Veri sorumluları için en sık karşılaşılan güçlük, işleme faaliyetinin hukuka uygun olduğunu sonradan gösterememektir. KVKK denetimlerinde açık rıza iddiası, rızanın alındığı anın kayıt altına alınmış olmasına bağlı olarak ayakta kalır ya da çöker. Bu rehber, 6698 sayılı Kanun çerçevesinde rızanın ispatı, denetim dosyasının kurulması ve idari para cezası sonrası izlenecek yol üzerinedir.
Rızanın Geçerliliğini Kim Gösterir
Açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olması gerekir. Bu üç unsurun her biri ayrı ayrı sorgulanır; hizmetin alınmasının rıza şartına bağlandığı durumlarda özgür irade unsuru tartışmalı hale gelir. Bu nedenle rıza metninin içeriği kadar, hangi ekranda ve hangi seçeneklerle sunulduğu da delil değeri taşır.
Denetime Hazır Belge Seti
Kurum yazısı geldikten sonra belge üretmeye çalışmak çoğu zaman geç kalmış bir çabadır. Aşağıdaki kayıtların düzenli tutulması, savunmanın omurgasını oluşturur.
- Rızanın alındığı anı gösteren sistem kaydı, zaman damgası ve metin sürümü
- Aydınlatma yükümlülüğünün ayrı biçimde yerine getirildiğini gösteren belgeler
- Veri işleme envanteri ile saklama ve imha politikasının uygulandığını gösteren kayıtlar
- Rızanın geri alınması taleplerinin nasıl işlendiğine dair log kayıtları
Rıza Dışındaki Hukuki Sebepleri Atlamamak
Uygulamadaki yaygın hata, her işleme faaliyeti için rıza toplanmasıdır. Sözleşmenin kurulması, hukuki yükümlülük veya meşru menfaat gibi sebepler varken rızaya dayanmak, rıza geri alındığında faaliyeti dayanaksız bırakır. Savunma kurulurken işleme faaliyeti kalem kalem ayrıştırılmalı ve her biri için dayanılan hukuki sebep açıkça gösterilmelidir.
İdari Para Cezası Sonrası Yol ve Süre
Karar tebliğ edildiğinde ilk yapılması gereken, tebliğ tarihini ve tebligatın usulüne uygunluğunu belgeyle sabitlemektir; itiraz süresi bu tarihten işlemeye başlar. Kararın hangi ihlal tespitine dayandığı gerekçeden ayrıştırılmalı ve itiraz, tespit edilen her ihlale karşı ayrı ayrı kurulmalıdır. Yalnızca cezanın miktarına yönelen bir itiraz, ihlal tespitini tartışmasız bırakma riski taşır. Ayrıca ödeme yapılmasının itiraz hakkı üzerindeki etkisi baştan değerlendirilmelidir.
Uyum Adımı mı, Yargı Yolu mu
Kurumun tespit ettiği eksiklik teknik bir yapılandırma sorunuysa, uyum adımlarının hızla tamamlanıp belgelenmesi genellikle daha rasyoneldir. Buna karşılık tespit, işleme faaliyetinin temel dayanağına ilişkinse, uyum beyanı ihlalin kabulü gibi okunabileceğinden itiraz yolu öne çıkar. Bu tercih yapılırken, aynı faaliyet nedeniyle ilgili kişilerin başvurabileceği tazminat taleplerinin de hesaba katılması gerekir.
Buradaki bilgiler genel çerçeve sunar ve her denetim dosyası kendi belgeleri üzerinden değerlendirilir. Kurum yazısı veya ceza kararı elinize ulaştığında, süreleri kaçırmadan hukuki değerlendirme almanız yerinde olur.