Açık rızayı alınışından geri çekilişine kadar yönetmek

Nasıl yapılır

1. 1Rıza kaydı açmadan önce dayanağı bir kez daha sor: sözleşmenin kurulması ya da ifası, hukuki yükümlülük, bir hakkın tesisi veya meşru menfaat işi görüyorsa rıza istemek hem gereksiz bir yükümlülük üretir hem de geri çekildiğinde işini durdurur. Rıza listenin sonundaki seçenektir, ilki değil. Özel nitelikli veride ise bu listeyi hiç kullanma: sağlık, biyometrik veri, inanç, sendika üyeliği gibi verilerde dayanaklar ayrı ve daha dar bir listeden gelir ve meşru menfaat bunların arasında yoktur — o veriyi meşru menfaate dayandıran bir kayıt tetkikte ayakta kalmaz.
2. 2Rızayı üç ayak üzerine kur ve kaydında üçünü de görünür bırak: özgür irade, belirli bir konuya bağlılık ve önceden yapılmış bilgilendirme. Kayıtta hangi aydınlatma metniyle ve o metnin hangi sürümüyle alındığı yazılı değilse üçüncü ayak eksiktir ve elindeki şey geçerli bir rıza değildir.
3. 3Hizmeti rızaya bağlama: 'kabul etmezsen işlemi tamamlayamazsın' biçiminde alınan onay özgür irade taşımaz. Yürütmek için zorunlu olan işlemeyi rızaya bağlı olandan ekranda da ayır ki kullanıcı neyi seçtiğini görsün.
4. 4Her rızayı tek amaca bağla; pazarlama iletişimi ile hizmet sunumunu aynı kutuda toplama. Ticari elektronik ileti onayı ayrıca 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun rejimine tabidir; kendi kaydını ve kendi ret yolunu ister. İkisini tek kutuya sığdıran kuruluş iki mevzuatı birden eksik bırakır ve sonradan hangisinin geri çekildiğini gösteremez.
5. 5Kanıtı, tarihi ve kanalı sakla: hangi kanaldan alındı (web formu, ıslak imzalı form, çağrı kaydı), kanıt referansı nedir (form numarası, günlük kaydı, dosya konumu), rıza hangi gün alındı. İspat yükü veri sorumlusundadır; 'aldık' demek ispat değildir.
6. 6Geri çekme yolunu rızayı almak kadar kolay kur — aynı kanaldan, ek belge istemeden, tek adımda — ve geri çekme geldiğinde kaydı işaretlemekle bitirme: tarihi damgala, o rızaya dayanan işlemeyi fiilen durdur, kişiyi listeden çıkar, bağlı sistemlere haber ver. Geri çekme ileriye etkilidir; o güne kadar yapılmış işleme kendiliğinden hukuka aykırı hâle gelmez, ama rızadan başka dayanağı olmayan veri için saklama gerekçesi de kalmaz — imha düzenini tetikle. Kayıt 'geri çekildi' derken ileti gitmeye devam ediyorsa kanıt kuruluşun aleyhine çalışır.
7. 7Rızanın bayatlamasını takvime değil değişikliğe bağla: mevzuat rızaya bir son kullanma tarihi koymaz; rızayı dayanak olmaktan çıkaran şey amacın genişlemesi, kapsamın kayması ya da dayandığı aydınlatma metninin değişmesidir. Bu üçünden biri olduğunda rızayı yeniden al ve eski kaydı kapat. Kendi kararınla süreli rıza aldıysan (ör. kampanya onayı) bitiş tarihini alanına yaz ve süresi dolanı kütükte 'verildi' bırakma.

Sahada sık yapılan hatalar

• İş sözleşmesi gereği işlenen özlük verisi için çalışandan rıza alınmış; bir çalışan rızasını geri çekince bordro süreci kilitlenmiş ve kişiye 'bu rıza geri alınamaz' denmeye çalışılmış.
• İşe giriş sağlık raporundaki veriler 'meşru menfaatimiz var' notuyla işlenmiş; oysa doğru dayanak istihdam ve iş sağlığı güvenliği yükümlülüğünün yerine getirilmesiydi. Kayıt yanlış dayanakla açıldığı için düzeltilene kadar hiçbir sorguda savunulamamış — çözüm rıza toplamak değil, dayanağı doğru yazmaktı.
• Rıza kaydında yalnızca onay kutusu işaretli; hangi tarihte, hangi kanaldan ve hangi metin sürümüyle alındığı yazılmadığı için tetkikte tek bir rıza bile ispat edilememiş.
• Rıza 'geri çekildi' olarak işaretlenmiş ama kişi kampanya listesinden çıkarılmamış; iki hafta sonra aynı numaraya yine ileti gitmiş.