Kişisel verilerin korunması alanında denetim gündeme geldiğinde, tartışma çoğu zaman iyi niyetin değil belgelenebilirliğin üzerinde yoğunlaşır. VERBİS kaydı, kağıt üzerinde bir formalite gibi görünse de, veri sorumlusunun işleme faaliyetini nasıl tanımladığını gösteren ve sonradan aleyhe de yorumlanabilen bir beyandır. Aşağıda KVKK ve 6698 sayılı Kanun çerçevesinde, 5651 sayılı Kanunun kesişen alanları da gözetilerek uyum belgelerinin ispat değeri ele alınıyor.
Kayıt Beyanı ile Fiili Durum Arasındaki Fark
Kurula yapılan bir şikayette ilk karşılaştırma genellikle şudur: sicile bildirilen veri kategorileri, saklama süreleri ve aktarım bilgileri ile şirketin fiilen yaptığı işleme aynı mı? Beyanda yer almayan bir aktarımın uygulamada yapıldığının anlaşılması, tek bir eksiklik değil, uyum sisteminin işlemediğine dair genel bir gösterge olarak değerlendirilebilir. Bu nedenle kayıt, bir kez doldurulup unutulan değil, süreç değiştikçe güncellenen bir belge olarak ele alınmalıdır.
Şikayet Dosyasında Aranan Belgeler
- İşleme envanteri ve bunun kayıt beyanıyla uyumunu gösteren karşılaştırma
- Aydınlatma metinlerinin hangi kanalda, hangi tarihten itibaren gösterildiğine dair kayıtlar
- Açık rıza alınan hallerde rızanın özgür iradeyle ve ayrı biçimde alındığını gösteren kayıt
- Yurt dışına aktarım varsa buna ilişkin hukuki dayanağın belgelenmesi
- Teknik ve idari tedbirlere ilişkin politika metinleri ile bunların uygulandığını gösteren kayıtlar
Şikayet Yolunda Atlanan Ön Adım
6698 sayılı Kanun, Kurula şikayetten önce veri sorumlusuna başvurulmasını öngörür. Bu ön başvuru yapılmadan veya cevap süresi beklenmeden Kurula gidilmesi, şikayetin esasa girilmeden işlemden kaldırılmasına yol açabilir. Uygulamadaki ikinci hata, başvurunun ispat edilebilir bir kanaldan yapılmamasıdır; talebin iletildiği tarih gösterilemediğinde, cevap süresinin ne zaman başladığı da tartışmalı hale gelir. Başvuru metninde talebin hangi haktan kaynaklandığının açıkça yazılması, cevabın kapsamını da belirler.
Veri Sorumlusu Tarafında Savunma Kurgusu
Savunmanın gücü, ihlalin yaşanmadığını söylemekten çok, öngörülen tedbirlerin olaydan önce alınmış olduğunu gösterebilmekten gelir. Politikaların tarihli olması, erişim yetkilerinin sınırlandırıldığını gösteren kayıtların bulunması ve farkındalık çalışmalarının belgelenmesi bu nedenle önemlidir. Sonradan üretilen belgeler, tarih tutarsızlığı nedeniyle savunmayı güçlendirmek yerine zayıflatabilir.
Kurul Kararı Sonrası Aşama
Kurul kararlarına karşı idari yargı yolu açıktır ve bu aşamada dosya artık teknik uyum tartışmasından idari işlemin hukuka uygunluğu tartışmasına döner. Bu nedenle Kurul aşamasında sunulan belgeler, sonraki dava için de temel oluşturur; eksik sunulan bir belgenin sonradan eklenmesi her zaman mümkün olmayabilir.
Bilgilendirme
Buradaki anlatım genel niteliktedir. Veri işleme faaliyetinin ölçeği ve sektörel düzenlemeler farklı yükümlülükler doğurabileceğinden, uyum çalışmasının hukuki ve teknik ekiple birlikte yürütülmesi önerilir.