Kişisel veri işleyen kuruluşlarda idari para cezalarının önemli bir kısmı, verinin hiç işlenmemesi gerektiği için değil, işleme dayanağının yanlış seçilmesi nedeniyle gündeme gelir. Açık rıza, çoğu kez ihtiyaç duyulmadığı hâlde kullanılan ve bu yüzden riski artıran bir dayanaktır. Aşağıda, denetim öncesi yapılacak kontroller sıralanıyor.
Açık Rıza Gerçekten Gerekli mi?
6698 sayılı KVKK, açık rızanın yanı sıra kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası, hukuki yükümlülüğün yerine getirilmesi ve meşru menfaat gibi başka işleme şartları da düzenler. Bir işleme faaliyeti bu şartlardan birine dayanabiliyorsa, ayrıca açık rıza alınması hem gereksizdir hem de riskli sonuç doğurur; çünkü rıza her zaman geri alınabilir ve geri alındığında işleme dayanağı ortadan kalkar. İlk yapılması gereken, her veri işleme faaliyeti için dayanağın tek tek yeniden belirlenmesidir.
Rızayı Sakatlayan Uygulamalar
- Hizmetin sunulmasını rızaya bağlamak, yani rızayı zorunlu kılmak
- Aydınlatma metni ile rıza metnini tek bir kutucukta birleştirmek
- Kutucuğun varsayılan olarak işaretli gelmesi
- Rızanın hangi faaliyet için verildiğinin belirsiz bırakılması
- Ticari elektronik ileti onayı ile veri işleme rızasının aynı metne sıkıştırılması
- Rızanın geri alınmasına ilişkin kanalın gösterilmemesi
Belgelenmesi Gereken Kayıtlar
Denetimde en çok sorulan soru, rızanın ne zaman ve nasıl alındığıdır. Bu nedenle rıza kayıtları zaman damgalı biçimde saklanmalı, hangi metin sürümünün gösterildiği izlenebilir olmalıdır. Metin güncellendiğinde eski sürümlerin arşivlenmesi gerekir. Ayrıca veri envanteri, saklama ve imha politikası, veri sorumlusu siciline kayıt yükümlülüğüne ilişkin belgeler ve varsa yurt dışına aktarıma ilişkin kayıtlar hazır bulundurulmalıdır.
Veri İhlali Bildirimi ile Cezanın İlişkisi
Bir ihlal yaşandığında bildirimin gecikmesi, ihlalin kendisinden bağımsız bir yaptırım nedeni oluşturabilir. Bu nedenle ihlal tespit edildiği anda başlatılacak iç prosedür önceden yazılı hâle getirilmeli, kimin hangi adımı atacağı belirlenmelidir. İnternet ortamındaki içeriklere ilişkin yükümlülükler bakımından 5651 sayılı Kanun ile KVKK'nın kapsamları farklıdır; ikisi karıştırılmamalıdır.
Ceza Tebliğ Edildiğinde Ne Yapılır?
- Kararın tebliğ tarihi kaydedilir ve itiraz süresi hemen takvime işlenir.
- Kararın hangi işleme faaliyetine ve hangi yükümlülük ihlaline dayandığı ayrıştırılır.
- Kurul incelemesi sırasında sunulan savunma ile kararın gerekçesi karşılaştırılır.
- İtiraz dilekçesinde, ihlal iddiasının dayandığı olgunun kayıtlarla çeliştiği noktalar tek tek gösterilir.
- Cezanın miktarına ilişkin ölçülülük değerlendirmesi ayrı bir başlık olarak işlenir.
Kurumla Yazışma mı, Yargı Yolu mu?
İnceleme sürerken sunulan açıklamalar, çoğu zaman sonucu doğrudan etkiler; bu aşamada verilen eksik veya çelişkili cevapların düzeltilmesi sonradan güçtür. Yaptırım kararı verildikten sonra ise yazışmayla sonuç alma beklentisi süre kaybına yol açabilir. Bu nedenle karar sonrası aşamada itiraz süresi esas alınmalı, kurumla iletişim buna paralel yürütülmelidir.
Buradaki çerçeve genel bilgilendirme amacıyla sunulmuştur. Kuruluşun faaliyet alanı ve işlediği veri türü değiştikçe yükümlülükler de farklılaşır; uyum çalışmasını kendi süreçlerinize göre bir hukukçuyla birlikte yapılandırmanız yerinde olur.