Kişisel veri uyuşmazlıklarının önemli bölümü, verinin hiç işlenmemesi gerektiği için değil, işlemenin dayandırıldığı hukuki sebebin yanlış seçilmesi nedeniyle doğar. Açık rıza, veri sorumlusunun elindeki tek dayanak değildir; buna rağmen pek çok uygulamada her işleme için toplu bir rıza metni imzalatılması yoluna gidilir ve bu tercih idari yaptırımın kapısını aralar.
Geçerli Bir Açık Rızanın Üç Unsuru
- Belirli bir konuya ilişkin olma: genel ve sınırsız ifadelerle alınan rıza, kapsamı belirsiz olduğu için geçersiz sayılır.
- Bilgilendirmeye dayanma: aydınlatma yükümlülüğü rızadan ayrı ve önce yerine getirilmelidir.
- Özgür iradeyle açıklanma: hizmetin sunulması rıza şartına bağlanmışsa irade özgür kabul edilmez.
Aydınlatma metni ile rıza metninin aynı belgede birleştirilmesi, denetimlerde en sık karşılaşılan eksikliklerden biridir. İkisi ayrı belgelerde ve farklı zamanlarda kayıt altına alınmalıdır.
Rıza Yerine Kullanılabilecek Dayanaklar
Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, bir hakkın tesisi ve korunması ile meşru menfaat gibi işleme şartları kanunda ayrıca sayılmıştır. Bu şartlardan biri varsa açık rıza aranmaz; hatta gereksiz yere rıza alınması, rızanın geri alınması hâlinde işlemenin dayanaksız kalması gibi ikinci bir sorun yaratır. Özel nitelikli verilerde ise rejimin daha katı olduğu ve ek güvenlik tedbirlerinin arandığı unutulmamalıdır.
İlgili Kişi Başvurusunun Sırası
- Önce veri sorumlusuna yazılı başvuru yapılır; bu adım atlanamaz.
- Veri sorumlusunun cevap vermesi için kanunda öngörülen süre beklenir.
- Cevap yetersizse veya hiç verilmezse Kişisel Verileri Koruma Kuruluna şikâyet yoluna gidilir.
- Şikâyet için hem cevaba bağlı süre hem de başvuru tarihinden itibaren işleyen üst süre birlikte gözetilir.
Bu sıralamanın bozulması, esasen haklı olan bir şikâyetin usulden reddedilmesine yol açar. Başvurunun ulaştığı tarihi kanıtlayan belge her aşamada saklanmalıdır.
Yaptırım Kararıyla Karşılaşan Veri Sorumlusu İçin
Kurul tarafından verilen idari para cezasına karşı gidilecek kanun yolu ve bu yolun süresi, mevzuatta yapılan değişikliklerden etkilenmiştir. Bu nedenle karar tebliğ edildiğinde, kararın altındaki başvuru bilgisi ile yürürlükteki düzenleme birlikte kontrol edilmeli; yanlış mercie yapılan başvuru yüzünden sürenin tüketilmemesine dikkat edilmelidir. Savunma kurgusunda ise ihlalin varlığından çok, alınan teknik ve idari tedbirlerin belgelenmesi öne çıkar: veri envanteri, saklama ve imha politikası, erişim yetki matrisi ve ihlal bildirimi kayıtları.
Bu içerik genel bilgi vermek için hazırlanmıştır; işleme faaliyetinizin türü, veri kategorisi ve muhatabınız izlenecek adımları değiştirebilir. Bir başvuru veya savunma hazırlamadan önce belgelerinizle birlikte hukuki değerlendirme almanız önerilir.