Veri sorumluları sicili kaydı, çoğu kuruluşta bir kez yapılıp unutulan idari bir formalite gibi görülür. Oysa 6698 sayılı KVKK bakımından kayıt yükümlülüğü sürekli bir yükümlülüktür ve bildirilen bilgilerin güncelliği denetime esas alınır. 5651 sayılı Kanun kapsamındaki yükümlülüklerle birlikte değerlendirildiğinde, kuruluşların uyum yükü tek seferlik bir işten ibaret değildir.
Kimler Kapsamda, Ne Zaman Güncellenir?
Kayıt yükümlülüğünden muaf tutulan veri sorumluları Kurul kararlarıyla belirlenmiştir; muafiyet ölçütleri çalışan sayısı, mali büyüklük ve işlenen verinin niteliği gibi kriterlere dayanır. Muafiyet koşulları sonradan ortadan kalkabileceğinden, bu değerlendirmenin yılda bir yenilenmesi gerekir. Kayıt sonrasında işleme amaçları, aktarılan alıcı grupları, saklama süreleri veya irtibat kişisi değiştiğinde bildirim güncellenmelidir. Envanter ile sicildeki beyanın birbirinden ayrışması, denetimde en sık karşılaşılan uyumsuzluk türüdür.
Denetim ve Savunma Yazısı Aşaması
Kurul, şikâyet üzerine ya da resen inceleme başlatabilir. Kuruluşa gönderilen bilgi ve belge talebine verilecek cevap için tanınan süre kısadır ve bu yazı, sonraki tüm aşamaların temelini oluşturur. Bu aşamada yapılan en yaygın hata, genel ifadelerle uyumlu olunduğunun beyan edilmesidir. Savunmanın; envanter, aydınlatma metinleri, saklama ve imha politikası, veri işleyen sözleşmeleri ve teknik tedbir kayıtlarıyla belgelendirilmesi gerekir. Eksikliğin sonradan giderildiği hâllerde bunun da tarihiyle birlikte gösterilmesi yerinde olur.
Yaptırım Kararına Karşı Hangi Yol?
Kurulun idari para cezası kararlarına karşı başvurulacak yargı yolu mevzuat değişikliğiyle güncellenmiştir; bu nedenle karar tebliğ edildiğinde dilekçe yazılmadan önce yürürlükteki hükmün kontrol edilmesi zorunludur. Yanlış mercie yapılan başvuru, süre içinde yapılmış sayılmayabilir. İtiraz süresi tebliğ tarihinden itibaren işlediğinden, tebligatın kuruluş içinde kime teslim edildiği ve hangi tarihte kayda girdiği ayrıca takip edilmelidir. Kabahatler hukukunun genel hükümlerinin uygulanacağı hâller ile KVKK’daki özel düzenlemelerin ilişkisi de dilekçede ele alınmalıdır.
Uyum Çalışması mı, Hukuki İtiraz mı?
Eksiklik gerçekten mevcutsa ve giderilebilir nitelikteyse, itiraz sürecine paralel biçimde yürütülecek bir uyum çalışması tekrar eden yaptırım riskini azaltır. Buna karşılık kapsamda olmadığı savunulan bir kuruluşun kayıt yaptırması, muafiyet iddiasını zayıflatabileceğinden bu adım öncesinde değerlendirme yapılmalıdır. Ceza miktarının indirilmesi talebiyle esasa ilişkin itirazın aynı dilekçede nasıl sıralanacağı da stratejik bir tercihtir.
Buradaki bilgiler genel çerçeve sunmaktadır. Kuruluşun büyüklüğü, işlediği veri kategorileri ve tebligat tarihleri sonucu değiştirdiğinden, süre işlerken dosyaya özel hukuki destek alınması yerinde olur.