KVKK uygulamasında açık rıza, en çok yanlış kullanılan hukuki sebeptir. 6698 sayılı kanun ve 5651 sayılı kanunun kesiştiği alanlarda, rızanın geçerli olup olmadığı tartışması genellikle Kurula şikâyetle sonuçlanır. Ancak şikâyetten önce atlanmaması gereken zorunlu bir adım vardır: veri sorumlusuna başvuru.
Geçerli açık rızanın üç unsuru
Açık rıza; belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalıdır. Bu üç unsurdan biri eksikse rıza hukuken sonuç doğurmaz.
- Hizmetin sunulması rıza verilmesi şartına bağlanmışsa özgür irade tartışmalı hâle gelir.
- Genel ve kapsayıcı ifadelerle alınan rıza, belirlilik ölçütünü karşılamaz.
- Aydınlatma yükümlülüğü rızadan önce ve ayrı olarak yerine getirilmelidir.
- Rıza her zaman geri alınabilir; geri alma mekanizması erişilebilir olmalıdır.
Önce başvuru, sonra şikâyet
İlgili kişi, taleplerini öncelikle veri sorumlusuna yazılı olarak veya Kurul tarafından belirlenen yöntemlerle iletmek zorundadır. Veri sorumlusunun cevabı yetersizse ya da kanunda öngörülen sürede cevap verilmezse Kurula şikâyet yolu açılır. Bu sıra atlandığında şikâyet usulden değerlendirilemez.
Başvuru dilekçesinde kimlik bilgileri, talebin konusu ve varsa veri işleme faaliyetine ilişkin somut bilgiler açıkça yer almalıdır. Talep; bilgi verilmesi, düzeltme, silme, yok etme ya da üçüncü kişilere bildirim gibi kalemler hâlinde ayrıştırılırsa cevabın da denetimi kolaylaşır.
Tebligat ve süre riski
Kurula şikâyet için öngörülen süreler, veri sorumlusunun cevabının öğrenildiği tarihe ve başvuru tarihine bağlıdır. Cevabın e-posta ile gönderilip spam klasörüne düşmesi veya posta yoluyla geç ulaşması, sürenin fark edilmeden işlemesine yol açar. Bu nedenle başvuru yapılır yapılmaz takvime iki ayrı kontrol tarihi konulmalıdır.
Delil olarak neyi saklamalı
Rızanın hangi ekranda, hangi metinle ve hangi kutucukla alındığı belirleyicidir. Kayıt ekranının görüntüsü, gönderilen aydınlatma metni, kullanıcı sözleşmesinin ilgili sürümü ve veri işleme faaliyetine ilişkin yazışmalar saklanmalıdır. İçeriğin bir internet sitesinde yayımlanması söz konusuysa, 5651 sayılı kanun kapsamındaki kaldırma yolları ayrıca değerlendirilebilir.
Veri sorumlusu tarafında hazırlık
Kurum tarafında ise savunmanın omurgasını envanter, saklama ve imha politikası, aydınlatma metinleri ve rıza kayıtlarının izlenebilirliği oluşturur. Rızanın alındığı anın teknik olarak kanıtlanamaması, uygulamada en zayıf halkadır.
Bu metin genel bilgilendirme amaçlıdır. Veri işleme faaliyetinin niteliği ve hukuki sebebi her yapıda farklı olduğundan, başvuru ya da savunma hazırlanmadan önce belgelerle birlikte hukuki değerlendirme yapılması önerilir.