VERBİS yükümlülüğüne ilişkin eksiklikler, çoğu zaman veri güvenliği tartışmasından bağımsız biçimde idari para cezasıyla sonuçlanır. Ceza kararı tebliğ edildiğinde tartışılacak asıl konu iki başlıkta toplanır: itirazın hangi merciye yapılacağı ve sürenin ne zaman başladığı. Bu rehber 6698 sayılı Kanun uygulamasında bu iki sorunu ele alır.
Yükümlülüğün Kaynağını Doğru Tespit Etmek
VERBİS kaydı, sicile kayıt yükümlülüğüdür ve aydınlatma, açık rıza, veri güvenliği gibi diğer yükümlülüklerin yerine geçmez. Ceza kararında hangi yükümlülüğün ihlal edildiği açıkça yazılır; savunma da tam olarak o yükümlülüğe göre kurulmalıdır. Kayıt yükümlülüğünden istisna tutulan veri sorumlusu kategorileri Kurul kararlarıyla belirlendiğinden, istisna iddiası kararın gerekçesiyle karşılaştırılarak ileri sürülmelidir.
Süre Ne Zaman Başlar?
İtiraz süresi kararın tebliğinden itibaren işler. Bu nedenle tebligatın türü belgelenmelidir: KEP üzerinden yapılan tebligatta tebliğ tarihi ile okuma tarihi farklı olabilir. Şirket adresindeki değişikliğin sicile işlenmemiş olması, usulsüz tebligat iddiasını zayıflatır. Süre kısa olduğundan, cezanın esasına ilişkin teknik değerlendirme beklenirken sürenin tüketilmesi sık rastlanan bir kayıp biçimidir.
Kanun Yolunda Mercii Tartışması
Bu alanda en riskli adım, itiraz dilekçesinin yanlış mercie verilmesidir. Kişisel veri mevzuatı kapsamında verilen idari yaptırım kararlarına karşı izlenecek kanun yolu, mevzuatta yapılan değişikliklerin ardından farklı biçimde uygulanabilmektedir. Bu nedenle şu iki kaynak birlikte kontrol edilmelidir:
- Kararın kendisinde yer alan kanun yolu bildirimi (başvurulacak merci ve süre),
- Başvuru tarihinde yürürlükte olan kanun metninin ilgili hükmü.
Kanun yolu bildirimi eksik veya hatalıysa bu durum ayrıca dilekçede belirtilmelidir. Tereddüt halinde süre içinde hareket etmek, doğru merciye ulaşmaktan bile önceliklidir; zira süresinde yapılmış başvuru gönderildiği yerden aktarılabilirken, süresi geçmiş başvuru için yapılabilecek bir şey kalmaz.
İtiraz Dilekçesinin Omurgası
- Tebliğ tarihi ve kanun yolu bildirimi aynen aktarılır.
- Cezaya konu yükümlülük, kararda yazıldığı biçimiyle alıntılanır.
- Veri sorumlusu sıfatının ve varsa istisna halinin bulunup bulunmadığı tartışılır.
- Kayıt, envanter, politika ve teknik tedbir belgeleri tarihleriyle sunulur.
- Ceza miktarının belirlenmesinde gözetilen ölçütlere yönelik itirazlar ayrı başlıkta toplanır.
Ceza Sonrası Uyum Refleksi
İtiraz süreci ile uyum çalışması birbirini dışlamaz. Eksikliğin sonradan giderilmiş olması, ihlalin varlığını ortadan kaldırmasa da sürecin bütününü etkileyebilir. Envanter güncellemesi, saklama ve imha politikası, veri işleyen sözleşmeleri ve 5651 kapsamındaki log yükümlülükleriyle uyum aynı takvimde yürütülmelidir; aksi halde benzer bir denetimde aynı tablo tekrar eder.
Yukarıdaki bilgiler genel çerçeve sunar; kararın gerekçesi, veri sorumlusunun büyüklüğü ve işlenen verinin niteliği sonucu etkiler. Ceza kararı elinize ulaştıysa, süre kısa olduğundan gecikmeden hukuki değerlendirme almanız uygun olur.