Kişisel verilerin korunması alanında denetim gündeme geldiğinde, veri sorumlusunun elinde bulunması gereken ilk belge dizisi kayıt ve envanter kayıtlarıdır. 6698 sayılı Kanun kapsamındaki Veri Sorumluları Sicili yükümlülüğü ile internet ortamındaki yayınlara ilişkin 5651 sayılı Kanun düzenlemeleri birlikte değerlendirildiğinde, uyumun sözle değil dokümanla ispatlandığı görülür.
Sicil Kaydı Tek Başına Uyum Anlamına Gelmez
Sicile kayıt yapılmış olması, veri işleme faaliyetinin hukuka uygun olduğunu göstermez. Denetimde karşılaştırma yapılan asıl belge, sicile bildirilen beyan ile fiilen yürütülen faaliyetin örtüşüp örtüşmediğidir. Bildirimde yer almayan bir veri kategorisinin işlendiğinin tespiti veya beyan edilen saklama süresinin aşılması, başlı başına bir aykırılık iddiası doğurur.
Uyumu İspatlayan Belge Seti
- Kişisel veri işleme envanteri ve bunun güncellenme kayıtları
- Saklama ve imha politikası ile periyodik imha tutanakları
- Aydınlatma metinleri ve bunların hangi kanalda, hangi tarihte sunulduğuna dair kayıtlar
- Açık rıza alınan hâllerde rızanın özgür iradeyle ve ayrı bir alanda alındığını gösteren ekran veya form örnekleri
- Veri işleyenlerle imzalanan sözleşmeler ve yurt dışına aktarım varsa aktarım dayanağı
- Yetki matrisi, erişim logları ve teknik tedbirlerin uygulandığını gösteren kayıtlar
İlgili Kişi Başvurusunda Sıra Bozulmamalı
Kanun, ilgili kişinin önce veri sorumlusuna başvurmasını öngörür; bu adım atlanarak doğrudan Kurula yapılan şikâyet, usul yönünden değerlendirilir. Veri sorumlusunun cevap vermesi için tanınan süre ile cevabın ardından Kurula şikâyet için tanınan süre ayrı ayrı düzenlenmiştir ve her ikisi de kısa sürelerdir. Bu nedenle başvuru tarihi, tebliğ tarihi ve cevabın alındığı tarih ilk günden itibaren kayıt altına alınmalıdır.
Başvuruyu Karşılayan Tarafın Hazırlığı
Veri sorumlusu açısından risk, cevapsız kalmaktan çok, cevabın içeriğinin sonradan aleyhe delil oluşturmasıdır. Verilecek yanıtta hangi verinin hangi hukuki sebeple işlendiği açıkça belirtilmeli; talebin reddediliyorsa gerekçesi somut olarak yazılmalıdır. "Talebiniz mevzuat gereği karşılanamamaktadır" biçimindeki genel cevaplar, denetimde savunmayı zayıflatır.
İdari Yaptırıma İtiraz mı, Süreci Uzlaşıyla mı Yönetmek
İdari para cezalarına karşı kanun yolu ve süresi, tebligat üzerinden işler; bu alanda tarafların anlaşmasıyla dosyayı kapatan bir uzlaşma usulü bulunmaz. Buna karşılık ilgili kişilerle bireysel olarak yürütülen görüşmeler ve zararın giderilmesi, tazminat talepleri bakımından anlam taşıyabilir. İki süreç birbirinden ayrı yürütülmeli; itiraz süresi, görüşmelerin uzaması nedeniyle kaçırılmamalıdır.
Bu açıklamalar genel bilgi vermek amacıyla hazırlanmıştır. Faaliyet konusu, işlenen veri kategorileri ve kurum yapısı yükümlülüğün kapsamını değiştirdiğinden, denetim veya başvuru durumunda hukuki destek alınması önerilir.