Veri sorumlusuna yöneltilen incelemelerin önemli bölümü tek bir soruyla başlar: ilgili kişi, verisinin hangi amaçla işlendiğini ne zaman ve nasıl öğrendi? 6698 sayılı KVKK aydınlatma yükümlülüğünü veri işlemenin başladığı ana bağlar; internet üzerinden sunulan hizmetlerde 5651 sayılı Kanundan doğan kayıt yükümlülükleri de aynı dosyada karşımıza çıkar. Bu rehber, aydınlatma eksikliğinden doğan idari para cezası riskine ve savunma takvimine odaklanıyor.
Aydınlatma ile Açık Rıza Aynı Belge Değildir
Uygulamada en sık rastlanan hata, aydınlatma metni ile açık rıza beyanının tek bir kutuya sıkıştırılmasıdır. Aydınlatma bir bilgilendirmedir ve her hâlde yerine getirilir; açık rıza ise yalnızca belirli işleme faaliyetleri için gerekir ve serbest iradeyle verilmelidir. İkisinin birleştirilmesi, rızanın geçerliliğini de tartışmaya açar. Metinlerin ayrı ayrı sunulduğunu ve hangi anda gösterildiğini kanıtlayacak arayüz kayıtları saklanmalıdır.
İnceleme Yazısına Cevap Verirken
Kuruma sunulan ilk cevap, sonraki bütün aşamaların çerçevesini belirler. Cevapta işleme faaliyetinin hukuki sebebi, veri kategorileri, saklama süresi ve aktarım yapılan taraflar somut olarak anlatılmalıdır. Genel ifadelerle yazılan cevaplar ek bilgi istemine yol açar ve süreç uzar. İstenen bilgi belirli bir süre içinde sunulmalıdır; bu süre uzatma talebiyle ilgili kaydın da yazılı yapılması gerekir.
Ceza Tebliğ Edildikten Sonra
İdari para cezası kararı tebliğ edildiğinde, karar metninin sonunda gösterilen başvuru yolu ve süresi esas alınmalıdır. Bu bilgi karara göre değişebildiğinden, ezberden hareket edilmesi hak kaybı yaratır. Tebliğ tarihi tebligat evrakı üzerinden belgelenmeli, kurum içinde evrakın hangi tarihte kime ulaştığı ayrıca kayıt altına alınmalıdır. Tüzel kişilerde tebligatın kayıtlı elektronik posta üzerinden yapıldığı hâllerde, sistemdeki okunma kaydı belirleyici olur.
Dosyayı Güçlendiren Belgeler
- Veri işleme envanteri ve sicil kaydına ilişkin belgeler
- Aydınlatma metninin yayımlandığı tarihi gösteren sürüm kayıtları
- Çalışanlara verilen eğitim ve gizlilik taahhütnameleri
- Veri işleyenlerle imzalanan sözleşmeler ve aktarım kayıtları
- İlgili kişi başvurularının cevaplanma tarihlerini gösteren log ve yazışmalar
Cezanın Ölçülülüğünü Tartışmak
Savunma yalnızca yükümlülüğün yerine getirildiği iddiasıyla sınırlı kalmamalı; ihlalin kapsamı, etkilenen kişi sayısı, alınan düzeltici önlemler ve tekrarın önlenmesi için yapılan çalışmalar da anlatılmalıdır. Düzeltici adımların tarihlendirilmesi, iyi niyetin ve iş süreçlerindeki değişikliğin somut göstergesi olur.
Buradaki açıklamalar genel bilgilendirme niteliğindedir. Veri işleme süreçleri kurumdan kuruma farklılık gösterdiğinden, savunma hazırlanmadan önce mevcut belgelerin bütün olarak incelenmesi önerilir.