Veri sorumluları için en sık karşılaşılan yanılgı, kişisel verilerin korunması alanındaki her uyuşmazlığın tek bir mercide çözüleceği düşüncesidir. Oysa 6698 sayılı KVKK uygulamasında ilgili kişinin şikâyeti, Kurul kararına karşı açılacak dava ve idari para cezasına itiraz üç farklı yolu işaret eder. 5651 sayılı Kanun kapsamındaki içerik talepleri ise bunlardan tamamen ayrıdır. Bu rehber, VERBİS kaydı ve saklama-imha yükümlülükleri ekseninde mercii hatasını önlemeye odaklanır.
Yükümlülük haritanızı çıkarın
Kayıt yükümlülüğü kapsamında olup olmadığınız, faaliyet alanı, çalışan sayısı ve işlenen verinin niteliğine göre değişir. Özel nitelikli kişisel veri işleyen kuruluşlar için eşikler farklıdır. Kayıt yükümlülüğü ile saklama ve imha politikası hazırlama yükümlülüğü birbirine bağlıdır: kayıt beyanındaki saklama süreleri ile fiilen uygulanan imha takvimi çelişiyorsa, denetimde ilk yakalanan nokta burasıdır.
Silme, yok etme ve anonim hale getirme ayrımı
- Silme, verinin ilgili kullanıcılar için hiçbir şekilde erişilemez hâle getirilmesidir.
- Yok etme, verinin hiç kimse tarafından geri getirilemeyecek biçimde ortadan kaldırılmasıdır.
- Anonim hale getirme, verinin kimliği belirli bir kişiyle ilişkilendirilemeyecek duruma dönüştürülmesidir.
- Yedekler, log kayıtları ve arşiv ortamları çoğu politikada unutulur; imha kararı yalnızca canlı sistemde uygulanırsa yükümlülük yerine getirilmiş sayılmaz.
Başvurular hangi sırayla ve nereye
- İlgili kişi önce veri sorumlusuna başvurur; veri sorumlusu kanunda öngörülen süre içinde cevap vermek zorundadır.
- Cevap verilmez veya yetersiz bulunursa, ilgili kişi Kişisel Verileri Koruma Kuruluna şikâyette bulunabilir.
- Kurulun verdiği karara karşı idari yargı yolu gündeme gelir.
- Buna karşılık Kurulun uyguladığı idari para cezasına itiraz, kabahatler rejimi uyarınca sulh ceza hâkimliğine yapılır. Bu ayrım kaçırıldığında itiraz süresi boşa harcanabilir.
Denetime hazırlık için kurumsal kontrol listesi
Envanterin güncelliği, aydınlatma metinlerinin fiilî işleme faaliyetiyle uyumu, açık rıza alınan hâllerin gerçekten rızaya dayanması gereken hâllerle sınırlı tutulması ve yurt dışına aktarım yapılan hizmet sağlayıcıların listelenmesi ilk bakılan başlıklardır. Veri ihlali yaşandığında bildirim yükümlülüğünün kısa süreli olduğu unutulmamalı; olay müdahale prosedürü önceden yazılı hâle getirilmelidir.
Bu içerik genel bilgilendirme amacı taşır ve her kuruluşun veri işleme yapısı farklı yükümlülükler doğurur. Kurul yazışması ya da denetim bildirimi ulaştığında, cevap süresi kısa işlediğinden hızlıca hukuki destek almanız yerinde olur.