Kişisel veri uyum dosyalarında ceza riskini büyüten şey çoğu zaman verinin işlenmiş olması değil, işlemenin nasıl anlatıldığının belgelenememesidir. Aydınlatma metni sitede duruyor olabilir; ancak ilgili kişiye ne zaman ve hangi içerikle sunulduğu gösterilemiyorsa, denetim aşamasında savunma zayıflar. Bu rehber, 6698 sayılı KVKK ekseninde aydınlatma kaynaklı idari para cezası riskini azaltmaya odaklanıyor.
Aydınlatma Yükümlülüğü Nerede Kırılıyor
Yükümlülük, verinin elde edilmesi sırasında yerine getirilmelidir. Uygulamada sorun, sonradan hazırlanan tek bir genel metnin bütün süreçlere yapıştırılmasından doğar. Çağrı merkezi kaydı, iş başvurusu, kamera görüntüsü ve pazarlama izni birbirinden farklı amaçlara dayanır; her biri için ayrı bir anlatım gerekir. Açık rıza ile diğer işleme şartlarının birbirine karıştırılması da sık görülen bir kırılma noktasıdır.
Ceza Riskini Büyüten Kayıt Boşlukları
- Metnin hangi tarihte yürürlüğe girdiğinin ve sürüm geçmişinin tutulmaması
- Aydınlatmanın ilgili kişiye sunulduğuna dair sistemsel bir izin bulunmaması
- Sözlü toplanan verilerde bilgilendirmenin hiç kayda geçirilmemesi
- Veri envanteri ile fiilen işlenen veri kalemleri arasındaki farkın giderilmemesi
- Yurt dışı aktarım ve tedarikçi ilişkilerinin metinde karşılığının olmaması
Denetim Öncesi Dosya Kontrolü
- Her veri işleme faaliyeti için ayrı bir aydınlatma anlatımı eşleştirilir.
- Metinlerin sürüm tarihleri ve yayımlandığı kanallar listelenir.
- Rıza gereken hâller ile gerekmeyen hâller ayrı tabloda gösterilir.
- İlgili kişi başvurularına verilen yanıtlar tek dosyada toplanır.
- Yetkilendirme ve erişim kayıtları teknik ekiple birlikte doğrulanır.
Cezaya İtiraz Aşamasında İspat Yükü
İdari para cezası kesildiğinde tartışma, kural ihlalinin varlığından çok ihlalin ağırlığına ve sürdürülüp sürdürülmediğine kayar. Bu nedenle uyum çalışmalarının tarihli belgelerle ortaya konması, ceza miktarına yönelik savunmanın omurgasını oluşturur. Karara karşı gidilecek yargı yolu mevzuat değişikliklerinden etkilenebildiğinden, başvuru mercii ve süresi kararın tebliğ edildiği tarihte yürürlükte olan düzenlemeye göre belirlenmelidir.
Uygulamaya Dönük Uyarı
Bu metin bir uyum denetimi yerine geçmez. Şirketinizin veri akışına özgü riskler, sektöre ve işlenen veri kategorisine göre değişir; somut dosyada uzman görüşü alınması önerilir.