Kişisel veri denetimlerinde tartışma çoğu kez "rıza alındı mı" değil, açık rızanın alındığının nasıl ispatlanacağı üzerinde yoğunlaşır. Bu rehber, 6698 sayılı KVKK ve 5651 sayılı Kanun ekseninde, idari para cezası riskiyle karşılaşan veri sorumlusunun hangi kaydı nasıl tutması gerektiğini ele alır.
Rıza Her Zaman Doğru Hukuki Sebep Değildir
Uygulamadaki ilk hata, her veri işleme faaliyetini açık rızaya dayandırmaktır. Kanun, sözleşmenin kurulması, hukuki yükümlülüğün yerine getirilmesi ve meşru menfaat gibi başka işleme şartları da öngörür. Zorunlu bir hizmetin koşulu haline getirilen rıza, özgür iradeye dayanmadığı gerekçesiyle geçersiz sayılabilir. Bu nedenle savunma kurulurken önce doğru hukuki sebebin tespiti, ardından o sebebe uygun belgelendirme yapılmalıdır.
İspatı Sağlayan Kayıt Seti
- Rızanın alındığı ekranın veya formun o tarihteki hali ve metin sürümü
- Zaman damgalı log kayıtları: onay anı, IP bilgisi, oturum kimliği
- Aydınlatma metninin rızadan ayrı sunulduğunu gösteren arayüz kanıtı
- Veri işleme envanteri, saklama ve imha politikası ile imha tutanakları
- Yurt dışına aktarım varsa aktarımın hukuki dayanağını gösteren belgeler
- Veri işleyenlerle imzalanmış sözleşmeler ve teknik tedbir kayıtları
Denetim ve İhlal Bildirimi Sürecinde Ritim
Kurum tarafından bilgi ve belge istendiğinde verilecek cevabın süresi kanunda düzenlenmiştir ve bu süreye uyulmaması başlı başına bir yaptırım sebebidir. Veri ihlali yaşandığında ise bildirim yükümlülüğü, ihlalin öğrenilmesinden itibaren makul bir sürede yerine getirilmelidir; bu nedenle şirket içinde "ihlali kim, ne zaman öğrendi" sorusunu yanıtlayan bir olay kaydı tutulmalıdır. Öğrenme anını belgeleyemeyen veri sorumlusu, gecikme iddiasına karşı savunmasız kalır.
Cezaya İtiraz: Yol ve Süre
Kurul tarafından uygulanan idari para cezasına karşı başvurulacak yol ve süre, kabahatler hukukunun ve ilgili mevzuatın belirlediği çerçevededir; süre kararın tebliğinden işlemeye başlar. Buradaki en yaygın hak kaybı, tebligatın şirketin resmi elektronik adresine yapıldığı halde ilgili birime iletilmemesinden doğar. Bu nedenle elektronik tebligat kutusunun düzenli izlenmesi ve gelen her evrakın kayda alınması, itiraz hakkını korumanın en somut yoludur.
Bilgilendirme
Yukarıdaki açıklamalar genel niteliktedir; sektör, işlenen verinin türü ve denetimin kapsamı savunma stratejisini değiştirir. Hakkınızda başlatılmış bir inceleme veya tebliğ edilmiş bir ceza varsa, itiraz süresi kısa olduğundan dosyayı hızla hukuki değerlendirmeye almanız yerinde olur.