VERBİS yükümlülüğü çoğu işletmede “kayıt yapıldı mı?” sorusuna indirgenir. Oysa Kişisel Verileri Koruma Kurulunun idari para cezası uygulamalarında karşılaşılan tablo, çoğunlukla kaydın hiç yapılmaması değil; kaydın kapsamı ile fiilî veri işleme faaliyetinin örtüşmemesidir. Bu rehber, böyle bir yaptırımla karşılaşıldığında hangi mercie, hangi usulle gidileceğini ele alır.
Yaptırımın Dayanağı Nerede Kırılıyor?
- Kayıt yükümlülüğü kapsamında olunduğu hâlde bildirim yapılmaması,
- Bildirimdeki veri kategorileri, saklama süreleri ve aktarım bilgilerinin envanterle uyumsuz olması,
- Faaliyet konusu değiştiği hâlde kaydın güncellenmemesi,
- Aynı denetimde ortaya çıkan aydınlatma ve veri güvenliği eksikliklerinin ayrı yaptırımlara dayanak yapılması.
Bu ayrım önemlidir: tek tutanakta birden çok yükümlülük ihlali tespit edilmişse her biri için ayrı hukuki gerekçe kurulmalıdır. Tümünü tek gerekçeyle tartışan dilekçeler kısmen haklı olsa dahi bütünüyle sonuçsuz kalabilir.
Kanun Yolu ve Yetki
Kurul kararlarına karşı izlenecek kanun yolu, 6698 sayılı Kanunda yapılan değişiklikle netleştirilmiş ve idari para cezaları bakımından idari yargıda iptal davası yolu benimsenmiştir. Daha eski tarihli tebligatlarda ise kabahatler mevzuatı ekseninde farklı bir merci tartışması yaşandığından, elinizdeki kararın üzerindeki kanun yolu açıklaması ile tebliğ tarihi mutlaka birlikte okunmalıdır. Yetki bakımından veri sorumlusunun merkezinin bulunduğu yer belirleyici olabilir; şube üzerinden yürütülen faaliyetlerde bu nokta ayrıca değerlendirilir.
Usule Aykırı İşlem İki Yönlü İşler
Bu dosyalarda usul tartışması yalnızca başvurucu aleyhine sonuç doğurmaz. Denetim ve yaptırım sürecinde savunma istenmemesi, tanınan sürenin fiilen kullandırılmaması ya da kararın gerekçesinde hangi yükümlülüğün nasıl ihlal edildiğinin somutlaştırılmaması, işlemin kendisini sakatlayabilir. Bu nedenle önce idari sürecin kronolojisi çıkarılmalı; yazışma, tebliğ ve savunma tarihleri tek tabloda toplanmalıdır.
Dosyaya Eklenmesi Yerinde Olan Belgeler
- Kişisel veri işleme envanteri ve VERBİS kaydının tarihli çıktısı,
- Aydınlatma metinleri, açık rıza formları, saklama ve imha politikası,
- Kurumla yapılan tüm yazışmalar ile tebligat evrakı,
- Teknik ve idari tedbirlere ilişkin kayıtlar: yetkilendirme matrisi, erişim kayıtları, eğitim belgeleri,
- Yaptırımın ölçüsü bakımından anlam taşıyan işletme büyüklüğü ve ihlalin etkisine dair veriler.
Bu davalarda tartışma çoğu zaman ihlalin varlığından çok, ihlalin nitelendirilmesi ve yaptırımın ölçülülüğü üzerinde yoğunlaşır. Yukarıdaki çerçeve genel niteliktedir; kararın içeriği ve tarihi izlenecek yolu değiştirebileceğinden, süre işlerken hukuki değerlendirme alınması yararlı olur.