Kişisel veri denetimlerinde VERBİS kaydına ilişkin eksiklikler, çoğu zaman tek başına değil; envanter, aydınlatma ve güvenlik tedbirleriyle birlikte değerlendirilir. Bu nedenle bir idari para cezası gündeme geldiğinde savunma, yalnızca kayıt yapıldı veya yapılmadı tartışmasına sıkışmamalıdır. Aşağıdaki rehber, KVKK ve 6698 ekseninde savunma dosyasının nasıl kurulacağını ele alır.
Yükümlülüğün Kapsamını Önce Kendiniz Belirleyin
Kayıt yükümlülüğü her veri sorumlusu için aynı biçimde doğmaz; çalışan sayısı, faaliyet konusu ve işlenen verinin niteliği belirleyici olur. Muafiyet iddiasında bulunacaksanız, bunu dayandıracağınız kayıtların denetim anında hazır olması gerekir. Sonradan üretilmiş görünen belgeler savunmanın inandırıcılığını zayıflatır.
Savunma İstem Yazısına Verilecek Cevap
Kurumdan gelen bilgi ve belge talebi ile savunma istem yazısı farklı işlevlere sahiptir. İkisine de verilecek cevaplar belirli süreye bağlıdır ve cevapsız bırakılan yazı, sonraki aşamada aleyhe değerlendirilebilir. Cevap metni, sorulan her soruya ayrı başlık altında ve ek numarası vererek yanıt verecek şekilde kurulmalıdır.
Dosyaya Eklenmesi Gereken Kayıtlar
- Kişisel veri işleme envanteri ve VERBİS bildiriminin çıktısı
- Aydınlatma metinleri ile açık rıza alınan hâllerde rıza kayıtları
- Saklama ve imha politikası ile periyodik imha kayıtları
- Veri işleyenlerle imzalanmış sözleşmeler ve yurt dışı aktarım belgeleri
- Teknik ve idari tedbirlere ilişkin kayıtlar, erişim yetkilendirme matrisi, personel eğitim tutanakları
Yaptırıma İtirazda Merci Hatası
İdari yaptırım kararlarına karşı başvurulacak merci ve süre, kararın dayanağına göre değişebilir. Yanlış mercie yapılan başvuru süreyi korumadığından, itiraz dilekçesi hazırlanmadan önce tebliğ edilen kararın altındaki başvuru yolu bilgisi dikkatle okunmalı ve yürürlükteki düzenlemeyle karşılaştırılmalıdır. Bu kontrol, dosyanın esasına hiç girilmeden kaybedilmesini önler.
Ceza Sonrası Değil, Öncesinde Kapatılacak Açıklar
- Envanter ile fiilî veri akışının örtüşmediği noktaları tespit edin.
- Bildirimde yer alan saklama sürelerini gerçek uygulamayla eşitleyin.
- İhlal müdahale planını yazılı hâle getirin ve sorumluları belirleyin.
- Yapılan iyileştirmeleri tarihli kayıtlarla belgeleyin; bu kayıtlar savunmada da işe yarar.
Buradaki değerlendirmeler genel niteliktedir ve her denetim kendi koşulları içinde ele alınır. Kurum yazışması başladıktan sonra atılacak her adım dosyaya girdiğinden, cevap vermeden önce hukuki görüş almanız isabetli olacaktır.