Kişisel Verileri Koruma Kurumu'nun teşkilat yapısını düzenleyen yönetmelik, Kurul ile Başkanlık arasındaki görev ayrımını ve daire başkanlıklarının işleyişini belirler. Veri sorumlusu açısından bu yapının bilinmesi, gelen bir yazının hangi aşamada ve hangi yetkiyle düzenlendiğini anlamayı sağlar.
Kurul Kararı ile Başkanlık Yazışması Farkı
Kuruma yapılan bir şikâyet, doğrudan Kurul önüne gelmez; önce ilgili daire başkanlığında incelenir ve bilgi-belge talepleri bu aşamada yapılır. Elinize ulaşan yazının bir bilgi talebi mi yoksa Kurul kararının tebliği mi olduğu, cevap süresini ve hukuki sonucu tamamen değiştirir. Yazının üst yazı kısmındaki dayanak ve imza yetkisi bu ayrımı gösterir.
Bilgi ve Belge Talebine Cevap Verirken
- Sorulan hususların tek tek ve sıralı biçimde cevaplanması
- Beyanların teknik kayıtlarla desteklenmesi
- Ticari sır niteliğindeki bilgilerde bu vasfın belirtilmesi
- Cevap süresinin uzatılması gerekiyorsa gerekçeli talep sunulması
6698 Sayılı Kanun Çerçevesinde Sorumluluk
6698 sayılı Kişisel Verilerin Korunması Kanunu, veri sorumlusuna aydınlatma yükümlülüğü, veri güvenliğine ilişkin teknik ve idari tedbir alma yükümlülüğü ile ilgili kişinin başvurusunu cevaplama yükümlülüğü yükler. Kurum incelemesinde en çok tartışılan husus, alınan tedbirlerin işlenen verinin niteliğine göre yeterli olup olmadığıdır. Bu nedenle envanter, erişim yetkilendirme matrisi ve log kayıtları, savunmanın ispat omurgasını oluşturur; bu belgeler inceleme başladıktan sonra üretilemez.
Kurul Kararına Karşı Dava Yolu
Kurul kararı bir idari işlemdir ve idari yargı denetimine tabidir. Dava açma süresi kararın usulüne uygun tebliğinden itibaren işler. Karar hem idari para cezası hem de veri işleme faaliyetinin durdurulması gibi sonuçlar içerebilir; bu durumda yürütmenin durdurulması talebinin somut ve ölçülebilir zarar gerekçesiyle desteklenmesi gerekir. Sadece cezanın miktarına odaklanan, işlemin hukuka aykırılığını ayrıca ortaya koymayan dilekçeler zayıf kalır.
İnceleme Öncesi Kurumsal Hazırlık
- Kişisel veri envanterinin güncel tutulması
- İhlal bildirim prosedürünün yazılı olarak tanımlanması
- İlgili kişi başvurularının kayıt altına alındığı bir sistem kurulması
- Veri işleyenlerle yapılan sözleşmelerde sorumluluk paylaşımının netleştirilmesi
Yukarıdaki açıklamalar genel bilgi amaçlıdır. Veri işleme faaliyetinin kapsamı ve sektörel özel düzenlemeler sonucu değiştirebileceğinden, Kurumdan gelen bir yazı halinde cevap metni hazırlanmadan önce hukuki destek alınması yerinde olur.