Kişisel veri koruma mevzuatı kapsamındaki incelemelerde sonuç, çoğu zaman veri sorumlusunun uyum çalışması yapıp yapmadığından değil, yaptığını belgeleyip belgeleyemediğinden doğar. KVKK ve 6698 sayılı kanun düzeni ile içerik ve erişim boyutunda 5651 sayılı kanunun kesiştiği bu dosyalarda savunma, kayıt düzeni üzerine kurulur. Aşağıda konu, idari para cezası riskine karşı belge altyapısının nasıl kurulacağı üzerinden ele alınıyor.
VERBİS Kaydının Kanıt Değeri ve Sınırı
Sicile kayıt, veri işleme faaliyetinin beyan edilmiş olduğunu gösterir; ancak tek başına uyumun sağlandığı anlamına gelmez. Kayıttaki bildirimlerin fiili işleme faaliyetiyle örtüşmesi beklenir. Beyan edilen veri kategorileri ile gerçekte işlenen veriler arasındaki fark, incelemede ilk fark edilen konulardan biridir. Bu nedenle kayıt bilgileri düzenli olarak gözden geçirilmeli ve güncelleme işlemleri tarihiyle birlikte saklanmalıdır.
Savunmayı Ayakta Tutan Üç Belge Grubu
- Veri işleme envanteri: hangi verinin hangi amaçla, hangi hukuki sebeple işlendiğini ve saklama süresini gösterir
- Politika ve prosedürler: saklama ve imha politikası, erişim yetkilendirme kuralları, ihlal müdahale planı
- Uygulama kayıtları: yetki değişiklikleri, imha tutanakları, eğitim katılım listeleri ve teknik önlemlere ilişkin sistem kayıtları
Üçüncü grup en sık ihmal edilen ve incelemede en çok sorulan gruptur. Politika metni bulunup uygulandığını gösteren kayıt bulunmadığında savunma zayıflar.
Aydınlatma ve Açık Rıza Ayrımının Belgelenmesi
İncelemelerde sıkça karşılaşılan bulgu, aydınlatma yükümlülüğü ile açık rızanın aynı metinde birleştirilmesidir. Bu iki işlemin ayrı ayrı yapıldığının ve rızanın özgür iradeyle verildiğinin gösterilmesi gerekir. Dijital ortamda alınan onaylarda, onay anına ilişkin sistem kaydının saklanması bu ispatı mümkün kılar.
İhlal Bildirimi Sürecinde Zaman Kaydı
Bir veri ihlali yaşandığında, olayın öğrenildiği an ile alınan aksiyonların sırası kritik hale gelir. Bu nedenle olay anından itibaren tutulan bir müdahale günlüğü, hem yükümlülüklerin zamanında yerine getirildiğini göstermek hem de sonraki savunmayı kurmak bakımından değerlidir. Günlükte kimin ne zaman hangi kararı aldığı yazılmalıdır.
Ceza Kararına İtiraz Aşaması
Verilen idari yaptırım kararına karşı başvuru yapılacaksa, kararda dayanılan her bulgu ayrı ayrı ele alınmalıdır. Bulguların bir kısmı kabul edilip diğerlerine itiraz ediliyorsa bu ayrım açıkça yazılmalı; itiraz edilen her bulgunun karşısına dayanak belge konulmalıdır. Kararın tebliğ tarihi mutlaka kayda alınmalı, süre yönetimi belge toplama sürecinden bağımsız yürütülmelidir.
Bu içerik genel bilgilendirme niteliğindedir; kurumun büyüklüğü, işlenen verinin niteliği ve inceleme kapsamı değerlendirmeyi değiştirebilir. Yazılı savunma hazırlanmadan önce hukuki destek alınması yerinde olur.