KVKK (6698 sayılı Kanun) uygulamasında idari para cezalarının önemli bölümü, veri güvenliğinin ihlalinden değil kayıt ve bildirim yükümlülüğünün yerine getirilmemesinden doğar. VERBİS kaydı bulunmayan ya da kaydı güncel olmayan veri sorumluları için süreç genellikle bir bildirim yazısıyla başlar; bu yazının tarihi, sonraki tüm adımların takvimini belirler.
Kayıt yükümlülüğü kimin için doğar
Yükümlülüğün kapsamı, veri sorumlusunun çalışan sayısı, yıllık mali bilanço büyüklüğü ve işlediği verinin niteliğine göre belirlenir. Özel nitelikli kişisel veri işleyen kuruluşlar bakımından eşikler farklı değerlendirilir. Kuruluşun kendisini kapsam dışında görmesi tek başına koruma sağlamaz; bu değerlendirmenin gerekçesi yazılı hâle getirilip dosyalanmalıdır. Denetim sırasında sorulan ilk soru genellikle budur.
Yazı tebliğ edildiğinde saat çalışmaya başlar
Kurum tarafından gönderilen bilgi ve belge talebi ile savunma istem yazısı farklı sonuçlar doğurur; ikisi de süreye bağlıdır. Elektronik tebligat kullanılan kuruluşlarda süre, yazının okunmasına değil erişime açılmasına bağlı olarak işler. Bu nedenle:
- Elektronik tebligat kutusu düzenli aralıklarla kontrol edilmelidir.
- Yazının ulaştığı tarih, ayrı bir takvim kaydına işlenmelidir.
- Ek süre talebi gerekiyorsa, sürenin son gününden önce ve gerekçeli olarak yapılmalıdır.
- Yanıtsız bırakılan yazı, savunma hakkının kullanılmaması sonucunu doğurur.
Savunma yazısını hazırlarken
- İddia edilen eksiklik tek tek ele alınmalı, genel açıklamalarla yetinilmemelidir.
- Kayıt yapılmışsa kayıt tarihini gösteren sistem çıktısı eklenmelidir.
- Kapsam dışı olunduğu ileri sürülüyorsa, bunu destekleyen bordro, bilanço ve faaliyet belgeleri sunulmalıdır.
- Eksiklik giderilmişse, giderim tarihi ve alınan tedbirler belgeyle gösterilmelidir.
- Kuruluşun büyüklüğü, kusurun ağırlığı ve ihlalin etkisi gibi hafifletici unsurlar ayrı başlıkta değerlendirilmelidir.
Ceza kararı geldiğinde izlenecek yol
İdari para cezası kararı tebliğ edildiğinde, başvurulacak mercii ve süre kararın kendisinde gösterilir. Bu bilgi mutlaka karar metninden okunmalı, varsayıma dayanılmamalıdır; yanlış mercie yapılan başvuru süresinde yapılmış sayılmaz ve bu arada asıl süre tükenir. Başvuru dilekçesinde hem usule ilişkin itirazlar hem de esasa ilişkin savunma birlikte ileri sürülmelidir. Ödeme yapılması hâlinde indirim imkânı gündeme gelebileceğinden, itiraz kararı ile ödeme takvimi birlikte değerlendirilmelidir.
Uyum dosyasını kalıcı hâle getirmek
Tek seferlik bir kayıt işlemi, sonraki denetimlerde yeterli görülmez. Aydınlatma metinleri, açık rıza kayıtları, saklama ve imha politikası, veri işleme envanteri ve varsa 5651 sayılı Kanun kapsamındaki trafik kayıtlarına ilişkin uygulamalar aynı dosyada güncel tutulmalıdır. Envanterdeki her değişikliğin VERBİS kaydına yansıtılması, tekrar eden yaptırım riskini azaltır.
Bu metin genel bilgilendirme amaçlıdır; kuruluşun büyüklüğü, işlenen verinin türü ve kararın gerekçesi izlenecek yolu değiştirir. Tebligat aldığınızda süre kısa olduğundan, savunmayı hazırlamadan önce bu alanda çalışan bir hukukçuya danışmanız yerinde olur.