Kişisel veri işleyen kuruluşlar bakımından yaptırım riski çoğunlukla tek bir olaydan değil, uyum belgelerinin eksikliğinden doğar. KVKK ve 6698 sayılı Kanun ile 5651 sayılı Kanunun kesiştiği alanda VERBİS kaydına ilişkin yükümlülükler, denetim sırasında ilk bakılan başlıklardandır. Yaptırım kararı tebliğ edildiğinde ise elde kalan süre kısadır ve savunmanın dayanacağı belgelerin çoğu geçmiş tarihli olmak zorundadır.
Yükümlülüğün Kapsamını Doğru Belirlemek
Her veri sorumlusu aynı yükümlülüğe tabi değildir; kayıt yükümlülüğü bakımından istisna kapsamına giren durumlar bulunur. Bu nedenle savunmanın ilk aşaması, kuruluşun ilgili dönemde kayıt yükümlülüğü kapsamında olup olmadığının ortaya konmasıdır. Çalışan sayısı, faaliyet konusu ve işlenen verinin niteliği bu değerlendirmede birlikte ele alınır.
Uyumun Kanıtı Olan Belgeler
- Kişisel veri işleme envanteri ve güncellenme tarihleri
- Saklama ve imha politikası ile periyodik imha kayıtları
- Aydınlatma metinleri ve gerekli hallerde açık rıza kayıtları
- Veri işleyenlerle imzalanmış sözleşmeler ve taahhütler
- Teknik tedbirlere ilişkin log, yetkilendirme ve erişim kayıtları
Bu belgelerin sonradan hazırlandığı izlenimi doğurmaması için oluşturulma ve onay tarihlerinin sistem kayıtlarıyla desteklenmesi gerekir.
Başvuru Mercii ve Sürenin Teyidi
İdari para cezalarına karşı başvurulacak merci ve süre, mevzuatta yapılan değişikliklere göre farklılık gösterebilmektedir. Bu nedenle karar elinize ulaştığında, kararın üzerinde yer alan başvuru yolu bilgisi ile yürürlükteki düzenleme birlikte teyit edilmelidir. Yanlış mercie yapılan başvurunun en ağır sonucu, evrak yönlendirilirken kısa itiraz süresinin dolmasıdır. Tebliğ tarihi bu nedenle ilk anda kayda geçirilmelidir.
Savunmanın Kurgusu
İtiraz dilekçesinde yalnızca cezanın ağır olduğu ileri sürülürse inceleme dar kalır. Öncelikle yükümlülüğün kapsamı, ardından fiilin gerçekleşip gerçekleşmediği, son olarak da yaptırımın belirlenmesinde dikkate alınan ölçütler ayrı başlıklar halinde tartışılmalıdır. Eksikliğin denetim öncesinde giderildiği durumlarda, giderme tarihini gösteren kayıtlar dosyaya eklenmelidir.
Yukarıdaki açıklamalar genel bilgilendirme amaçlıdır. Kuruluşun faaliyet alanı ve işlenen verinin niteliği hem yükümlülüğü hem de savunma stratejisini değiştirebileceğinden, tebligatın ardından gecikmeden hukuki değerlendirme alınması önerilir.