Kişisel verilerin korunması alanında idari para cezaları çoğu zaman büyük bir veri sızıntısından değil, kâğıt üzerinde eksik kalan yükümlülüklerden doğar. Veri Sorumluları Sicili'ne (VERBİS) kayıt yükümlülüğünün yerine getirilmemesi, aydınlatma metninin bulunmaması ya da ilgili kişi başvurusuna süresinde cevap verilmemesi, denetimde ilk sorulan başlıklardır. Bu rehber, 6698 sayılı Kanun çerçevesinde ceza riskini düşüren bir uyum kontrol listesi sunar.
VERBİS Kaydı Tek Başına Uyum Değildir
VERBİS kaydı, veri işleme faaliyetlerinin beyanıdır; ancak beyanın gerçek faaliyetle örtüşmemesi başlı başına bir risktir. Sicilde "özel nitelikli veri işlenmiyor" beyanı varken sağlık verisi tutulması, ya da beyan edilen saklama sürelerinin şirketin fiilî uygulamasıyla çelişmesi, denetimde en hızlı fark edilen tutarsızlıklardır. Bu nedenle kayıt, envanterden türetilmelidir; envanter kayıttan değil.
Denetim Öncesi Kontrol Listesi
- Kişisel veri işleme envanteri: Her veri kategorisi için işleme amacı, hukuki sebep, aktarılan taraflar ve saklama süresi.
- Hukuki sebep eşleştirmesi: Her faaliyet için açık rıza dışındaki işleme şartlarından hangisine dayanıldığı; açık rızanın son çare olarak kullanılması.
- Açık rıza metinleri: Hizmet şartına bağlanmış rıza geçerli sayılmayabilir; rızanın özgür iradeyle verildiğini gösteren tasarım gerekir.
- Aydınlatma yükümlülüğü: Verinin toplandığı her kanal için (web formu, çağrı merkezi, işe alım, kamera) ayrı ve zamanında yapılan aydınlatma.
- İlgili kişi başvuru süreci: Başvuruların kaydedildiği bir kanal ve kanunda öngörülen süre içinde cevap verilmesini sağlayan iç akış.
- Veri işleyen sözleşmeleri: Bulut sağlayıcı, muhasebe, çağrı merkezi ve İK yazılımı gibi hizmetlerde yazılı sözleşme ve güvenlik taahhütleri.
- İhlal bildirim planı: Bir sızıntı durumunda kimin, hangi sürede, hangi mercie bildirim yapacağının yazılı hâle getirilmesi.
- Saklama ve imha politikası: Süresi dolan verinin fiilen silindiğini gösteren log ve tutanaklar.
Uzlaşma ve Dava Kararı: Ceza Tebliğ Edildikten Sonra
İdari para cezası tebliğ edildiğinde iki seçenek vardır: peşin ödeme yoluyla indirimden yararlanmak ya da cezaya karşı kanun yoluna başvurmak. Buradaki risk, bu ikisinin aynı anda düşünülmemesidir. Peşin ödeme kimi durumlarda itiraz iradesiyle bağdaşmayan bir kabul olarak yorumlanabilirken, itiraz süresi bekletilirse indirim imkânı kaybolur. Kararın hangi mercie ve hangi süre içinde götürüleceği, cezanın dayanağına ve niteliğine göre değişebilir; bu nedenle tebliğ tarihinden itibaren ilk gün yapılacak iş, başvuru merciini ve süresini kesin olarak tespit etmektir. Ayrıca 5651 sayılı Kanun kapsamındaki yükümlülüklerden doğan yaptırımlar ayrı bir rejime tabidir; şirketin hem veri sorumlusu hem içerik/yer sağlayıcı sıfatı varsa iki hattın birbirine karıştırılmaması gerekir.
Cezanın Miktarını Etkileyen Unsurlar
- İhlalin haksızlık içeriği ve etkilenen ilgili kişi sayısı.
- Veri sorumlusunun ihlali kendiliğinden bildirip bildirmediği.
- Alınan teknik ve idari tedbirlerin belgelenebilir olup olmadığı.
- İhlalin tespit edilmesinden sonra gösterilen iyileştirme çabası.
Kapanış
KVKK uyumunda savunmayı güçlü kılan şey, denetim gününde yazılan belgeler değil, öncesinde tutulmuş kayıtlardır. Bu metin genel bilgilendirme amaçlıdır; kuruluşunuzun faaliyet alanı, işlediği veri türü ve organizasyon yapısı farklı yükümlülükler doğurabileceğinden, uyum çalışmasının hukuki ve teknik ekiple birlikte yürütülmesi önerilir.