Kişisel veri işleyen kuruluşlarda cezaların önemli bölümü, veri işleme faaliyetinin kendisinden değil belgelendirme ve şeffaflık yükümlülüklerinin eksik yerine getirilmesinden doğar. VERBİS kaydının hiç yapılmamış olması ya da kaydın fiili durumla uyuşmaması, incelemenin başlangıç noktası hâline gelir. Bu rehber, kayıt yükümlülüğü ile idari para cezasına itiraz sürecini birlikte ele alır.
Kayıt Yükümlülüğü Kimi Kapsar
KVKK kapsamında Sicile kayıt yükümlülüğü tüm veri sorumluları için mutlak değildir; çalışan sayısı, mali büyüklük ve işlenen verinin niteliği gibi ölçütlerle belirlenen istisnalar bulunur. Bu nedenle ilk adım, kuruluşun kapsam içinde olup olmadığının yazılı bir değerlendirmeyle tespit edilmesidir. Kapsam dışı olduğu değerlendiriliyorsa bu değerlendirmenin dayanağı da dosyada saklanmalıdır; sonradan yapılan incelemede en çok sorulan soru budur.
Kaydın İçeriği ile Gerçek Durumun Uyumu
- Bildirilen veri kategorileri ile fiilen toplanan verilerin karşılaştırılması
- Aktarım yapılan taraflar ve yurt dışına aktarım bilgisinin güncelliği
- Saklama sürelerinin, kişisel veri saklama ve imha politikasıyla tutarlılığı
- İrtibat kişisi bilgilerinin güncel olması ve bildirimlerin takip edilmesi
- İnternet sitesi, çağrı merkezi ve başvuru formlarındaki aydınlatma metinlerinin kayıtla örtüşmesi
Kurul İncelemesinde Savunma Dosyası
- Şikayete konu veri işleme faaliyetinin hangi hukuki sebebe dayandığı belirlenir.
- Açık rıza alınmışsa, rızanın özgür irade ile ve bilgilendirmeye dayalı verildiği gösterilir.
- Aydınlatma yükümlülüğünün ne zaman ve hangi kanalla yerine getirildiği belgelenir.
- Teknik ve idari tedbirlere ilişkin yetkilendirme matrisi, log kayıtları ve eğitim belgeleri sunulur.
- İlgili kişinin başvurusuna verilen cevabın süresi ve içeriği dosyaya eklenir.
- Tespit edilen eksiklik varsa, inceleme sürerken alınan düzeltici aksiyonlar raporlanır.
İdari Para Cezasına İtiraz Yolu
Verilen idari para cezasına karşı başvurulacak merci ve süre, tebligat evrakında belirtilir; bu bilgi mutlaka teyit edilmelidir. İtiraz süresi kısa ve hak düşürücü niteliktedir. Dilekçede yalnızca cezanın ağırlığından değil, öncelikle yükümlülüğün ihlal edilip edilmediğinden hareket edilmelidir. Ceza tutarının belirlenmesinde göz önüne alınan ölçütlerin somut olayda karşılığı bulunmadığı iddiası ise ikincil bir savunma başlığı olarak kurulmalıdır. Kuruluşun internet üzerinden yürüttüğü faaliyetler bakımından 5651 sayılı Kanun kapsamındaki yükümlülüklerin de ayrıca gözden geçirilmesi gerekir.
Uyum Yatırımı mı, İtiraz mı
Bazı dosyalarda eksikliğin giderilmesi ve bunun belgelenmesi, itiraz sürecine göre daha hızlı sonuç verir. Karar verilirken ihlalin tekrar etme ihtimali, aynı gerekçeyle yeni bir inceleme başlatılma riski ve müşteri sözleşmelerindeki uyum taahhütleri birlikte değerlendirilmelidir. İtiraz edilse dahi uyum çalışmasının durdurulmaması, sonraki incelemelerde kuruluşun konumunu güçlendirir.
Buradaki açıklamalar genel çerçeve niteliğindedir. Kuruluşun faaliyet alanı ve veri hacmi yükümlülükleri değiştirebileceğinden, tebligat alındıktan sonra süre kaybetmeden hukuki değerlendirme yapılması önerilir.