Kişisel verilerin korunmasına ilişkin denetimlerde idari para cezası, çoğu zaman verinin işlenmesindeki esasa değil, uyumun belgelenememesine dayanır. Kurum içinde fiilen alınmış tedbirler bile kayda geçirilmediğinde, savunma aşamasında yalnızca beyandan ibaret kalır. Bu yazı, VERBİS yükümlülükleri ve idari para cezası süreçlerinde savunma dosyasının nasıl kurulacağını, hangi usul hatalarının cezayı kesinleştirdiğini ele almaktadır.
İdari Para Cezası Sürecinde Savunma Alanı Nerede Açılır
Süreç genellikle bir ihlal bildirimi, ilgili kişinin şikâyeti veya resen inceleme ile başlar. Bu aşamada kuruma iletilen bilgi ve belge taleplerine verilen yanıtlar, sonraki savunmanın çerçevesini belirler. Aceleyle verilen ve sonradan düzeltilmek zorunda kalınan bir beyan, dosyanın tamamına gölge düşürür. Bu nedenle yanıtlar kurum içinde tek elden koordine edilmeli, teknik ekipten alınan bilgi hukuki metne dönüştürülmeden önce doğrulanmalıdır.
VERBİS Kayıt Yükümlülüğünde Belgelenmesi Gerekenler
- Kayıt yükümlülüğü kapsamına girilip girilmediğine dair değerlendirme ve bu değerlendirmenin tarihi
- Kayıtta beyan edilen veri kategorileri ile fiilî işleme faaliyetlerinin karşılaştırma tablosu
- Beyanların güncellendiği tarihler ve güncellemeye esas iç yazışmalar
- Veri envanteri ile saklama ve imha politikasının birbiriyle uyumunu gösteren kayıtlar
Beyan ile envanterin çelişmesi, denetimde en sık öne çıkan bulgudur; bu nedenle iki belgenin aynı terminolojiyle hazırlanması pratik bir koruma sağlar.
Teknik ve İdari Tedbirlerin Kanıtı
Savunmanın gücü, tedbirlerin varlığını değil uygulandığını gösteren izlere dayanır. Erişim yetkilendirme kayıtları, log tutma yapılandırmaları, personelin imzaladığı gizlilik taahhütleri, farkındalık eğitimlerinin katılım listeleri ve veri işleyenlerle imzalanan sözleşmelerin ilgili maddeleri bu izlerin başında gelir. Bir ihlal yaşanmışsa, ihlalin tespit edildiği an ile bildirim arasındaki sürede alınan aksiyonların zaman damgalı biçimde anlatılması, kusurun ağırlığı değerlendirilirken önem taşır.
Cezaya İtirazda Merci ve Süre Hataları
Uygulamada en maliyetli hata, kararın tebliğinden sonra işleyen itiraz süresinin, kurum içi onay süreçleri beklenirken tüketilmesidir. İkinci hata, itirazın hangi mercie yapılacağının önceden netleştirilmemesidir; idari yaptırım kararlarına karşı izlenecek yol, kararın dayanağına ve niteliğine göre farklılık gösterebilir. Üçüncü olarak, tebligatın kuruma ulaştığı tarihin iç kayıtlarla doğrulanmaması, süre tartışmasında savunmasız kalınmasına yol açar. Tebligat evrakının aslının ve zarfının saklanması bu nedenle basit ama etkili bir önlemdir.
Buradaki değerlendirmeler genel niteliktedir. Cezanın dayandığı bulgular, kurumun ölçeği ve işlenen verinin türü savunma stratejisini değiştirdiğinden, sürecin başında bir hukukçuyla çalışmak faydalı olacaktır.