Kişisel verilerin açık rıza olmadan işlendiğini fark eden kişilerin büyük bölümü doğrudan Kişisel Verileri Koruma Kurumuna yazar ve dosyası ön koşul eksikliğinden sonuçsuz kalır. Oysa 6698 sayılı KVKK, şikâyet yolunu kademeli kurgulamıştır: önce veri sorumlusu, sonra Kurul.
Şikâyetin Ön Koşulu: Veri Sorumlusuna Başvuru
Kurula şikâyet edebilmek için önce ilgili kişinin veri sorumlusuna yazılı olarak başvurmuş olması gerekir. Bu başvuruda talebin ne olduğu net yazılmalıdır: verinin işlenip işlenmediğinin öğrenilmesi, işlenmişse amacının bildirilmesi, aktarıldığı üçüncü kişilerin açıklanması, düzeltilmesi ya da silinmesi. Veri sorumlusu başvuruyu kanunda öngörülen süre içinde sonuçlandırmakla yükümlüdür; bu sürenin başlangıcı için başvurunun tebliğ edildiği tarihin kanıtlanabilir olması şarttır.
Açık Rıza Tartışmasında Neyi Kim İspat Eder?
Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir onaydır. Uygulamadaki asıl çekişme genellikle şu noktalarda çıkar:
- Rıza, hizmetin alınabilmesi için zorunlu tutulmuş mu? (Şarta bağlanmış rıza tartışmalıdır.)
- Aydınlatma metni ile rıza metni tek kutucukta birleştirilmiş mi?
- Rızanın kapsamı sonradan genişletilmiş mi?
- Aslında rıza değil, kanunda öngörülen başka bir işleme şartına mı dayanılıyor?
Son madde önemlidir: veri sorumlusu, işlemenin sözleşmenin ifası veya hukuki yükümlülük gibi bir şarta dayandığını savunuyorsa, tartışma rızanın geçerliliğinden çıkıp işleme şartının varlığına kayar. Dilekçeyi bu ihtimale göre de kurmak gerekir.
Kurul, Mahkeme ve Savcılık Aynı Şey Değildir
Üç yol farklı sonuç üretir ve birbirinin yerine geçmez. Kurul idari yaptırım ve düzeltici karar verir; uğranılan zararın tazmini için genel mahkemelerde dava açmak gerekir; verilerin hukuka aykırı biçimde ele geçirilmesi veya yayılması söz konusuysa ceza yolu ayrıca işletilir. İnternet ortamındaki yayının durdurulması bakımından 5651 sayılı Kanun kapsamındaki talepler de ayrı bir kanaldır. Bir yola başvurmuş olmak, diğerinin süresini durdurmaz.
Cevapsızlık ve Ret Sonrası Takvim
Şikâyet hakkı sonsuz değildir. Veri sorumlusunun cevabının öğrenildiği tarihten itibaren işleyen süre ile başvuru tarihinden itibaren işleyen üst süre birlikte takip edilmelidir; cevap hiç verilmediğinde de bu üst süre işlemeye devam eder. Bu nedenle başvuru tarihi, cevap tarihi ve öğrenme tarihi tek bir tabloda tutulmalı, Kurul kararına karşı idari yargıya gidilmesi ihtimali de baştan planlanmalıdır.
Son Söz
Bu metin genel çerçeveyi anlatır. Verinin türü, özel nitelikli olup olmaması ve veri sorumlusunun kimliği süreci belirgin şekilde değiştirir; somut dosyanızda adım atmadan önce hukuki görüş almanız isabetli olacaktır.