Kişisel verilerin işlenmesinde aydınlatma yükümlülüğü, rıza alınmasından bağımsız ve her hâlde yerine getirilmesi gereken bir yükümlülüktür. 6698 sayılı KVKK kapsamında yürütülen incelemelerde en sık karşılaşılan tespitlerden biri, aydınlatma metninin var olmasına rağmen içerik veya zamanlama bakımından yetersiz bulunmasıdır. Bunun sonucu çoğu zaman idari para cezasıdır ve cezaya karşı itiraz penceresi dardır.
Metnin Değil, Sunum Anının Denetlenmesi
Aydınlatma, verinin elde edildiği sırada yapılmalıdır. Sonradan gönderilen bir bilgilendirme e-postası, ilk temas anındaki eksikliği kapatmaz. Bu nedenle inceleme yapılırken web formu, çağrı merkezi senaryosu, mağaza içi kayıt ekranı ve mobil uygulama akışı ayrı ayrı ele alınmalı; her kanal için aydınlatmanın hangi ekranda ve hangi sırada gösterildiği ekran görüntüleriyle belgelenmelidir.
İçerik Bakımından Sık Görülen Eksikler
- Veri sorumlusunun ve varsa temsilcisinin kimliğinin açıkça yazılmaması
- İşleme amaçlarının genel ifadelerle geçiştirilmesi
- Aktarım yapılan alıcı gruplarının ve aktarım amacının belirtilmemesi
- Hukuki sebebin, rıza ile diğer işleme şartları ayrıştırılmadan yazılması
- İlgili kişinin haklarına ve başvuru yoluna yer verilmemesi
- Açık rızanın aydınlatma metniyle aynı kutuda birleştirilmesi
Ceza Tebliğ Edildiğinde İzlenecek Sıra
- Tebliğ tarihi ve tebligatın usulü kayda geçirilir; itiraz süresi bu tarihe göre hesaplanır.
- Karar gerekçesindeki her tespit için ayrı bir savunma başlığı oluşturulur.
- İhlalin niteliği, süresi ve etkilenen ilgili kişi sayısına ilişkin veriler kendi kayıtlarınızla karşılaştırılır.
- Cezanın kaldırılması yanında, kabul edilmeyen tespitler bakımından kısmi itiraz da ayrıca değerlendirilir.
- Aynı olayda veri ihlali bildirimi yükümlülüğü doğmuşsa bunun yerine getirilip getirilmediği kontrol edilir.
İtirazı Güçlendiren Belgeler
Savunmanın gücü, ihlal iddiasının tersini gösteren yazılı kayıtlardan gelir. Veri işleme envanteri, kanal bazlı aydınlatma metni sürümleri ve bunların yayına alındığı tarihler, çalışan eğitim kayıtları, imzalı gizlilik taahhütleri ve teknik tedbirleri gösteren log kayıtları bu kapsamdadır. Barındırılan içerik nedeniyle 5651 sayılı Kanun kapsamında ayrıca bir başvuru yapılmışsa, iki dosya arasındaki tutarlılık da gözetilmelidir.
Tekrarın Önlenmesi
İtiraz süreci devam ederken düzeltici adımların atılması, hem ileriye dönük riski azaltır hem de iyi niyetin gösterilmesine katkı sağlar. Kanallardaki metinlerin güncellenmesi, rıza ile aydınlatmanın ayrıştırılması ve saklama sürelerinin yazılı politikaya bağlanması ilk sırada gelir.
Buradaki değerlendirmeler genel niteliktedir ve her kurumun veri işleme yapısı farklıdır. Karara karşı adım atmadan önce, tebliğ evrakı ve kurum içi kayıtların birlikte incelenmesi için hukuki destek alınması önerilir.