Bir veri sorumlusu hakkında idari para cezası gündeme geldiğinde ilk sorulan soru genellikle şudur: işleme faaliyetinin hukuki sebebi neydi ve bu sebep belgelenebiliyor mu. 6698 sayılı KVKK, açık rızayı işleme sebeplerinden yalnızca biri olarak düzenler; buna karşın uygulamada birçok kurum tüm işleme faaliyetini rızaya dayandırarak kendini daha kırılgan bir konuma yerleştirir. 5651 sayılı Kanun kapsamındaki trafik kayıtları gibi mevzuattan doğan yükümlülükler ise rızadan bağımsız bir zeminde durur.
Rıza Metnine Değil, Rızanın Kaydına Bakılır
Denetimde incelenen şey, sitede yayımlanan metnin içeriğinden çok, belirli bir kişiden belirli bir tarihte rıza alındığının gösterilebilmesidir. Rızanın hangi sürümdeki metne dayandığı, hangi kanaldan alındığı ve sonradan geri alınıp alınmadığı kayıt altında tutulmalıdır. Metin güncellendiğinde eski sürümlerin arşivlenmemesi, geçmiş dönem işlemeleri için savunmasız kalınmasına yol açar.
Açık Rızanın Geçerliliğini Bozan Uygulamalar
- Hizmet almanın rıza verilmesi şartına bağlanması
- Rıza ile aydınlatma metninin tek bir onay kutusunda birleştirilmesi
- Onay kutusunun önceden işaretli gelmesi
- Farklı amaçlar için tek bir toplu onay alınması
- Rızanın geri alınması için işlevsel bir kanal sunulmaması
İşleme Envanteri Olmadan Savunma Kurulamaz
Ceza gündeme geldiğinde en hızlı sonuç veren belge, işleme faaliyetlerinin hangi amaçla, hangi hukuki sebebe dayanarak, ne kadar süreyle ve kimlerle paylaşılarak yürütüldüğünü gösteren envanterdir. Envanterin bulunmaması ya da fiilî durumla örtüşmemesi, tek başına bir eksiklik olmanın ötesinde, diğer tüm savunmaların inandırıcılığını zayıflatır. Envanterdeki kalemlerle sistem kayıtlarının uyumu periyodik olarak denetlenmelidir.
Veri İhlali Bildiriminde Zamanlama
İhlal fark edildiğinde bildirimin gecikmesi, ihlalin kendisinden ayrı bir sorumluluk doğurur. Bu nedenle kurum içinde ihlalin kime raporlanacağı, kimin karar vereceği ve bildirimin kim tarafından yapılacağı önceden yazılı olarak belirlenmelidir. İhlal anındaki teknik kayıtların korunması, kapsamın daraltılabilmesi bakımından da değerlidir: kaç kişinin ve hangi veri kategorisinin etkilendiği gösterilemediğinde, değerlendirme en geniş ihtimal üzerinden yapılır.
Ceza Kararına Karşı İzlenecek Yol
İdari para cezasına karşı başvuru yolunun ve süresinin doğru belirlenmesi kritik önemdedir; yanlış mercie yapılan başvuru sırasında süre işlemeye devam eder. Başvuru dilekçesinde soyut hukuka aykırılık iddiaları yerine, hangi işleme faaliyetinin hangi hukuki sebebe dayandığı ve bunun hangi kayıtla ispatlandığı kalem kalem gösterilmelidir. Alınan teknik ve idari tedbirlerin ceza öncesinde mi sonrasında mı hayata geçirildiği de tarihli belgeyle ortaya konulmalıdır.
Yukarıdaki değerlendirmeler genel bilgilendirme niteliğindedir. İşleme faaliyetinin türü ve kurumun yapısı sonucu etkilediğinden, denetim veya ceza sürecinde hukuki destek alınması yerinde olacaktır.