleme ve yeni bir yaptırım riski doğurur. Bu nedenle rıza akışının yeniden tasarlanması, sözleşme ve meşru menfaat gibi diğer işleme şartlarının uygun olup olmadığının gözden geçirilmesi eş zamanlı yürütülmelidir.
Yukarıdaki açıklamalar genel bilgi niteliğindedir. İşleme faaliyetinin kapsamı ve kararın tarihi izlenecek yolu belirlediğinden, karar elinize ulaştığı anda hukuki değerlendirme almanız yerinde olur.