Kişisel verilerin korunması alanında iki farklı sorun sık sık birbirine karışır: veri sorumlusunun kayıt ve bildirim yükümlülükleri ile ilgili kişinin hak arama yolu. Birincisi VERBİS ekseninde idari bir yükümlülük, ikincisi ise sıkı bir sıraya ve süreye bağlı bir başvuru sürecidir. Süreler karıştırıldığında şikâyet incelenmeden reddedilebilir.
VERBİS Kaydı Kimin Yükümlülüğü?
6698 sayılı Kanun, veri sorumlularının Veri Sorumluları Siciline kaydolmasını kural olarak zorunlu tutar; Kurul bazı veri sorumluları bakımından istisna öngörebilir. Kayıt tek seferlik bir işlem değildir: bildirilen bilgilerde değişiklik olduğunda güncelleme yapılması gerekir. Kayıt yükümlülüğünün yerine getirilmemesi ayrı bir idari yaptırım sebebidir ve bu yaptırım, ortada bir veri ihlali bulunmasa dahi gündeme gelebilir.
Kayıt Öncesi Hazırlanması Gereken Belgeler
- Kişisel veri işleme envanteri
- İşleme amaçları ve hukuki sebeplerin eşleştirildiği tablo
- Veri kategorileri ile alıcı gruplarının listesi
- Azami saklama süreleri ve imha politikası
- Yurt dışına aktarım varsa aktarımın dayanağı
- Alınan idari ve teknik tedbirlerin dökümü
Envanter olmadan yapılan kayıt bildirimi, denetim aşamasında ilk sorgulanan noktadır; bildirimle fiilî uygulama arasındaki tutarsızlık başlı başına bir risk oluşturur.
İlgili Kişi İçin Sıra Bozulamaz
Kişisel verisi işlenen kişi, doğrudan Kurula şikâyette bulunamaz. Önce veri sorumlusuna yazılı olarak başvurulması gerekir. Veri sorumlusu, talebi en geç otuz gün içinde sonuçlandırır. Bu adım atlanarak yapılan şikâyet, başvuru yolu tüketilmediği gerekçesiyle sonuçsuz kalır.
Süre Zinciri: 30 Gün, Ardından 30 ve 60 Gün
- Veri sorumlusuna yazılı başvuru yapılır ve tarihi belgelenir
- Veri sorumlusu otuz gün içinde cevap verir
- Cevap yetersiz veya olumsuzsa, cevabın öğrenilmesinden itibaren otuz gün içinde Kurula şikâyet edilir
- Hiç cevap verilmemişse dahi, başvuru tarihinden itibaren altmış günlük süre içinde şikâyet yoluna gidilmelidir
Burada en çok yapılan hata, cevap gelmediği için sürenin işlemediğinin sanılmasıdır. Cevapsızlık süreyi durdurmaz; altmış günlük üst sınır işlemeye devam eder.
Başvuru Dilekçesinin Kurgusu
Başvuruda hangi kişisel verinin, hangi işlemle ilgili olarak talep konusu yapıldığı açıkça yazılmalıdır. Talebin türü de belirtilmelidir: bilgi talebi mi, düzeltme mi, silme mi, aktarıldığı üçüncü kişilere bildirim mi isteniyor. Genel ifadelerle yapılan başvurular, veri sorumlusunun cevabında da genel kalmasına yol açar ve şikâyet aşamasında değerlendirmeyi zorlaştırır. Başvurunun noter veya kayıtlı elektronik posta gibi tarihi kesin biçimde belirlenebilen bir kanalla yapılması, süre tartışmasını baştan kapatır.
İdari Para Cezasına Karşı Ne Yapılabilir?
Kurul tarafından uygulanan idari para cezalarına karşı kanun yolu açıktır; tebliğ tarihinden itibaren işleyen süre içinde itiraz edilmediğinde ceza kesinleşir. Bu nedenle tebligatın hangi tarihte ve hangi adrese yapıldığının kayda geçirilmesi, kurumsal yapılarda ayrı bir takip başlığı olarak ele alınmalıdır.
Buradaki açıklamalar genel çerçeve sunar; işlenen verinin niteliği ve kurumun yapısı yükümlülükleri farklılaştırabilir. Uyum çalışması veya şikâyet süreci için hukuki destek almanız süre kaybını önler.