Kişisel Verileri Koruma Kurulu tarafından uygulanan idari para cezası, çoğu zaman tek bir eksiklikten değil, kurum içi belgelendirmenin bütünündeki boşluklardan doğar. VERBİS kaydının yapılmamış ya da güncellenmemiş olması bu boşlukların en görünür hâlidir. Bu rehber, KVKK, 6698 ve 5651 sayılı Kanun ekseninde ceza sonrası izlenecek adımları ve dosyanın nasıl toplanacağını anlatıyor.
İtirazın yöneltileceği merci
Kurul kararıyla uygulanan idari para cezalarına karşı itiraz, kabahatler mevzuatındaki genel düzenleme uyarınca sulh ceza hakimliğine yapılır. Kurulun para cezası dışındaki işlemleri bakımından ise idari yargı yolu gündeme gelebilir. Bu ayrım gözden kaçtığında dosya görev yönünden reddedilir ve süre bu arada işlemeye devam eder. İtiraz dilekçesi hazırlanmadan önce kararın hangi bölümüne, hangi sıfatla itiraz edildiği netleştirilmelidir.
Savunma sırasında verilen beyanların ağırlığı
İnceleme aşamasında Kurul'a sunulan yazılı savunmalar, sonraki itiraz aşamasında da dosyada kalır. Bu nedenle savunma metninde yapılan geniş kabuller ya da eksik açıklamalar sonradan geri alınamaz. Savunmanın, veri işleme faaliyetinin hukuki sebebini açıkça ortaya koyması ve alınan teknik ve idari tedbirleri tarihleriyle birlikte göstermesi gerekir.
Delil eksikliğinin ceza tutarını etkilediği alanlar
- Kişisel veri işleme envanterinin bulunmaması ya da faaliyetle uyumsuz olması
- Aydınlatma metni ve açık rıza kayıtlarının hangi tarihte alındığının gösterilememesi
- Saklama ve imha politikasının uygulandığına dair periyodik imha tutanaklarının olmaması
- Veri işleyenlerle yapılan sözleşmelerde gizlilik ve güvenlik yükümlülüklerinin yer almaması
- Erişim yetkileri, log kayıtları ve yetki matrisinin belgelenmemesi
İtiraz dilekçesinde kurulacak eksen
Sadece tutarın yüksekliğinden söz eden bir itiraz, çoğunlukla sonuç doğurmaz. Dilekçede fiilin varlığı, veri sorumlusu sıfatının bulunup bulunmadığı, ihlalin niteliği ve alınan tedbirlerin yeterliliği ayrı başlıklar hâlinde tartışılmalıdır. Yükümlülüğün yerine getirildiği ancak biçimsel bir gecikme yaşandığı hâllerde, gecikmenin nedeni ve giderilme tarihi belgeyle gösterilmelidir.
Uyum dosyasını toparlama sırası
- Kararda belirtilen her tespit ayrı satıra çıkarılır.
- Her tespit için kurumda mevcut belge eşleştirilir, eksik olanlar işaretlenir.
- Belgelerin oluşturulma tarihleri sistem kayıtlarıyla doğrulanır.
- Giderilmiş eksiklikler için düzeltme tarihi ve kanıtı hazırlanır.
- İtiraz dilekçesi, tespit başlıklarıyla aynı sırada yazılır.
Buradaki açıklamalar genel çerçeve niteliğindedir. Veri işleme faaliyetinin kapsamı ve kurumun büyüklüğü değerlendirmeyi değiştirebileceğinden, karar tebliğ edildiğinde gecikmeden hukuki destek almanız yerinde olur.