Kişisel verilerin korunması denetimlerinde veri sorumlusunun karşılaştığı temel soru şudur: İşleme faaliyetinin hukuka uygun olduğunu hangi kayıtla gösteriyorsunuz? 6698 sayılı KVKK'nın kurduğu düzende ispat yükü büyük ölçüde veri sorumlusundadır ve sözlü açıklama değil, kayıt konuşur.
Açık Rıza Her Zaman Doğru Hukuki Sebep Değildir
Yaygın bir yanlış, her işleme faaliyeti için açık rıza toplamaktır. Sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat gibi başka bir sebebe dayanılabildiği hâlde rızaya dayanmak, ilgili kişi rızasını geri aldığında faaliyeti hukuki dayanaksız bırakır. Bu nedenle denetime hazırlıkta ilk adım, işleme envanterinde her faaliyetin karşısına doğru hukuki sebebi yazmaktır.
Rızanın İspatını Sağlayan Kayıtlar
- Rızanın alındığı ekranın o tarihteki metni ve sürüm bilgisi
- Onay anına ait zaman damgalı sistem kaydı
- Aydınlatma metninin rızadan ayrı sunulduğunu gösteren akış
- Rızanın geri alınmasına ilişkin talep ve uygulanma kaydı
- Veri işleme envanteri ile saklama ve imha politikasının ilgili maddeleri
Denetim Yazışmasında Yapılan Usul Hataları
Kurum tarafından yöneltilen bilgi talebine verilen ilk cevap, dosyanın seyrini belirler. Uygulamada sık görülen hatalar; verilen süre içinde cevap verilmemesi, sorulan sorunun dışına çıkan genel açıklamalar yapılması, sonradan üretilmiş belgelerin tarih sorunuyla sunulması ve şirket içinde farklı birimlerin çelişkili beyanda bulunmasıdır. Cevap metni tek elden ve envanterle uyumlu hazırlanmalıdır.
İdari Para Cezasına İtirazda Süre ve Merci
İdari yaptırım kararına karşı başvurulacak yol ve süre, kararın türüne göre değişir; bu nedenle tebliğ edilen evrakın üzerindeki başvuru yolu bilgisi dikkatle okunmalıdır. Tebligatın ulaştığı tarih, sürenin başlangıcı bakımından belirleyicidir ve şirket içi evrak dolaşımı nedeniyle geç fark edilen tebligatlar en sık karşılaşılan hak kaybı sebebidir. Elektronik tebligat adresinin düzenli izlenmesi, teknik değil hukuki bir zorunluluktur.
Veri İhlali Bildirimiyle Kesişen Nokta
İhlal bildirimi yapılırken hazırlanan kök neden analizi, sonradan ceza sürecinde aleyhe kullanılabilecek bir belge hâline gelebilir. Bu nedenle bildirim metni ile savunma metni arasında tutarlılık kurulmalı; teknik ekiplerin hazırladığı raporlar hukuki değerlendirme yapılmadan gönderilmemelidir. İnternet ortamındaki yayınlarla bağlantılı ihlallerde 5651 sayılı Kanun kaynaklı ek yükümlülükler de gündeme gelebilir.
Bu metin genel bir hazırlık çerçevesi sunar. Her veri işleme faaliyetinin kendine özgü teknik altyapısı bulunduğundan, denetim veya ceza sürecinde uyum belgelerinizi bir hukukçuyla birlikte gözden geçirmeniz yerinde olur.