Kişisel verisinin rızası dışında işlendiğini düşünen kişilerin en sık yaptığı hata, doğrudan Kişisel Verileri Koruma Kurulu'na şikâyet dilekçesi göndermektir. Oysa 6698 sayılı Kanun, Kurul'a şikâyeti veri sorumlusuna başvurunun tamamlanmasına bağlı bir ikinci aşama olarak kurgulamıştır. Ön başvuru yapılmadan iletilen şikâyet, esasa girilmeden iade edilir ve zaman kaybedilir.
Açık Rıza Ne Zaman Geçerlidir?
Açık rızanın üç unsuru vardır: belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması. Bu unsurlardan biri eksikse rıza hukuken sonuç doğurmaz. Uygulamada geçersizlik doğuran tipik örnekler şunlardır:
- Hizmetin verilmesinin rızaya bağlanması; yani rıza vermeyen kişinin hizmetten yararlandırılmaması.
- Aydınlatma metni ile rıza metninin tek bir onay kutusunda birleştirilmesi.
- "Tüm iştirak ve iş ortaklarıyla paylaşılmasına" biçiminde sınırı belirsiz, kapsamı açık olmayan onaylar.
- Peşinen işaretlenmiş kutucuklar veya sessiz kalmanın kabul sayılması.
Önemli bir nokta: açık rıza tek işleme şartı değildir. Kanunda sayılan diğer işleme şartlarından biri varsa ayrıca rıza aranmaz; hatta gereksiz yere rıza alınması, veri sorumlusu için hukuka uygunluk sebebini zayıflatabilir. Açık rıza her zaman geri alınabilir ve geri alma ileriye etkili sonuç doğurur.
İki Aşamalı Başvurunun İşleyişi
- Veri sorumlusuna yazılı veya Kurul'un belirlediği yöntemlerle başvurulur; talep açık, kimlik bilgileri eksiksiz olmalıdır.
- Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır.
- Cevap yetersizse, talep reddedilmişse veya süresinde cevap verilmemişse Kurul'a şikâyet yolu açılır. Şikâyet, cevabı öğrenme tarihinden ve her hâlde başvuru tarihinden itibaren Kanunda öngörülen süreler içinde yapılmalıdır.
- VERBİS kaydı üzerinden veri sorumlusunun kimliği ve irtibat kişisi doğrulanabilir.
Kurul Neye Karar Verebilir, Neye Veremez?
Kurul, hukuka aykırılığın giderilmesine, verinin silinmesine veya yok edilmesine karar verebilir ve idari para cezası uygulayabilir. Buna karşılık Kurul tazminata hükmedemez ve kimseyi cezalandıramaz. Maddi ve manevi tazminat talebi genel hükümlere göre adli yargıda açılacak davanın konusudur. Kanunda suç olarak düzenlenen fiiller bakımından ise Cumhuriyet başsavcılığına suç duyurusunda bulunulması gerekir. İnternet üzerindeki bir içeriğin kaldırılması isteniyorsa, bu talep 5651 sayılı Kanun kapsamındaki ayrı bir yolu ilgilendirir.
Kurul Kararına Karşı Hangi Mahkeme?
Kurul kararları idari işlem niteliğindedir; bunlara karşı iptal davası idare mahkemesinde açılır. İdari para cezalarına itiraz bakımından ise ilgili mevzuattaki özel usule dikkat edilmelidir. Kararın tebliğ tarihi ve dava açma süresi baştan takvime işlenmelidir; idari yargıdaki süreler kural olarak hak düşürücü niteliktedir.
Veri Sorumlusu Tarafında Hazırlık
Şirketler açısından savunmanın gücü, olay anındaki belgelere bağlıdır: işleme envanteri, aydınlatma metinlerinin sürüm geçmişi, rıza kayıtlarının zaman damgası, saklama ve imha politikası ile veri işleyenlerle imzalanan sözleşmeler. Yurt dışına aktarım söz konusuysa uygulanan aktarım mekanizmasının güncel düzenlemeye uygunluğu ayrıca kontrol edilmelidir; bu alandaki rejim yakın dönemde değişmiştir.
Bu açıklamalar genel bilgi niteliğindedir; işlenen verinin türü, özel nitelikli veri olup olmaması ve veri sorumlusunun statüsü izlenecek yolu değiştirebileceğinden, başvuru öncesi profesyonel değerlendirme alınması önerilir.