Kişisel veri işleyen kuruluşlar için idari yaptırım riski çoğu zaman ihlalin kendisinden değil, kayıt ve belgeleme yükümlülüklerinin ihmalinden doğar. VERBİS kaydı bu yükümlülükler zincirinin görünen halkasıdır; asıl belirleyici olan ise kaydın arkasındaki envanterin gerçeği yansıtıp yansıtmadığıdır. Bu rehber 6698 sayılı KVKK ve 5651 sayılı Kanun ile kesişen alanlarda idari para cezasına karşı savunmanın nasıl kurulacağını ele alır.
Kayıt ile Envanter Arasındaki Boşluk
VERBİS bildirimi, veri işleme envanterinin özetidir. Bildirimde yer alan işleme amaçları, saklama süreleri ve alıcı grupları ile şirketin fiilen yaptığı işleme faaliyeti örtüşmüyorsa, kaydın varlığı tek başına koruma sağlamaz. İnceleme sırasında ilk sorulan şey de genellikle budur: bildirilen ile uygulanan aynı mıdır?
Savunmayı Güçlendiren Belgeler
İdari süreçte belge sonradan üretilemez; tarihli olması ve iç tutarlılık taşıması beklenir. Hazır bulundurulması gereken temel dosyalar şunlardır:
- Güncel kişisel veri işleme envanteri ve saklama-imha politikası
- Aydınlatma metinleri ile açık rıza alınan hâllerde rıza kayıtları
- Veri işleyenlerle imzalanmış sözleşmeler ve yurt dışı aktarım belgeleri
- Teknik ve idari tedbirlere ilişkin log, yetki matrisi ve erişim kayıtları
- İhlal bildirimi yapıldıysa bildirim tarih ve içeriğini gösteren kayıt
Kuruma Cevap Verirken Takvim
Kurumdan gelen bilgi ve belge talebi yazılarında cevap için tanınan süre kısadır ve süresinde cevap vermemek başlı başına ayrı bir yaptırım sebebi olabilir. Yazının tebliğ tarihi, ek süre talebinin hangi gerekçeyle yapılacağı ve hangi belgelerin ilk cevapta sunulacağı en baştan planlanmalıdır. Eksik ya da çelişkili bir ilk cevap, sonraki savunmayı da bağlar.
Cezaya İtiraz: Merci Kontrolü Şart
İdari para cezasına karşı başvurulacak yargı yolu ve süre, mevzuatta yapılan değişikliklerle güncellenebilmektedir. Bu nedenle karar tebliğ edildiğinde, tebliğ evrakının ekinde yer alan kanun yolu bilgisi mutlaka okunmalı ve başvuru buna göre yapılmalıdır. Yanlış merciye yapılan başvuruda geçen süre, çoğu zaman telafi edilemez.
Yaptırım Öncesi Risk Azaltma
- Veri kategorileri departman bazında yeniden çıkarılır.
- Gereksiz veri toplayan formlar sadeleştirilir.
- Saklama süresi dolan kayıtlar için imha tutanağı düzenlenir.
- Erişim yetkileri görev tanımına göre daraltılır.
- VERBİS bildirimi bu çalışmanın sonucuna göre güncellenir.
Her kuruluşun veri akışı kendi iş süreçlerine göre şekillenir ve tek tip bir uyum şablonu doğru sonuç vermez. Buradaki çerçeve genel bilgilendirme niteliğindedir; yaptırım riski taşıyan bir yazı aldığınızda süreci hukuki destekle yürütmeniz uygun olur.