Kişisel veri denetimlerinde veri sorumlusunun karşılaştığı soru sanıldığı kadar soyut değildir: ilgili kişiyi ne zaman, hangi metinle, hangi kanaldan aydınlattığınızı gösterebiliyor musunuz? 6698 sayılı KVKK bakımından aydınlatma, veri işlemenin başladığı ana bağlı bir yükümlülüktür ve sonradan üretilen bir metinle telafi edilemez. İdari para cezasına konu olan dosyaların büyük bölümünde eksik olan şey uyum belgesi değil, uyumun zamanında yapıldığını gösteren kayıttır.
Aydınlatma ile açık rızayı ayırmak
Uygulamadaki en yaygın kusur, aydınlatma metni ile açık rıza beyanının tek bir onay kutusunda birleştirilmesidir. Aydınlatma bir bilgilendirmedir ve her hâlde yapılır; açık rıza ise yalnızca belirli işleme faaliyetleri için gerekir ve özgür iradeyle verilmelidir. İkisi birleştirildiğinde rızanın geçerliliği tartışmaya açılır ve zincirin tamamı zayıflar. Hizmetin sunulmasını rızaya bağlamak da aynı sakıncayı doğurur.
Denetimde istenen kayıt seti
- Aydınlatma metninin sürüm geçmişi ve her sürümün yürürlük tarihi
- Metnin ilgili kişiye hangi ekranda, hangi anda gösterildiğini kanıtlayan sistem kaydı
- Veri envanteri ile işleme amaçlarının eşleştirildiği tablo
- Saklama ve imha politikası ile fiilen yapılmış imha kayıtları
- Yurt dışı aktarım varsa aktarımın hukuki dayanağını gösteren belgeler
- Veri işleyenlerle imzalanan sözleşmeler ve denetim kayıtları
İhlal bildiriminde zamanın ağırlığı
Veri ihlali yaşandığında bildirim yükümlülüğü kısa sürelidir. Bu sürede kurumun içinde neyin ne zaman öğrenildiğini gösteren bir olay günlüğü tutulmamışsa, hem bildirim gecikir hem de gecikmenin gerekçesi ortaya konamaz. İhlalin tespit anı, etkilenen veri kategorileri, etkilenen kişi sayısı ve alınan teknik tedbirler eş zamanlı olarak kayda geçirilmelidir. Sonradan yazılan kronoloji, denetimde beklenen güveni sağlamaz.
Ceza kararına karşı savunmanın kurgusu
İdari para cezasına karşı yürütülecek savunma iki eksende ilerler. Birincisi esasa ilişkindir: yükümlülüğün ihlal edilmediği ya da işlemenin hukuki dayanağının bulunduğu ortaya konur. İkincisi ölçüye ilişkindir: ihlalin ağırlığı, etkilenen kişi sayısı, kusurun derecesi ve alınan düzeltici tedbirler dikkate alınarak yaptırımın orantısı tartışılır. İkinci eksen çoğu zaman ihmal edilir; oysa ihlal sonrası hızla alınan tedbirlerin belgelenmesi bu tartışmada somut karşılık bulur.
Web sitesi ve çevrim içi hizmetlerde ek katman
Çevrim içi ortamda faaliyet gösterenler bakımından 5651 sayılı Kanun kapsamındaki yükümlülükler, kişisel veri uyumundan bağımsız fakat onunla iç içe ilerler. Site üzerinde kimin sorumlu olduğu, iletişim bilgisi ve içerik kaldırma başvurularının nasıl karşılandığı; veri uyumuyla birlikte bütünlüklü biçimde kurgulanmalıdır. İki düzenlemenin ayrı ayrı ele alınması, aynı olayda çifte eksiklik doğurabilir.
Bu içerik genel bilgi amaçlıdır ve her kurumun veri işleme yapısı farklıdır. Denetim yazısı veya ceza kararıyla karşılaştıysanız süreler kısa işlediğinden, savunmanızı hazırlarken hukuki destek almanız yerinde olur.