Veri sorumlularının en sık karşılaştığı sorun, idari para cezasının kendisinden çok cezaya karşı hazırlanacak savunmanın süresinde tamamlanamamasıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında verilen idari yaptırımlara itiraz kısa bir zaman aralığında yapılır ve bu aralıkta hem hukuki gerekçe hem teknik kayıtlar bir arada sunulmalıdır. Bu rehber, açık rıza tartışmalarının merkezde olduğu dosyalarda itiraz takvimini kurmayı ele alır.
Sayaç Tebliğle Başlar
İdari yaptırım kararının tebliğ edildiği tarih, itiraz süresinin tek başlangıç noktasıdır. Kurumsal yapılarda kararın evrak biriminden hukuk birimine geç ulaşması, tek başına süre kaybının en yaygın sebebidir. Bu nedenle Kuruma bildirilen tebligat adresinin güncel tutulması, elektronik tebligat kutusunun günlük kontrol edilmesi ve gelen kararın aynı gün ilgili birime iletileceği bir iç akışın yazılı olarak tanımlanması gerekir.
Açık Rıza Savunmasının Belge Temeli
Açık rızaya dayanıldığı ileri sürülüyorsa, rızanın özgür iradeyle, belirli bir konuya ilişkin ve bilgilendirmeye dayalı olarak alındığı gösterilmelidir. Uygulamada en zayıf halka, rızanın alındığı anın teknik olarak kanıtlanamamasıdır. Bu nedenle itiraz dosyasına şu kayıtlar eklenmelidir:
- Rızanın alındığı ekranın veya formun o tarihteki hâli
- Aydınlatma metninin sürümü ve yürürlük tarihi
- Rıza kaydının tutulduğu sistemdeki log bilgileri
- Rızanın geri alınmasına ilişkin mekanizmanın işleyip işlemediğini gösteren kayıtlar
- Aynı veri işleme faaliyeti için başka bir hukuka uygunluk sebebine dayanılıp dayanılamayacağına ilişkin değerlendirme
Rıza Dışındaki Sebepleri de Tartışmak
Birçok dosyada veri işleme faaliyeti aslında sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat gibi başka bir sebebe dayanabilecekken, gereksiz yere açık rızaya dayandırılmıştır. İtiraz aşamasında bu tercihin yerinde olup olmadığı yeniden değerlendirilmelidir. Meşru menfaate dayanılacaksa, menfaat dengesi testinin karar tarihinden önce yapılmış olması ve belgelenmesi beklenir; sonradan üretilmiş bir değerlendirme aynı ağırlığı taşımaz.
İtiraz Takvimi
- Tebliğ tarihi belgeyle sabitlenir ve son gün takvime iki ayrı hatırlatmayla işlenir.
- Karara konu ihlalin hangi veri işleme faaliyetine ilişkin olduğu tek cümleyle tanımlanır.
- Teknik kayıt talepleri bilgi işlem biriminden yazılı olarak istenir; sözlü talep yapılmaz.
- Cezanın miktarına ilişkin ölçülülük itirazı, esasa ilişkin itirazdan ayrı bir başlık olarak kurgulanır.
- İtiraz dilekçesi son günden önce tamamlanır ve ekler numaralandırılarak sunulur.
İhlal Bildirimi ve Ceza İlişkisi
Veri ihlali yaşanmış ve bildirim yapılmışsa, bildirim tarihi ile alınan teknik tedbirlerin tarihleri arasındaki uyum önemlidir. Geç yapılan bildirimler, ceza değerlendirmesinde ayrı bir başlık oluşturabilir. Buna karşılık ihlal sonrası hızlı ve belgelenebilir düzeltici adımlar atıldığını göstermek, savunmanın güçlü tarafını oluşturur. 5651 sayılı Kanun kapsamında içerik veya erişim boyutu da varsa, bu süreç ayrı bir takvimde yürütülmelidir.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. Kararın gerekçesi ve veri işleme faaliyetinin niteliği savunmanın yapısını değiştireceğinden, karar elinize ulaştığı gün hukuki destek almanız yerinde olur.