Veri sorumluları bakımından kayıt ve bildirim yükümlülüğüne dayalı yaptırımlar, çoğu zaman şirketin veri işleme pratiğinden değil, bu pratiğin belgelenmemiş olmasından doğar. 6698 sayılı KVKK çerçevesinde yürütülen incelemelerde, iyi niyetli ancak kayıtsız bir uygulama ile hiç yapılmamış bir uygulama arasındaki fark gösterilemeyebilir. Bu rehber, savunmanın belge altyapısına odaklanıyor.
İnceleme Öncesinde Hazır Olması Gereken Dosya
- Kişisel veri işleme envanteri ve bunun güncellenme tarihleri
- VERBİS kaydına ilişkin başvuru ve güncelleme çıktıları
- Aydınlatma metinleri ile bunların ilgili kişiye ne şekilde sunulduğuna dair kanıt
- Açık rıza alınan süreçlerde rızanın zamanı ve kapsamını gösteren kayıtlar
- Saklama ve imha politikası ile periyodik imha işlemlerinin tutanakları
- Erişim yetkileri, log tutma ve yedekleme gibi teknik tedbirlere ilişkin dokümanlar
Bu dosyanın inceleme başladıktan sonra oluşturulması hem zaman kaybı hem de tutarlılık sorunu doğurur.
Yükümlülük Kategorilerini Ayırmak
- Kayıt yükümlülüğüne ilişkin eksiklik ile veri güvenliğine ilişkin eksiklik ayrı değerlendirilir.
- Aydınlatma yükümlülüğü ile açık rıza şartı birbirinin yerine geçmez.
- İlgili kişi başvurusuna süresinde yanıt verilmemesi ayrı bir başlıktır.
- Yurt dışına aktarım söz konusuysa bu süreç bağımsız olarak belgelenmelidir.
Savunma dilekçesinde bu ayrım korunmadığında, aslında yerine getirilmiş bir yükümlülük eksik gibi değerlendirilebilir.
Ceza Kararına İtirazda Merci Kontrolü
İdari para cezasına karşı başvurulacak merci ve süre, mevzuatta yapılan değişikliklerle güncellenebilmektedir. Bu nedenle karar tebliğ edildiğinde, kararın kendi metnindeki başvuru yolu bilgisi ile o tarihte yürürlükte olan düzenleme birlikte kontrol edilmelidir. Yanlış mercie yapılan başvuru, esas hakkındaki güçlü savunmanın hiç değerlendirilmemesine yol açabilir.
Orantılılık Argümanını Belgeyle Kurmak
Yaptırımın miktarına yönelik itirazlarda, ihlalin kapsamı, etkilenen kişi sayısı, giderim için atılan adımlar ve tekrar riskini azaltan tedbirler somut olarak gösterilmelidir. Eğitim kayıtları, sistem değişikliği talepleri ve düzeltici işlem tarihleri bu argümanı destekler. 5651 sayılı Kanun kapsamındaki yükümlülüklerle kesişen bir faaliyet varsa, bu ayrım da açıklanmalıdır.
En Sık Görülen Eksik
Uygulamada en çok rastlanan boşluk, veri işleyenlerle yapılan sözleşmelerde gizlilik ve güvenlik yükümlülüklerinin yazılı hale getirilmemiş olmasıdır. Tedarikçi ilişkilerinin gözden geçirilmesi, hem inceleme öncesinde hem sonrasında değer taşır.
Bu metin genel bilgilendirme sunar; veri işleme faaliyetinin niteliği ve şirketin ölçeği değerlendirmeyi değiştirebileceğinden, tebligatı aldığınız tarihten itibaren süre işlemeye başlayacağı için gecikmeden hukuki görüş almanız uygun olur.