Veri sorumlusunun en görünür yükümlülüğü aydınlatmadır; ancak denetimlerde asıl sorulan soru bu yükümlülüğün yerine getirildiğinin nasıl kanıtlandığıdır. KVKK, yani 6698 sayılı Kanun düzeninde ispat yükü büyük ölçüde veri sorumlusunun üzerindedir. Bu nedenle aydınlatma metninin varlığı yetmez; kime, ne zaman ve hangi kanaldan sunulduğunun kayda geçmiş olması gerekir.
Aydınlatmanın Kanıtlanabilir Biçimde Yapılması
Web formunda gösterilen bir metnin sürüm numarası ve yayın tarihi tutulmalı, güncellemeler arşivlenmelidir. Çağrı merkezi üzerinden yapılan bilgilendirmelerde ses kaydı veya sistem logu; fiziksel ortamda ise imzalı nüsha saklanır. Aydınlatma ile açık rızanın aynı metinde birleştirilmesi ise sık rastlanan bir hatadır; bu iki işlem farklı hukuki temellere dayandığından ayrı ayrı belgelenmelidir.
Silme, Yok Etme ve Anonim Hâle Getirme Ayrımı
Üç yöntemin sonuçları farklıdır ve seçilen yöntemin gerekçesi kayıt altına alınmalıdır:
- Silme, verinin ilgili kullanıcılar için erişilemez hâle getirilmesidir.
- Yok etme, verinin hiçbir şekilde geri getirilemeyecek biçimde ortadan kaldırılmasıdır.
- Anonim hâle getirme, verinin kimliği belirli bir kişiyle ilişkilendirilemeyecek duruma dönüştürülmesidir.
Yedekleme ortamlarındaki kopyalar çoğu zaman gözden kaçar. Talep karşılanırken üretim ortamı silinip yedeklerin dokunulmadan bırakılması, yükümlülüğün eksik yerine getirilmesi anlamına gelir. Bu nedenle saklama ve imha politikasında yedek döngüsünün süresi de tanımlanmalıdır.
Başvuru Zinciri ve Tebligat Gecikmesi
İlgili kişinin başvurusu önce veri sorumlusuna yapılır; yanıt verilmemesi veya yanıtın yetersiz bulunması hâlinde şikâyet yoluna gidilir. Burada kritik nokta, başvurunun veri sorumlusuna ulaştığı tarihtir. Kayıtlı elektronik posta adresinin izlenmemesi, başvuru kanalının internet sitesinde güncel gösterilmemesi ya da gelen taleplerin ilgili birime geç aktarılması, yanıt süresinin farkında olmadan tüketilmesine yol açar. İnternet ortamındaki yayınların kaldırılmasına ilişkin 5651 kapsamındaki taleplerde ise gecikme, içeriğin yayılmasıyla birlikte zararı büyütür.
Kayıt Düzeni Denetimin Omurgasıdır
Veri envanteri, işleme amaçları, aktarım listeleri ve imha tutanakları birbirine bağlı biçimde tutulduğunda, herhangi bir talebe verilecek yanıt saatler içinde hazırlanabilir. Bu düzenin kurulmamış olması, tek başına bir eksiklik olarak değerlendirilebilir.
Bu yazı genel bilgilendirme amacı taşır. Veri işleme faaliyetinin kapsamı kuruluşa göre değiştiğinden, politika ve metinlerin hukuki inceleme ile şekillendirilmesi önerilir.