Veri sorumlusu bakımından denetimin en zor sorusu genellikle şudur: bu veriyi hangi hukuki sebeple işlediniz ve bunu nasıl gösteriyorsunuz. İdari para cezası kararlarının önemli bölümü, işlemenin hukuka aykırılığından değil, hukuka uygunluğun belgelenememesinden doğar. Bu rehber 6698 sayılı KVKK ve 5651 sayılı Kanun ekseninde, delil eksikliği riskine karşı kayıt düzenini ele alır.
Açık Rıza Her Zaman Doğru Sebep Değildir
Açık rıza, işlemenin tek dayanağı olarak seçildiğinde en kırılgan seçenektir; çünkü geri alınabilir. Sözleşmenin kurulması, hukuki yükümlülük veya meşru menfaat gibi diğer şartlardan biri uygulanabiliyorsa, rızaya dayanmak veri sorumlusunun elini zayıflatır. Denetimde sorulan ilk soru, sebebin doğru seçilip seçilmediğidir.
Geçerli Rızanın Üç Bileşeni
- Belirli bir konuya ilişkin olması, yani genel ve toptan alınmaması
- Bilgilendirmeye dayanması, aydınlatma metninin rızadan önce sunulması
- Özgür iradeyle açıklanması, hizmetin şartı haline getirilmemesi
Bu üç bileşenin sağlandığı, rızanın alındığı ekranın veya formun o tarihteki halinin saklanmasıyla gösterilir. Metin sonradan güncellenmişse, eski sürümün arşivlenmemiş olması ispatı imkansız hale getirir.
Denetimde İstenen Kayıt Seti
Uygulamada veri sorumlusundan işleme envanteri, saklama ve imha politikası, veri işleyenlerle yapılan sözleşmeler, yetki matrisi ve erişim logları istenir. Bu belgelerin varlığı kadar birbiriyle tutarlılığı da incelenir: envanterde yer almayan bir verinin sistemde bulunması, tek başına bir aykırılık göstergesi olarak okunabilir.
İlgili Kişi Başvurusu Cezanın Habercisidir
Kuruma yapılan şikayetlerin çoğu, veri sorumlusuna yöneltilip cevapsız kalan başvuruların ardından gelir. Başvuruların kayda alınması, süresinde ve gerekçeli yanıtlanması, hem uyuşmazlığı erken kapatır hem de sonraki aşamada iyi niyetin belgesi olur. Verilen cevabın tarihini gösteren gönderi kaydı saklanmalıdır.
Karara Karşı Ne Yapılabilir
İdari para cezası kararı tebliğ edildiğinde, başvurulacak merci ve süre kararın kendisinde ve yürürlükteki düzenlemede gösterilir; bu bilgi okunmadan dilekçe hazırlanmamalıdır. İtiraz aşamasında ileri sürülecek savunmanın gücü, ceza öncesinde tutulmuş kayıtlarla doğru orantılıdır.
Kısa Değerlendirme
Veri koruma uyumu, bir metin değil sürekli işleyen bir kayıt disiplinidir. Sektöre ve veri kategorisine göre yükümlülükler farklılaştığından, denetim veya şikayet bildirimi ulaştığında mevcut belgelerin hukuki gözle taranması önerilir.