Kişisel veri işleyen kuruluşlar için en sık tartışılan mesele, işlemenin geçerli bir açık rızaya dayanıp dayanmadığıdır. Rıza usulüne uygun alınmadığında sonuç, ağır bir idari para cezası olabilir. Rehber, denetim ve şikâyet sürecinde rızanın kanıtlanamamasından doğan delil eksikliği riskine odaklanır.
Açık Rızanın Geçerlilik Koşulları
KVKK ve 6698 sayılı Kanun, açık rızayı belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir onay olarak tanımlar. Genel bir metne gömülü, hizmetin ön şartı hâline getirilmiş onaylar bu ölçütleri karşılamaz. Rızanın hangi amaçla ve nasıl alındığı, geçerliliğin özünü oluşturur.
Rızayı Kanıtlayan Kayıtlar
- Rızanın alındığı tarih, kanal ve metnin içeriği
- Aydınlatma yükümlülüğünün yerine getirildiğini gösteren kayıtlar
- İlgili kişinin rızayı geri alabildiğini gösteren mekanizma
- Verinin işleme amacıyla sınırlı tutulduğunu ortaya koyan belgeler
İspat Yükü Veri Sorumlusundadır
Bir uyuşmazlıkta "kişi rıza verdi" demek yeterli değildir; bunu belgelemek veri sorumlusuna düşer. Rıza kaydı tutulmamışsa, işleme hukuka aykırı sayılabilir. İşte delil eksikliği tam bu noktada idari para cezasının kapısını aralar.
Cezaya Karşı Savunma
İdari para cezasına karşı, cezanın koşullarının oluşmadığı veya işlemenin başka bir hukuki sebebe dayandığı ileri sürülebilir. Bazı işlemeler için açık rıza gerekmez; hukuki yükümlülük veya meşru menfaat gibi sebepler geçerli olabilir. 5651 sayılı Kanun kapsamındaki yükümlülükler de bu değerlendirmeye dâhil olabilir.
Veri koruma dosyalarında sorumluluk, çoğu zaman rızanın alınıp alınmadığından çok, alındığının kanıtlanıp kanıtlanamadığına bağlıdır. Somut durumunuzda rıza ve aydınlatma kayıtlarınızı gözden geçirerek hukuki destek almanız, hem ceza riskini hem de itibar kaybını azaltır.