VERBİS kaydı çoğu işletmede tek seferlik bir formalite olarak görülür; oysa bildirimle fiilî işleme faaliyeti arasındaki fark, denetim aşamasında doğrudan idari para cezası tartışmasına dönüşebilir. 6698 sayılı KVKK ve ilgili düzenlemeler ekseninde, ceza riskini azaltmanın yolu belge üretmekten geçer. Aşağıdaki liste bu belgelerin nasıl kurulacağını göstermektedir.
Bildirim ile Gerçek Faaliyetin Örtüşmesi
VERBİS bildirimi, kişisel veri işleme envanterinden türetilir. Envanter yoksa bildirim de kâğıt üzerinde kalır ve ilk denetimde tutarsızlık ortaya çıkar. Sık rastlanan uyumsuzluklar şunlardır: bildirimde yer almayan bir veri kategorisinin fiilen işlenmesi, yurt dışına aktarım yapıldığı hâlde bunun beyan edilmemesi, saklama sürelerinin gerçekte uygulanandan farklı gösterilmesi. Envanterin, sistem ekran görüntüleri ve süreç sahiplerinin onayıyla birlikte güncellenmesi bu riski azaltır.
Uyum Dosyasında Bulunması Gerekenler
- Kişisel veri işleme envanteri ve güncelleme tarihleri
- Aydınlatma metinlerinin hangi kanalda, ne zaman yayımlandığına dair kayıtlar
- Açık rıza alınan süreçlerde rızanın alındığı an ve yöntemi gösteren log kayıtları
- Saklama ve imha politikası ile periyodik imha işlem tutanakları
- Veri işleyenlerle imzalanan sözleşmeler ve denetim kayıtları
- Teknik ve idari tedbirleri gösteren erişim yetki matrisi, eğitim katılım listeleri
Savunmanın Belgeye Dayanması
İdari yaptırım öncesinde istenen bilgi ve belge talepleri, savunmanın ilk aşamasıdır. Bu aşamada verilen genel içerikli "gerekli tedbirler alınmıştır" cevabı, dosyada karşılık bulmaz. Alınan her tedbirin tarihini ve kapsamını gösteren belge sunulmalı; tedbirin ihlalden önce yürürlükte olduğu gösterilmelidir. Sonradan üretilmiş izlenimi veren belgeler, savunmayı güçlendirmek yerine zayıflatır.
Süre ve Kanun Yolunun Doğru Tespiti
İdari yaptırım kararına karşı gidilecek merci ve süre, kararın kendisinde gösterilir. Bu alanda mevzuat değişiklikleriyle başvurulacak yargı yeri değişebildiğinden, karar metnindeki kanun yolu bildirimi mutlaka esas alınmalı; genel kanaate göre hareket edilmemelidir. Tebliğ tarihinin kaydedilmesi ve başvurunun son güne bırakılmaması, yanlış mercie başvuru hâlinde kalan süreyi kullanabilmek açısından da önemlidir.
İlgili Kişi Başvurularının Yönetimi
Ceza riskini artıran ikinci kaynak, ilgili kişi başvurularının süresinde ve yeterli şekilde cevaplanmamasıdır. Gelen her başvurunun tarihi, konusu ve verilen cevap tek bir kayıt defterinde tutulmalıdır. Cevabın gönderildiğine dair kanıt saklanmadığında, başvurunun hiç cevaplanmadığı iddiası karşısında savunma dayanaksız kalır; bu nedenle iletim kaydı yanıt metniyle birlikte arşivlenmelidir.
Bu metin genel bilgilendirme sağlar; her işletmenin veri işleme yoğunluğu ve sektör düzenlemeleri farklıdır. Denetim veya bilgi talebi ulaştığında, teknik ekip ile hukuki değerlendirmenin aynı takvim üzerinde yürütülmesi savunmanın tutarlılığını korur.