Kişisel veri mevzuatında yaptırım çoğu zaman bir denetimle değil, bir başvuru ya da ihbarla başlar. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki idari para cezaları ile 5651 sayılı Kanundan doğan yükümlülükler işletmeler için ayrı ayrı risk doğurur. Ceza tebliğ edildiğinde ise elde kalan zaman, savunma hazırlamaya değil yalnızca doğru mercie başvurmaya yeter.
Kayıt Yükümlülüğünü Doğru Konumlandırmak
Veri Sorumluları Sicili'ne kayıt yükümlülüğü her işletme için aynı biçimde doğmaz; istisna kapsamına girip girmediği, işlenen verinin niteliği ve faaliyetin yapısı üzerinden değerlendirilir. Yükümlülük varsa kayıt tek başına yeterli olmaz: bildirilen envanter ile fiilen yürütülen veri işleme faaliyetinin örtüşmesi gerekir. Denetimde en sık karşılaşılan tablo, sicile bildirilen envanterin şirketin gerçek uygulamasıyla uyuşmamasıdır.
Ceza Yazısı Elinize Ulaştığında
- Tebliğ tarihi, tebliğ şekli ve tebellüğ eden kişi kayda geçirilir.
- Yaptırımın hangi yükümlülüğe dayandığı, karar metninden madde madde çıkarılır.
- Aynı kararda birden fazla ihlal varsa her biri ayrı başlık altında değerlendirilir.
- İtiraz için görevli merci, cezanın türüne göre belirlenir; yanlış mercie başvuru süreyi tüketir.
Tebligat Gecikmesinin Şirket İçindeki Kaynağı
Bu dosyalarda gecikme genellikle idareden değil, şirketin kendi içinden kaynaklanır. Kayıtlı elektronik posta adresinin düzenli kontrol edilmemesi, tebligatın muhasebe biriminde bekletilmesi ya da adres değişikliğinin ticaret siciline yansıtılmaması, itiraz süresinin farkına varılmadan geçmesine yol açar. Tebligat trafiğini tek bir sorumluya bağlayan basit bir iç prosedür, bu riskin büyük kısmını ortadan kaldırır.
Savunmayı Belgeye Dayandırmak
- Aydınlatma metinleri ve açık rıza kayıtlarının tarihli örnekleri
- Veri işleme envanteri ile saklama ve imha politikası
- Erişim yetkilerini gösteren matris ve log kayıtları
- Çalışan farkındalık eğitimlerine ilişkin katılım belgeleri
- Veri işleyenlerle imzalanan sözleşmelerdeki gizlilik hükümleri
İhlal Bildirimi ile İtirazın Birlikte Yönetimi
Bir veri ihlali yaşandıysa, bildirim yükümlülüğünün yerine getirilmesi ile ceza kararına itiraz süreci birbirini etkiler. Bildirimde kullanılan ifadeler, sonradan yapılacak savunmayla çelişmemelidir. Bu nedenle teknik ekibin hazırladığı olay raporu ile hukuki savunma metni aynı kronolojiye dayandırılmalı, farklı tarih ve kapsam beyanlarından kaçınılmalıdır.
Yukarıdaki açıklamalar genel bilgilendirme niteliğindedir. Yaptırım kararlarında süre tebliğ tarihinden itibaren işlediğinden, yazıyı aldığınız gün hukuki değerlendirme başlatmanız önerilir.