Kişisel veri uyuşmazlıklarında incelemenin başladığı ilk nokta genellikle teknik güvenlik değil, aydınlatma metnidir. 6698 sayılı KVKK kapsamında veri sorumlusu, verinin elde edildiği sırada ilgili kişiyi bilgilendirmekle yükümlüdür ve bu yükümlülük, açık rızadan bağımsız olarak her hâlde yerine getirilmelidir. Aşağıdaki kontrol listesi, şikâyet öncesi ve sonrasında yapılacak risk azaltmayı ele alır.
Aydınlatma Metninin Denetlenmesi
- Veri sorumlusunun ve varsa temsilcisinin kimliğinin açıkça yazılması
- Her işleme faaliyeti için amacın ayrı ayrı ve genel ifadelerden kaçınılarak belirtilmesi
- Aktarım yapılan alıcı gruplarının ve aktarım amacının gösterilmesi
- Toplama yönteminin ve dayanılan hukuki sebebin eşleştirilmesi
- İlgili kişinin haklarının ve başvuru yolunun anlaşılır dille açıklanması
- Aydınlatmanın açık rıza metniyle aynı alanda birleştirilmemesi
Aydınlatma ile Açık Rızayı Karıştırmanın Sonucu
Uygulamada en sık görülen kurgu hatası, tek bir onay kutusuyla hem bilgilendirmenin yapıldığının hem de rızanın alındığının varsayılmasıdır. Sözleşmenin kurulması veya hukuki yükümlülük gibi bir sebep zaten mevcutken rıza istenmesi, hem rızayı sakatlar hem de ilgili kişiye rızayı geri alarak işlemeyi durdurma beklentisi yaratır. Metinlerin ayrıştırılması, sonraki şikâyet incelemesinde savunmanın omurgasını oluşturur.
Başvuru ve Şikâyet Sürecinde Süre Yönetimi
- İlgili kişi önce veri sorumlusuna başvurur; başvurunun kaydı, tarihi ve cevap tarihi mutlaka tutulmalıdır.
- Veri sorumlusu, başvuruyu talebin niteliğine göre en kısa sürede ve mevzuatta öngörülen süre içinde sonuçlandırmalıdır.
- Cevap verilmemesi veya cevabın yetersiz bulunması hâlinde Kurula şikâyet yolu açılır.
- Kurul yazışmalarında istenen bilgi ve belgeler için tanınan süreye uyulmaması, ayrı bir yaptırım sebebi olabilir.
Şikâyet Geldiğinde İlk 72 Saat
Şikâyet bildirimi ulaştığında yapılacak ilk iş, ilgili işleme faaliyetinin envanterle karşılaştırılmasıdır. Kişisel veri işleme envanteri, saklama ve imha politikası, aktarım sözleşmeleri ve varsa veri işleyenle imzalanan taahhütler tek dosyada toplanmalıdır. Veri ihlali söz konusuysa bildirim yükümlülüğünün ayrıca ve gecikmeksizin işlediği; internet ortamındaki içerik ve erişim taleplerinde ise 5651 sayılı Kanun kapsamındaki yolun KVKK başvurusundan bağımsız işlediği unutulmamalıdır.
Uzlaşma Zemini ve Dava Tercihi
İlgili kişinin talebi çoğu kez içeriğin silinmesi, düzeltilmesi veya aktarımın durdurulmasıdır. Bu talep, idari süreç sonuçlanmadan yerine getirilebiliyorsa uyuşmazlığın erken kapanması mümkündür. Buna karşılık talep, hukuki dayanağı bulunan bir işlemenin tümüyle durdurulmasına yönelikse, kayıtla desteklenmiş bir savunma vermek gerekir. Kurul kararına karşı idari yargı yolu açık olduğundan, karar tebliğinden itibaren işleyen dava süresinin baştan takvime alınması gerekir.
Buradaki değerlendirmeler genel niteliktedir; sektör, veri kategorisi ve işleme amacı yükümlülükleri değiştirebilir. Metinlerinizi ve envanterinizi şikâyet gelmeden önce hukuki incelemeden geçirmeniz, sonradan yapılacak düzeltmelerden daha etkilidir.