KVKK denetimlerinde en çok tartışılan başlıklardan biri, veri işlemenin geçerli bir açık rızaya dayanıp dayanmadığıdır. 6698 sayılı Kanun açık rızayı belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onay olarak tanımlar. Bu üç unsurdan birinin eksikliği, işlemenin hukuki dayanağını ortadan kaldırır ve idari para cezası gündeme gelir. Aşağıda hem ceza riskini azaltan hem de ceza geldiğinde savunmayı kolaylaştıran bir çerçeve yer alıyor.
Açık Rızanın Üç Zayıf Halkası
- Özgürlük: Hizmetin verilmesi rıza şartına bağlanmışsa, rıza özgür iradeyle verilmiş sayılmaz. Üyelik veya sözleşme kurulmasının ön koşulu hâline getirilen onay kutuları bu nedenle sıkça sorun çıkarır.
- Belirlilik: "Tüm veri işleme faaliyetleri için" biçiminde geniş kapsamlı metinler, konu bakımından belirlilik ölçütünü karşılamaz. Her amaç ayrı ayrı gösterilmelidir.
- Bilgilendirme: Aydınlatma yükümlülüğü ile rıza alınması ayrı işlemlerdir. İkisinin tek bir metinde birleştirilmesi, rızayı sakatlayan bir uygulama olarak değerlendirilebilir.
Rıza Her Zaman Doğru Dayanak Değildir
Kanun, sözleşmenin ifası, hukuki yükümlülüğün yerine getirilmesi veya meşru menfaat gibi hâllerde rıza aranmaksızın veri işlenmesine imkân tanır. Bu şartlardan biri varken ayrıca rıza alınması, veri sahibine rızayı geri alma yetkisi tanıdığı için işleyicinin aleyhine sonuç doğurur. Denetim öncesinde her veri işleme faaliyeti için tek bir hukuki sebep seçilmeli ve bu seçim kayıt altına alınmalıdır.
Ceza Öncesi Yapılacak İç Kontrol
- Rıza metinlerinin alındığı zaman, kanal ve sürüm bilgisi loglanıyor mu?
- Rızanın geri alınması için kolay ve ücretsiz bir yol sunuluyor mu?
- Özel nitelikli veriler ayrı bir rıza ve ek güvenlik tedbiriyle mi işleniyor?
- Yurt dışına aktarım varsa dayanağı belgelenmiş mi?
- Veri envanteri ile fiilî uygulama örtüşüyor mu?
Ceza Geldiğinde İzlenecek Yol
İdari para cezası tebliğ edildiğinde ilk yapılacak iş, kararın gerekçesindeki tespitleri madde madde ayırmak ve her tespite karşı somut belge eşlemektir. Teknik ve idari tedbirlerin alındığı savunuluyorsa, bunun politika metniyle değil uygulama kayıtlarıyla gösterilmesi gerekir. Başvurulacak yargı yolu ve süresi mevzuat değişikliklerine göre farklılık gösterebildiğinden, tebliğ edilen kararın üzerindeki başvuru yolu bilgisi mutlaka kontrol edilmelidir; yanlış mercie yapılan başvuruda geçen süre telafisi güç bir kayıp yaratır.
Bu metin genel bilgilendirme amaçlıdır. İşleme faaliyetinizin niteliği ve sektörünüze özgü düzenlemeler değerlendirmeyi değiştirebileceğinden, denetim veya ceza sürecinde uzman görüşü alınması önerilir.