Kişisel verilerin korunmasında yaptırımla sonuçlanan dosyaların önemli kısmı, veri güvenliğine ilişkin ağır bir ihlalden değil; aydınlatma yükümlülüğünün hiç ya da usulüne uygun yerine getirilmemesinden kaynaklanır. Aydınlatma metni, çoğu kurumda bir kez hazırlanıp unutulan bir belge hâline gelir; oysa veri işleme süreçleri değiştikçe güncellenmesi gerekir. 6698 sayılı KVKK ve internet boyutuyla 5651 sayılı Kanun ekseninde aşağıdaki kontrol listesi hazırlanmıştır.
Aydınlatma Metninde Aranan Unsurlar
- Veri sorumlusunun ve varsa temsilcisinin kimliği
- Kişisel verilerin hangi amaçla işlendiği
- Verilerin kimlere ve hangi amaçla aktarılabileceği
- Toplama yöntemi ve dayanılan hukuki sebep
- İlgili kişinin kanunda sayılan haklarının anlaşılır biçimde belirtilmesi
Uygulamada En Sık Görülen Beş Eksik
Birincisi, aydınlatmanın veri işleme faaliyetinden sonra yapılmasıdır; metin, veri elde edilmeden önce sunulmalıdır. İkincisi, aydınlatma ile açık rızanın aynı metinde birleştirilmesi ve tek bir onay kutusuna bağlanmasıdır; bu iki kurum birbirinden ayrıdır ve ayrı yönetilmelidir. Üçüncüsü, hukuki sebebin metinde genel ifadelerle geçilmesidir. Dördüncüsü, işe alım, kamera kaydı, çağrı merkezi ve çerez kullanımı gibi farklı süreçler için tek bir metnin kullanılmasıdır. Beşincisi, metnin ilgili kişiye ulaştığının kanıtlanamamasıdır; ispat yükü veri sorumlusundadır.
Denetim veya Şikâyet Bildirimi Gelirse
- Bildirimin kapsamı ve istenen bilgilerin listesi çıkarılmalı, cevap için verilen süre takvime işlenmelidir.
- İlgili sürece ait veri envanteri, saklama ve imha politikası ile aydınlatma metinlerinin tarihli sürümleri toplanmalıdır.
- Cevap metninde eksiklik varsa bunun ne zaman ve nasıl giderildiği belgeyle gösterilmelidir.
- Veri ihlali boyutu varsa, bildirim yükümlülüğünün ayrıca ve gecikmeksizin yerine getirilmesi gerekir.
İdari Para Cezasına Karşı: Ödeme mi, İtiraz mı
Karar tebliğ edildiğinde iki yol arasında tercih yapılır. Erken ödeme bazı hâllerde indirim imkânı sunabilirken, ödeme yapılması ihlalin kabulü anlamına gelebileceğinden, aynı konuda başka süreçler devam ediyorsa bu etki hesaba katılmalıdır. İtiraz yolunda ise sürenin tebliğ tarihinden itibaren işlediği ve başvurunun doğru mercie yapılması gerektiği unutulmamalıdır. İtiraz dilekçesinde yalnızca cezanın yüksekliği değil, yükümlülüğün fiilen yerine getirildiğine ilişkin belgeler de sunulmalıdır.
Kapanış
Kişisel veri uyuşmazlıklarında sonucu belirleyen şey, çoğu zaman belgelerin tarihli ve tutarlı biçimde saklanmış olmasıdır. Bu rehber genel bir çerçeve sunduğundan, kuruma özgü veri işleme süreçlerinin bir hukukçu eşliğinde gözden geçirilmesi yaptırım riskini azaltır.