Kişisel verilerin korunması denetimlerinde en sık karşılaşılan tespitlerden biri, aydınlatma yükümlülüğünün hiç yerine getirilmemesi ya da metnin gerçek veri işleme faaliyetiyle örtüşmemesidir. Bu tespit çoğu zaman idari para cezasıyla sonuçlanır ve cezaya karşı başvuru süresi kısadır.
Aydınlatma ile Açık Rızayı Ayırmak
Aydınlatma, veri sorumlusunun her hâlükârda yerine getirmesi gereken bir yükümlülüktür; açık rıza ise yalnızca belirli işleme şartlarında gerekir. İkisini tek metinde birleştirmek, rızanın özgür iradeyle verilmediği sonucunu doğurabilir. Metnin ayrı ayrı sunulması, rızanın hizmet şartı hâline getirilmemesi ve geri alınabilirliğinin gösterilmesi beklenir. Özel nitelikli veri işleniyorsa ek güvenlik tedbirleri ayrıca belgelenmelidir.
Denetim Öncesi Kendini Kontrol Listesi
- Aydınlatma metninde veri sorumlusu kimliği, işleme amaçları, aktarım alıcı grupları, toplama yöntemi ve hukuki sebep yer alıyor mu
- Metin, veri sahibine veri elde edilmesi sırasında sunuluyor mu
- VERBİS kaydı ile fiilen işlenen veri kategorileri uyumlu mu
- Saklama ve imha politikası ile gerçek saklama süreleri örtüşüyor mu
- Yurt dışına aktarım varsa dayanağı belgeli mi
- Çerez politikası ve site üzerindeki izin mekanizması gerçekten çalışıyor mu
Ceza Öncesi Savunma Aşamasını Kullanmak
- Kuruldan gelen bilgi ve belge talebine süresinde ve eksiksiz yanıt verilir.
- İhlal iddiasının hangi işleme faaliyetine ilişkin olduğu netleştirilir.
- Alınan teknik ve idari tedbirler tarihli kayıtlarla gösterilir.
- Varsa ihlal bildiriminin zamanında yapıldığı belgelenir.
- Düzeltici adımlar ve uygulama takvimi savunmaya eklenir.
İdari Para Cezasına Karşı Başvuru
İdari yaptırım kararına karşı gidilecek kanun yolu ve süre, kararın tebliğ tarihinden itibaren işler. Bu alanda kanun yoluna ilişkin düzenleme değişikliğe uğradığından, başvurunun hangi yargı koluna yapılacağı kararın kendisindeki bilgilendirme ve güncel mevzuat üzerinden teyit edilmelidir. Yanlış merciye yapılan başvuru sürenin işlemesini durdurmayacağından, bu kontrol ilk gün yapılmalıdır. Başvuru dilekçesinde hem usul hem esas itirazları birlikte ileri sürülmelidir.
Veri Sahibi Başvurularının Zincirleme Etkisi
Veri sahibinin veri sorumlusuna yaptığı başvuruya süresinde yanıt verilmemesi, doğrudan Kurula şikâyet yolunu açar. Yanıtsız kalan tek bir talep, kurum genelinde denetim başlatan tetikleyici olabilir. Bu nedenle başvuru kanalı, yanıt şablonu ve süre takibi kurumsal bir süreç hâline getirilmelidir.
Buradaki değerlendirmeler genel bilgilendirme amacı taşır; kurumunuzun veri işleme faaliyeti, sektörü ve denetim kapsamındaki tespitler savunma stratejisini değiştirir. Ceza tebliğ edilmişse süre işlemeye başladığından hukuki desteğe gecikmeden başvurmanız uygun olur.