Kısa cevap
Evet. Kişisel verilerin işlenmesine verilen açık rıza, ilgili kişi tarafından istenildiği zaman geri alınabilir; geri alma ileriye doğru sonuç doğurur ve veri sorumlusu, işlemenin başka bir hukuki dayanağı yoksa işlemeyi durdurmak zorundadır.
Açık rıza, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onay olarak tanımlanır. Kanun metninde rızanın geri alınmasına ilişkin ayrı bir madde bulunmamakla birlikte, rızanın ilgili kişiye sıkı sıkıya bağlı bir hakka dayanması nedeniyle geri alınabileceği öğretide ve uygulamada kabul edilmektedir. Avrupa Birliği Genel Veri Koruma Tüzüğü de rızanın her zaman geri alınabileceğini ve geri almanın rıza vermek kadar kolay olması gerektiğini açıkça öngörür; Türk uygulaması bu yaklaşımı benimsemektedir.
Geri alma beyanı, veri sorumlusuna ulaştığı andan itibaren hüküm doğurur. Geri alma öncesinde rızaya dayanılarak yapılan işleme faaliyetleri hukuka uygunluğunu korur; yalnızca geri almadan sonraki işlemeler rızaya dayandırılamaz. Beyanın şekli konusunda katı bir kural yoktur. Yazılı, elektronik ortamda ya da veri sorumlusunun sunduğu diğer kanallar üzerinden yapılabilir. Uygulamada veri sorumlusunun rızayı hangi kolaylıkla aldıysa geri almayı da benzer kolaylıkta mümkün kılması beklenir; rızanın geri alınması nedeniyle ücret talep edilmesi veya hizmetin kesilmesi ise rızanın özgür iradeye dayanması ilkesiyle bağdaşmaz.
Rızanın geri alınması, işlemenin başka bir hukuki sebebe dayandığı hallerde faaliyeti her zaman sona erdirmez. Kanunda öngörülen diğer işleme şartları, örneğin verinin bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi ya da bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması, varsa işleme devam edebilir. Bu durumda veri sorumlusunun ilgili kişiyi, işlemenin hangi sebebe dayandığı konusunda bilgilendirmesi gerekir. Rızaya dayanan işleme sona ererse, işlenmesini gerektiren sebepler ortadan kalktığından verilerin Silme Yönetmeliği çerçevesinde silinmesi, yok edilmesi veya anonim hale getirilmesi gündeme gelir.
Geri alma talebi, Kanun'un 11. maddesinde sayılan haklar kapsamında veri sorumlusuna yazılı olarak veya Kurulun belirlediği diğer yöntemlerle iletilir. Veri sorumlusu, talebin niteliğine göre en geç otuz gün içinde ve en kısa sürede sonuçlandırmak zorundadır. Cevabın verilmemesi, reddedilmesi veya yetersiz bulunması halinde ilgili kişi, cevabı öğrendiği tarihten itibaren otuz gün içinde ve her halde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikayette bulunabilir. Kurula şikayet için önce veri sorumlusuna başvurulmuş olması gerekir.
Sık yapılan hatalar arasında geri alma talebinin veri sorumlusuna değil üçüncü bir kişiye veya genel bir iletişim kanalına yapılması, talebin ispatlanabilir biçimde iletilmemesi ve ticari elektronik ileti gibi ayrı bir mevzuata tabi işlemelerde ilgili özel düzenlemelerin gözden kaçırılması sayılabilir. İspat bakımından, rızanın alındığını ve geri alındığını gösteren kayıtlar önem taşır. Somut olayda hangi hukuki sebebin geçerli olduğu, olayın özelliklerine göre değerlendirilmelidir.
İlgili mevzuat: 6698 sayılı Kişisel Verilerin Korunması Kanunu m.3, m.5, m.7, m.11, m.13, m.14; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik
Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez.
