Kişisel verilerin korunması alanındaki uyuşmazlıklarda tartışma çoğu zaman ihlalin varlığından değil, veri sorumlusunun kayıt ve belgelendirme düzeninden çıkar. VERBİS bildirimi ile fiili işleme faaliyeti örtüşmüyorsa, tek bir başvuru bile kurum genelinde bir incelemeye dönüşebilir. Bu nedenle şikâyet dosyalarında ispat çalışması, itiraz metninden önce iç belgelerin tutarlılığının denetlenmesiyle başlar.
Kayıt ile Fiili Durum Arasındaki Uyum Denetimi
6698 sayılı Kanun kapsamında veri sorumlusu, işleme faaliyetini kayıt sistemine doğru biçimde yansıtmakla yükümlüdür. Uygulamada en sık rastlanan tutarsızlıklar şunlardır:
- VERBİS bildiriminde yer almayan bir veri kategorisinin fiilen işlenmesi
- Bildirilen saklama süresi ile fiili imha uygulamasının farklı olması
- Yurt dışına aktarım yapıldığı halde bunun kayıtta görünmemesi
- Aydınlatma metninde sayılan amaçların envanterle eşleşmemesi
- Açık rızaya dayandırılan işlemenin aslında başka bir hukuki sebebe dayanması
İlgili Kişi Başvurusunun Dosyadaki Ağırlığı
Kurula şikâyetten önce veri sorumlusuna yapılan başvuru, sonraki aşamanın çerçevesini belirler. Başvurunun hangi tarihte ulaştığı, hangi kanaldan yapıldığı ve verilen cevabın içeriği; hem süre hesabı hem de esas tartışma bakımından belirleyicidir. Cevap verilmemiş olması ile eksik cevap verilmiş olması farklı sonuçlar doğurur; bu ayrımı gösterebilmek için başvuru ve cevap yazışmalarının tebliğ kanıtlarıyla birlikte saklanması gerekir.
Teknik ve İdari Tedbirlerin İspatı
Veri güvenliğine ilişkin savunmanın gücü, alınan tedbirlerin ihlal tarihinden önce alındığının gösterilebilmesine bağlıdır. Sonradan üretilen politika metinleri, tarih bakımından tartışmaya açıktır. Yetki matrisi, erişim logları, personel eğitim kayıtları, gizlilik taahhütnameleri ve sızma testi raporları; tarihli ve izlenebilir biçimde tutulduğunda savunmanın taşıyıcı unsuru haline gelir. İnternet ortamındaki yayınlar söz konusu olduğunda 5651 sayılı Kanun kapsamındaki yükümlülüklerle kesişme noktaları da ayrıca not edilmelidir.
Kurul Süreci ile Yargı Yolu Arasındaki Tercih
İdari süreç ile tazminat talebi birbirinin alternatifi değildir; ancak birinde verilen beyan diğerinde kullanılabilir. Bu nedenle karar şu ölçütlerle verilmelidir:
- Kurul incelemesinde sunulacak beyanın, olası tazminat davasındaki savunmayla çelişip çelişmediği
- İhlalin devam edip etmediği ve durdurmanın aciliyeti
- Etkilenen kişi sayısı ile toplu başvuru ihtimali
- İlgili kişiyle yapılacak uzlaşmanın, idari sürecin sonucunu değiştirmeyeceği gerçeği
Son madde özellikle gözden kaçmaktadır: ilgili kişiyle anlaşmak, idari denetimin kendiliğinden sona ermesi anlamına gelmez.
Buradaki değerlendirmeler genel niteliktedir. Her kurumun veri işleme yapısı farklı olduğundan, başvuruya cevap verilmeden önce envanterin ve yazışma geçmişinin bütün olarak incelenmesi önerilir.