Veri koruma denetimlerinde şirketlerin çoğu, gerekli işlemleri fiilen yaptığını ancak bunu tarihli biçimde belgeleyemediğini fark eder. 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında aydınlatma yükümlülüğü bir metin hazırlamaktan ibaret değildir; metnin ilgili kişiye hangi anda, hangi kanalla ve hangi içerikle sunulduğunun gösterilebilmesi gerekir. İdari para cezası tartışmasının kaderi genellikle bu kayıt düzeninde belirlenir.
Aydınlatma ile Açık Rızayı Ayırmak
Aydınlatma, veri işlemenin her hâlinde yerine getirilmesi gereken bir yükümlülüktür ve ilgili kişinin onayına bağlı değildir. Açık rıza ise yalnızca belirli işleme hâllerinde başvurulan bir hukuka uygunluk sebebidir. İkisinin tek bir kutucukta birleştirilmesi, hem aydınlatmanın hem rızanın geçerliliğini tartışmalı hâle getirir. Denetimlerde sık rastlanan bir başka sorun, kanunda sayılan diğer işleme şartlarından biri mevcutken gereksiz yere rızaya dayanılması ve rızanın geri alınmasıyla tüm sürecin dayanaksız kalmasıdır.
Denetim Anında İstenebilecek Kayıtlar
- Aydınlatma metninin sürüm geçmişi ve her sürümün yayına alındığı tarih
- Metnin sunulduğu ekran, form veya çağrı merkezi senaryosunun örneği
- Veri envanteri ve işleme amaçlarının kategorilere göre eşleştirilmesi
- Yurt içi ve yurt dışına aktarım yapılıyorsa dayanağı gösteren belgeler
- İlgili kişi başvurularının kayıt defteri ile verilen cevapların tarihleri
- Erişim ve işlem logları, yetkilendirme matrisi ve saklama imha politikası uygulama kayıtları
Ceza Kararı Tebliğ Edildiğinde İlk Kontrol
İdari yaptırım kararında yükümlülüğün hangi başlıkta ihlal edildiği, hangi tarih aralığının esas alındığı ve tutarın hangi ölçütlere göre belirlendiği ayrı ayrı incelenmelidir. Savunma kurgusunda üç eksen öne çıkar: ihlalin fiilen gerçekleşmediği, gerçekleşmişse kusurun ağırlığının ve etkilenen kişi sayısının ölçülü değerlendirilmediği, ya da aynı fiile birden fazla başlıktan yaptırım uygulandığı. Kararın kanun yolu ve süresi tebliğ edilen metinde gösterilir; başvuru mercii ve süre bakımından tereddüt varsa bu bilgilendirme esas alınarak hareket edilmeli, süre geçirilmemelidir.
Uyum Taahhüdü ile İtiraz Arasında Denge
Kurum önünde eksikliğin giderildiğini göstermek ile kararın hukuka aykırılığını ileri sürmek birbirini dışlamaz; ancak sıralama önemlidir. Yapılan iyileştirmeler ihlalin kabulü anlamına gelecek biçimde ifade edilirse, itiraz aşamasında aleyhe yorumlanabilir. Bu nedenle uyum çalışmaları, geçmişe dönük bir itiraf metni gibi değil, ileriye dönük tedbirler olarak belgelenmelidir. Ayrıca veri ihlali bildirimi yapılmış dosyalarda, bildirimdeki anlatım ile savunmadaki anlatımın çelişmemesi gerekir.
Buradaki değerlendirmeler genel çerçeve sunar; şirketin faaliyet alanı, işlenen veri kategorileri ve denetimin kapsamı sonucu değiştirir. Karar tebliğ edildiyse süre kısa olduğundan gecikmeden hukuki değerlendirme alınmalıdır.