Kişisel verilerin işlenmesinde açık rıza, hukuka uygunluk sebeplerinden yalnızca biridir; ne var ki uygulamada çoğu kuruluş bütün faaliyetini tek bir rıza metnine yaslar. 6698 sayılı KVKK denetimlerinde en sık karşılaşılan tespit de budur: rızanın belirli bir konuya ilişkin olmaması, bilgilendirmeye dayanmaması veya hizmet şartına bağlanmış olması. Bu tespitler idari para cezasıyla sonuçlandığında, savunmanın kurgusu cezanın akıbetini belirler.
Rıza mı, Başka Bir Hukuka Uygunluk Sebebi mi?
Savunmanın ilk adımı, işleme faaliyetinin gerçekte hangi sebebe dayandığını göstermektir. Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma, hukuki yükümlülüğün yerine getirilmesi ve meşru menfaat gibi sebepler varsa, faaliyet rızaya dayandırılmamalıdır. Rıza alınmışken aslında başka bir sebebin geçerli olduğu hâllerde bu husus açıkça ortaya konmalı; hangi veri kategorisinin hangi sebeple işlendiğini gösteren bir tablo savunmaya eklenmelidir. Genel ifadelerle yapılan savunmalar, denetimde tespit edilen somut bulguyu karşılamaz.
Ceza Öncesi Süreçte Kaçırılan Adımlar
- İlgili kişinin veri sorumlusuna yaptığı başvurunun kanuni süre içinde yanıtlanmaması
- Yanıtın verilmesine rağmen içeriğin talebi karşılamaması ve gerekçe içermemesi
- Kurumun bilgi ve belge talebine eksik yanıt verilmesi
- Veri ihlali bildiriminin gecikmesi ya da etkilenen kişilere hiç duyurulmaması
- Aydınlatma metni ile rıza metninin tek belgede birleştirilerek rızanın ayrıştırılamaz hâle getirilmesi
İdari Para Cezasına Karşı Hangi Yol
Kurul kararına karşı izlenecek yargı yolu ve süresi, kararın bildirim yazısında gösterilir; bu bilgi mutlaka güncel mevzuatla birlikte teyit edilmelidir. Usule aykırı işlem riskinin en yoğun olduğu nokta tam burasıdır: yanlış mercie yapılan başvuru, dava süresi işlerken dosyanın reddine yol açar ve ceza kesinleşir. Ayrıca dilekçede yalnızca cezanın kaldırılması değil, koşulları varsa miktarın orantısızlığı ayrı bir başlık altında tartışılmalıdır.
Savunmayı Belgeyle Kurmak
Envanter kayıtları, saklama ve imha politikası, çalışan eğitim kayıtları, erişim yetki matrisi ve teknik güvenlik önlemlerine ilişkin loglar savunmanın omurgasını oluşturur. Bu belgelerin ceza aşamasında değil, denetim yazısına verilen ilk yanıtta sunulması esastır. İnternet yayınına ilişkin bir boyut varsa 5651 sayılı Kanun kapsamındaki yükümlülükler de ayrıca gözden geçirilmelidir.
Yukarıdakiler genel bilgilendirme amacıyla hazırlanmıştır. Veri işleme faaliyetinin yapısı, sektör ve ihlalin kapsamı savunmanın kurgusunu değiştireceğinden, karar tebliğ edildiğinde vakit kaybetmeden hukuki değerlendirme alınmasında yarar vardır.