6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlularının Veri Sorumluları Sicili'ne kayıt yükümlülüğü, uygulamada en çok yaptırımla karşılaşılan başlıklardan biridir. Ceza çoğu zaman bir veri ihlali sonrası değil, rutin denetim veya üçüncü kişi şikâyeti üzerine gündeme gelir. Bu rehber, yazının tebliğinden itibaren izlenecek adımları ele alır.
Kayıt Yükümlüsü müsünüz?
Her veri sorumlusu sicile kayıtla yükümlü değildir; Kurul tarafından belirlenen istisna ölçütleri bulunur. Bu nedenle savunmanın ilk halkası, işletmenin ölçütler karşısındaki durumunu belgelemektir. Çalışan sayısı, yıllık mali bilanço büyüklüğü, ana faaliyet konusu ve özel nitelikli veri işleyip işlemediği gibi unsurlar birlikte değerlendirilir. Yükümlülük yoksa ceza esastan tartışılır; varsa savunma gecikmenin sebebine ve giderilme durumuna yönelir.
Yazı Geldiğinde: Savunma Dosyası
- Tebliğ tarihi ve savunma için tanınan süre ilk sayfaya yazılır.
- Kişisel veri işleme envanteri güncel hâliyle hazırlanır.
- Aydınlatma metinleri, açık rıza kayıtları ve saklama-imha politikası derlenir.
- Teknik ve idari tedbirlerin ne zaman alındığı belgelenir.
- Kayıt yapılmışsa yapıldığı tarih ve ekran çıktısı dosyaya eklenir.
Savunmada eksikliğin kabulü tek başına aleyhe bir sonuç doğurmaz; asıl belirleyici olan ihlalin niteliği, süresi ve giderilip giderilmediğidir. Yükümlülük denetim yazısından sonra yerine getirilmişse bunun ayrıca vurgulanması gerekir.
İtirazda Süre Riski
İdari para cezasına karşı başvuru yolu ve süresi, cezayı bildiren yazının üzerinde gösterilir. Bu süre kesin niteliktedir; geçirildiğinde ceza kesinleşir ve tahsil aşamasına geçilir. Uygulamada en yaygın kayıp, şirket içinde yazının muhasebe ile hukuk birimi arasında dolaşırken sürenin dolmasıdır. Tebligatın kayıtlı elektronik posta adresine yapılmış olması hâlinde sürenin, kutunun okunmasından bağımsız olarak işlemeye başlayabileceği unutulmamalıdır. Bu nedenle tebligat adreslerinin düzenli izlenmesi, teknik bir tedbirden çok hukuki bir zorunluluktur.
Ceza Sonrası Uyum
- Sicil kaydının kapsamı ile fiilî veri işleme faaliyetinin eşleştirilmesi
- Yeni veri kategorileri eklendiğinde bildirimin güncellenmesi
- İrtibat kişisinin görev ve iletişim bilgilerinin güncel tutulması
- Yurt dışına aktarım varsa dayanağın ayrıca kayıt altına alınması
Buradaki değerlendirmeler genel bilgilendirme amacı taşır. Ceza tutarı, ihlalin türü ve işletmenin ölçeği savunmanın kurgusunu değiştirdiğinden, tebliğ tarihinden hemen sonra hukuki görüş alınması sürenin korunması bakımından önem taşır.