Açık rızaya dayandırılan veri işleme faaliyetlerinde en sık karşılaşılan sorun, rızanın hiç alınmamış olması değil; alınan rızanın 6698 sayılı KVKK anlamında geçerli sayılmayacak biçimde kurgulanmasıdır. Bu rehber, açık rıza tartışmasını Kişisel Verileri Koruma Kurulu önüne taşımadan önce yapılması gereken kontrolleri ve yanlış mercie başvurma riskini konu alır.
Rızanın geçerliliği hangi ölçütlerle tartışılır
Açık rıza; belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalıdır. Uygulamada rızayı sakatlayan tipik kurgular şunlardır: hizmetin alınmasının rıza şartına bağlanması, aydınlatma metninin rıza metniyle tek kutuda birleştirilmesi, birden çok amacın (pazarlama, profilleme, yurt dışına aktarım) tek onaya sıkıştırılması. Şikâyet dosyasında bu üç unsurdan hangisinin ihlal edildiği ayrı ayrı gösterilmelidir.
Şikâyetten önce atlanan zorunlu adım
KVKK, Kurula şikâyet yolunu doğrudan açmaz. İlgili kişinin önce veri sorumlusuna başvurması, talebinin reddedilmesi, yetersiz yanıtlanması veya süresinde yanıtsız bırakılması gerekir. Başvuru yolu tüketilmeden yapılan şikâyetler esasa girilmeden sonuçlanabilir ve bu sırada süreler işlemeye devam eder. Başvurunun yazılı veya Kurulun belirlediği yöntemlerle yapıldığını gösteren tebliğ/teslim kaydı dosyanın en kritik belgesidir.
Hangi talep hangi mercie gider
- Silme, yok etme, düzeltme, aktarımın durdurulması talepleri: önce veri sorumlusu, sonra Kurul.
- Maddi ve manevi tazminat talebi: Kurulun görev alanı dışındadır, genel hükümlere göre adli yargıda açılır.
- Suç oluşturan veri işleme iddiası (hukuka aykırı kaydetme, ele geçirme): Cumhuriyet başsavcılığına şikâyet.
- İnternette yayımlanan içerik: 5651 sayılı Kanun çerçevesindeki erişim engelleme yolu ayrı işler; Kurul şikâyeti bu yolun yerine geçmez.
Aynı olayda birden fazla yolun paralel yürümesi mümkündür; ancak biri diğerinin süresini durdurmaz. En sık görülen hak kaybı, tazminat talebiyle Kurula gidilip aylar sonra görevsizlikle karşılaşılmasıdır.
Dosya açılmadan önce işaretlenecek maddeler
- Rızanın alındığı ekran görüntüsü, sözleşme metni veya kayıt tarihiyle birlikte saklandı mı?
- Aydınlatma yükümlülüğünün rızadan ayrı yerine getirildiği belgelenebiliyor mu?
- Veri sorumlusuna yapılan başvurunun tarihi ve tebliğ kaydı dosyada mı?
- Talep, ölçülebilir biçimde mi yazıldı (hangi veri, hangi kayıt ortamı, hangi işlem)?
- Rızanın geri alındığı hâlde işlemenin sürdüğü iddia ediliyorsa, geri alma bildirimi ayrıca kanıtlanıyor mu?
Kurul kararı sonrası aşama
Kurul kararına karşı gidilecek yargı yolu, kararın türüne göre değişebilmekte ve mevzuatta bu yönde değişiklikler yapılmıştır. Bu nedenle süre ve merci, ezbere değil, tebliğ edilen karar metnindeki başvuru yolu bilgisi ve yürürlükteki düzenleme birlikte okunarak belirlenmelidir. Karar tebliğ tarihinin ayrı bir kayıtla not edilmesi, itiraz süresinin sağlıklı hesaplanmasını sağlar.
Buradaki değerlendirmeler genel niteliktedir; veri işleme faaliyetinin türü, sektörel düzenlemeler ve olayın tarihi sonucu değiştirebilir. Somut dosyanızda başvuru yolunu ve süreyi belirlemeden önce hukuki destek almanız yerinde olur.