Kişisel verilerin işlenmesinde açık rıza, tek başına her işlemeyi meşru kılan bir onay değildir. 6698 sayılı KVKK, açık rızayı belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış irade beyanı olarak tanımlar. Bu üç unsurdan biri eksikse verilen onay hukuken geçerli sayılmaz ve işleme dayanaksız kalır.
Geçersiz Açık Rızanın Tipik Görünümleri
- Hizmetin verilmesinin rıza şartına bağlanması, yani rızanın seçimlik olmaktan çıkarılması
- Üyelik sözleşmesi metnine gömülmüş, ayrı onaylanmayan blok rıza
- Ticari elektronik ileti onayı ile veri işleme rızasının tek kutuda birleştirilmesi
- Kapsamı belirsiz, ileride yapılacak her işlemeyi kapsadığı iddia edilen genel onay
- Geri alma imkânının fiilen sağlanmaması
Her İşleme İçin Rıza Aranmaz
Uygulamada sıkça atlanan nokta, açık rızanın hukuka uygunluk sebeplerinden yalnızca biri olmasıdır. Kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma, hukuki yükümlülüğün yerine getirilmesi gibi hâllerde rıza aranmaz. Bu durumda veri sorumlusunun rıza almış olması, aksine, işlemenin gerçek dayanağını gizleyebilir. Şikâyet dilekçesinde önce dayanağın hangisi olduğu tartışılmalı, sonra rızanın geçerliliğine geçilmelidir.
Doğrudan Kurula Gitmek Şikâyeti Reddettirir
Kişisel Verileri Koruma Kurulu'na şikâyet yolu, kural olarak veri sorumlusuna başvurulmuş olmasına bağlıdır. Sıra şu şekilde işler: önce veri sorumlusuna yazılı veya kayıtlı elektronik yolla başvurulur; veri sorumlusunun cevabı beklenir; talep reddedilir, yetersiz bulunur veya süresinde yanıt verilmezse Kurul'a şikâyet edilir. Bu ön başvuru yapılmadan iletilen şikâyetler usulden reddedilebilir ve bu sırada şikâyet için öngörülen süreler işlemeye devam eder.
Süre Kaybını Önleyen Kayıt Düzeni
Şikâyet süresinin başlangıcı, veri sorumlusunun cevap tarihine ya da cevapsız kalan başvurunun tarihine bağlıdır. Bu nedenle başvurunun ulaştığı an ispatlanabilir olmalıdır. KEP çıktısı, iadeli taahhütlü tebliğ belgesi veya başvuru formunun kayıt numarası saklanmalı; cevabın alındığı tarih ayrı bir takvim satırına işlenmelidir. Sürenin başlangıcını gösteren belge dosyada yoksa, hak düşürücü süre tartışması baştan kaybedilmiş olur.
Şikâyet Dilekçesinde Somutluk
- Hangi veri kategorisinin, hangi tarihte, hangi kanalla işlendiği yazılır.
- Rıza metninin ekran görüntüsü ve sürüm tarihi eklenir.
- Aydınlatma yükümlülüğünün ayrıca yerine getirilip getirilmediği gösterilir.
- Silme, yok etme veya aktarımın durdurulması talepleri ayrı ayrı yazılır.
İçerikte yer alan açıklamalar geneldir; işlenen verinin niteliği, özel nitelikli veri bulunup bulunmaması ve yurt dışına aktarım boyutu süreci değiştirebilir. Şikâyet öncesinde dosyaya özgü inceleme yapılması yerinde olur.