Kişisel verilerin korunması alanında yükümlülükler yalnızca veri güvenliğiyle sınırlı değildir; kayıt sistemine bildirim ve verilerin saklama süresi dolduğunda silinmesi de bağımsız yükümlülüklerdir. 6698 sayılı KVKK çerçevesinde yürüyen bu süreçlerde, veri sorumlularının en çok zorlandığı nokta idari yaptırım kararı geldiğinde hangi mercie başvurulacağıdır. Bu yazı, VERBİS ve imha yükümlülüğünü itiraz mercii ekseninde ele alır.
Kayıt Yükümlülüğü ile İmha Yükümlülüğü Ayrı Ayrı Denetlenir
Veri sorumluları siciline kayıt yükümlülüğü, işlenen verinin niteliği ve kuruluşun ölçeğine göre belirlenen kriterlere bağlıdır. Kayıt yapılmış olması, saklama ve imha politikasının uygulandığı anlamına gelmez. Denetimde çoğu zaman kayıt beyanı ile fiilî veri envanterinin örtüşmediği tespit edilir. Bu nedenle envanter, politika metni ve fiilî uygulama arasındaki tutarlılık düzenli olarak kontrol edilmelidir.
Silme, Yok Etme ve Anonim Hâle Getirme Aynı Şey Değildir
- Silme, verinin ilgili kullanıcılar için hiçbir şekilde erişilemez hâle getirilmesini ifade eder.
- Yok etme, verinin hiç kimse tarafından geri getirilemeyecek biçimde ortadan kaldırılmasıdır.
- Anonim hâle getirme, verinin kimliği belirli bir kişiyle ilişkilendirilemez duruma getirilmesidir.
- Yedekler ve arşiv ortamları çoğu zaman gözden kaçar; imha kayıtları bu ortamları da kapsamalıdır.
- İmha işlemine ilişkin kayıtların belirli bir süre saklanması ayrı bir yükümlülüktür.
İdari Para Cezasına İtiraz: Merci Değişti
Uygulamada uzun süre Kurul tarafından verilen idari para cezalarına karşı sulh ceza hâkimliğine başvurulmuştur. Ancak KVKK'da 2024 yılında yapılan değişiklikle bu kararlara karşı idari yargıda dava açılması öngörülmüştür. Merci değişikliğini bilmeden yapılan başvurular, süre içinde yapılmış olsa dahi görev yönünden reddedilir ve dava süresi bu arada işlemeye devam eder. Kararın metnindeki başvuru yolu bilgisi ile güncel düzenleme birlikte kontrol edilmelidir.
İtiraz Dilekçesinde Kurulacak Savunma Ekseni
- İhlalin varlığı kadar, tespit sürecinin usulüne uygunluğu tartışılır.
- Alınan teknik ve idari tedbirler tarihli belgelerle gösterilir.
- Cezanın miktarı bakımından ölçülülük ve kusurun ağırlığı ayrıca ele alınır.
- İlgili kişiye verilen cevapların süresi ve içeriği belgeyle ortaya konur.
- Aynı olaydan doğan tazminat talepleri bakımından ayrı bir risk analizi yapılır.
Veri koruma mevzuatı sık güncellenen bir alandır ve başvuru yolları da bu güncellemelerden etkilenir. Buradaki bilgiler genel çerçeve sunar; kurumun veri işleme yapısı ve denetim tutanağının içeriği incelenmeden savunma kurulamayacağından, yaptırım kararının tebliğinden sonra vakit kaybetmeden hukuki destek alınması önerilir.