KVKK uygulamasında idari para cezalarının önemli bir bölümü, veri işlemenin kendisinden değil, aydınlatmanın yapıldığının ispat edilememesinden doğar. 6698 sayılı Kanun aydınlatma yükümlülüğünü veri sorumlusuna yükler ve ispat külfetini de ona bırakır. İnternet üzerinden yürüyen faaliyetlerde 5651 sayılı Kanun kapsamındaki kayıt yükümlülükleri de bu resmin parçasıdır.
Aydınlatma Bir Metin Değil, Bir Arşiv İşidir
Web sitesinde yayımlanan tek bir metin, her veri işleme faaliyeti için yeterli sayılmaz. Aydınlatmanın hangi kanalda, hangi anda ve hangi içerikle yapıldığı gösterilebilmelidir. Bu nedenle her kanal için ayrı kayıt tutulmalıdır: form gönderimlerinde metnin o tarihteki sürümü, çağrı merkezinde okunan anons metni ve tarihi, fiziksel ortamda imzalı nüsha veya teslim kaydı.
İnceleme Sırasında İstenen Belgeler
- Veri envanteri ve işleme amaçlarının faaliyetle eşleştirilmiş hâli
- Aydınlatma metinlerinin sürüm geçmişi ve yayım tarihleri
- Açık rıza alınan hâllerde rızanın ayrı olarak alındığını gösteren kayıt
- Yurt dışına aktarım varsa dayanağın belgelenmesi
- Saklama ve imha politikası ile fiilen yapılan imha tutanakları
- Teknik ve idari tedbirlere ilişkin kayıtlar, erişim yetkisi listeleri
İlgili Kişi Başvurusu: İlk Kritik Eşik
İlgili kişinin veri sorumlusuna yaptığı başvuru en geç otuz gün içinde sonuçlandırılmalıdır. Başvurunun reddi, verilen cevabın yetersiz bulunması veya hiç cevap verilmemesi hâlinde ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Veri sorumlusu tarafında bu takvim, kayıt tutulmadığında kolayca kaçırılır; bu nedenle gelen başvuruların tarih damgalı bir defterde izlenmesi gerekir.
Cezaya İtirazda Merci ve Süre
İdari para cezasına karşı başvurulacak merci ve süre, kanun yolu bildirimi ile yürürlükteki mevzuat hükmünden birlikte teyit edilmelidir; bu konudaki düzenleme değişikliğe uğramış olduğundan eski bilgiye dayanarak dilekçe verilmesi hak kaybı doğurabilir. Tebliğ tarihi, tebligatın kime ve nasıl yapıldığı ile birlikte kaydedilmeli; dilekçede hem usule hem esasa ilişkin itirazlar birlikte ileri sürülmelidir.
Ceza Öncesi Risk Azaltma
- En çok başvuru alan süreçler önceliklendirilerek aydınlatma metinleri güncellenir.
- Rıza ile diğer hukuka uygunluk sebepleri karıştırılmaz; gereksiz rıza talebi ayrı bir risk üretir.
- Veri ihlali hâlinde bildirim yükümlülüğü için hazır bir akış tanımlanır.
Buradaki açıklamalar genel niteliktedir; işlenen verinin türü ve faaliyetin yapısı sonucu değiştirebileceğinden, uyum ve itiraz adımlarını bir hukukçuyla planlamanız önerilir.