Kişisel verilerin korunmasında idari para cezalarının önemli bir bölümü, veri işleme faaliyetinin kendisinden değil, kayıt ve belgelendirme yükümlülüklerinin eksik yerine getirilmesinden doğar. 6698 sayılı KVKK, veri sorumluları için sicil kaydı, aydınlatma, veri güvenliği ve envanter tutma yükümlülükleri öngörür. 5651 sayılı Kanun kapsamındaki trafik kaydı yükümlülükleri de aynı işletmede iç içe geçtiğinde tablo karmaşıklaşır.
VERBİS Kaydının Yalnızca Bir Form Olmadığı
Sicil kaydı, çoğu işletmede tek seferlik bir işlem gibi ele alınır. Oysa kayıttaki beyanlar, işletmenin fiilen yürüttüğü veri işleme faaliyetiyle uyumlu olmak zorundadır. Beyan edilen veri kategorileri, aktarım yapılan taraflar, saklama süreleri ve alınan güvenlik tedbirleri ile sahadaki uygulama arasındaki fark, bir denetimde doğrudan aykırılık olarak değerlendirilebilir. Bu nedenle kayıt, kişisel veri işleme envanteriyle birlikte güncellenmelidir.
Denetim Öncesi Hazırlanması Gereken Belgeler
- Güncel kişisel veri işleme envanteri ve saklama-imha politikası
- Aydınlatma metinleri ile açık rıza alınan hâllerdeki rıza kayıtları
- Veri işleyenlerle imzalanmış sözleşmeler ve gizlilik taahhütleri
- Yetki matrisi, erişim logları ve teknik tedbirlere ilişkin kayıtlar
- İlgili kişi başvurularının kaydı ve verilen cevapların tarihleri
Cezaya Yol Açan Tipik Eksikler
Uygulamada en sık karşılaşılan aykırılıklar; aydınlatma yükümlülüğünün açık rıza ile karıştırılması, tek bir metinde her ikisinin birleştirilmesi, rızanın hizmet şartına bağlanması, veri ihlali durumunda Kurul'a ve ilgili kişilere yapılması gereken bildirimin gecikmesi ve saklama süresi dolan verilerin imha edilmemesidir. Ayrıca yurt dışına aktarım yapılan hâllerde dayanağın belgelenmemesi ayrı bir risk başlığıdır.
İdari Para Cezasına İtiraz Yolu
- Karar tutanağının tebliğ tarihi ve tebliğ şekli belgelenir.
- Cezanın dayandığı aykırılık ile isnat edilen yükümlülük eşleştirilir.
- Aykırılığın giderildiğine ilişkin sonraki tarihli belgeler dosyaya eklenir.
- İşletmenin büyüklüğü, kusurun ağırlığı ve etkilenen kişi sayısı gibi ölçütler bakımından cezanın orantılılığı tartışılır.
- Kanunda öngörülen kısa süre içinde yetkili sulh ceza hakimliğine başvurulur.
İdari para cezalarına karşı başvuru süresi kısadır ve bu süre kaçırıldığında ceza kesinleşir. Ayrıca aynı olay, ilgili kişiler bakımından ayrıca tazminat talebi doğurabileceğinden, uyum çalışması yalnızca ceza riskiyle sınırlı düşünülmemelidir. İşletmenin faaliyet alanı ve işlediği veri türü değiştikçe yükümlülüklerin kapsamı da değişeceğinden, denetim öncesi bir hukuki gözden geçirme yapılması önerilir.