Kişisel verilerin işlenmesine ilişkin denetimlerde en sık gündeme gelen başlıklardan biri VERBİS kaydıdır. 6698 sayılı KVKK, veri sorumluları için sicile kayıt yükümlülüğünü ve bu yükümlülüğe aykırılık hâlinde idari yaptırım uygulanmasını düzenler; internet üzerinden yürütülen faaliyetlerde 5651 sayılı Kanun'dan doğan ayrı yükümlülükler de aynı dosyada karşımıza çıkabilir. Ceza tebliğ edildiğinde asıl risk, itirazın hangi mercie ve hangi süre içinde yapılacağının yanlış belirlenmesidir.
Ceza Tebliğ Edildiğinde İlk Kontrol
Yaptırım kararı elde edildiğinde önce hangi yükümlülüğün ihlal edildiği tespit edilmelidir: kayıt yükümlülüğünün hiç yerine getirilmemesi, kaydın eksik ya da gerçeğe aykırı bildirilmesi veya aydınlatma ve veri güvenliği yükümlülüklerinin ihlali farklı savunmalar gerektirir. Kararda dayanılan tespitlerin hangi tarihe ait olduğu ve şirketin o tarihteki durumu da ayrıca incelenmelidir; kayıt sonradan tamamlanmışsa bu husus dosyaya belgeleriyle yansıtılmalıdır.
İtiraz Merciini ve Süreyi Belirlemek
İdari para cezalarına karşı başvuru yolu, cezanın dayandığı düzenlemeye ve kararın niteliğine göre değişebilir. Bu nedenle karar metninde yer alan başvuru yolu bilgisi dikkatle okunmalı, tereddüt hâlinde süre kaybı doğurmayacak bir plan kurulmalıdır. Yanlış mercie yapılan başvuru çoğu zaman süreyi korumaz ve ceza kesinleşerek takip aşamasına geçer. Tebliğ tarihinin tebligat evrakından doğrulanması, itiraz takviminin tek dayanağıdır.
Savunmayı Güçlendiren Kurumsal Belgeler
- Kişisel veri işleme envanteri ve saklama ile imha politikası
- Aydınlatma metinleri ile açık rıza kayıtlarının versiyon tarihleri
- Veri işleyenlerle imzalanmış sözleşmelerdeki gizlilik ve güvenlik hükümleri
- Erişim yetkilendirme matrisi ve log kayıtlarına ilişkin teknik raporlar
- Çalışanlara verilen farkındalık eğitimlerinin kayıtları
Uzlaşma Beklentisi Yerine Uyum Planı
Kabahat niteliğindeki bu yaptırımlarda taraflar arasında bir pazarlık süreci öngörülmediğinden, uzlaşma beklentisiyle zaman geçirmek yerine iki yönlü hareket etmek gerekir: bir yandan itiraz süresine uygun başvuru hazırlanmalı, diğer yandan tespit edilen eksiklikler fiilen giderilmelidir. Uyum çalışmasının belgelenmesi, hem devam eden dosyada hem sonraki denetimlerde şirketin konumunu güçlendirir.
Aktarılan bilgiler genel çerçeve niteliğindedir. Veri sorumlusunun faaliyet alanı, işlenen verinin türü ve karar metninin içeriği izlenecek yolu değiştirebileceğinden, ceza tebliğ edilir edilmez konuya hâkim bir hukukçuyla çalışılması gerekir.