Kişisel veri uyuşmazlıklarının bir kısmı ilgili kişiden değil, denetimden doğar: VERBİS yükümlülüğünün eksik yerine getirildiği ya da verilerin yurt dışındaki bir sisteme mevzuata uygun olmayan biçimde aktarıldığı iddiasıyla veri sorumlusu karşısında bir idari süreç başlar. Bu rehber, böyle bir tespit veya yaptırımla karşılaşan veri sorumlusunun izleyeceği itiraz hattını ve savunmayı çökerten belge eksiklerini konu alıyor.
Kayıt Yükümlülüğü ile Aktarım Yükümlülüğü Aynı Şey Değildir
Uygulamada iki başlık sıklıkla birbirine karıştırılır. VERBİS, işleme faaliyetinin beyan edilmesine ilişkindir; yurt dışına aktarım ise faaliyetin hukuka uygunluğuna. Sicile eksiksiz kayıt yapmış olmak, aktarımı tek başına meşru kılmaz; aynı şekilde aktarımın hukuki dayanağı bulunması sicil yükümlülüğünü ortadan kaldırmaz. Savunma metni bu iki başlığı ayrı bölümlerde ele almadığında, tek bir eksiklik tüm dosyaya yayılıyormuş gibi görünür.
Savunmanın Dayanacağı Kayıt Seti
KVKK kapsamındaki bir incelemede sözlü açıklamanın ağırlığı sınırlıdır; belirleyici olan, iddia edilen tarihte sistemin nasıl kurgulandığını gösteren kayıtlardır. Hazır bulundurulması gereken asgari set şudur:
- Kişisel veri envanteri ve işleme amaçlarıyla eşleştirilmiş saklama süreleri
- Aydınlatma metinlerinin sürüm geçmişi ve hangi tarihte hangi metnin yayında olduğu
- Açık rızaya dayanılıyorsa rızanın alındığı ekran ve zaman damgalı kayıt
- Yurt dışındaki alıcıyla imzalanan sözleşme, taahhüt veya grup içi düzenlemenin tam metni
- Sunucu ve hizmet sağlayıcı konumunu gösteren teknik kayıtlar, alt işleyici listesi
- Alınan teknik ve idari tedbirlere ilişkin politika, log ve erişim yetkisi matrisi
İtiraz Sırası: Önce Süreç, Sonra Esas
Kurul kararına karşı gidilecek yol idari yargıdır ve dilekçenin kurgusunda sıra önemlidir. Önce usule ilişkin itirazlar ileri sürülür: savunma isteme yazısının usulüne uygun tebliğ edilip edilmediği, verilen sürenin kullandırılıp kullandırılmadığı, kararın hangi belgeye dayandığının gerekçede gösterilip gösterilmediği. Ardından esasa geçilir: işleme faaliyetinin dayanağı, aktarımın hukuki temeli ve tedbirlerin yeterliliği. Yaptırımın ölçüsüne yönelik itirazlar ise en sonda, kusurun ağırlığı ve giderim çabaları anlatılarak kurulur.
En Sık Görülen Belge Zafiyeti
Dosyaların çoğunda eksik olan şey politika metni değil, o politikanın olay tarihinde yürürlükte olduğunu gösteren izdir. Sonradan üretildiği izlenimi veren belgeler savunmayı güçlendirmek yerine zayıflatır. Bu nedenle sürüm tarihleri, onay kayıtları ve çalışan bilgilendirmelerinin sistem üzerinde takip edilebilir olması, tek başına birçok başlığı kapatır. Web üzerinden yürütülen hizmetlerde 5651 sayılı Kanun kapsamındaki yükümlülüklerle kesişme olup olmadığı da ayrıca değerlendirilmelidir.
Değerlendirme
Veri sorumlusu tarafındaki dosyalarda kazanılan alan, çoğunlukla incelemeye verilen ilk yanıtın niteliğiyle belirlenir; sonraki aşamalar o metnin üzerine kurulur. Her kurumun veri mimarisi ve aktarım modeli farklı olduğu için burada anlatılanlar genel bir yol haritasıdır. Yanıt süresi işlerken kendi yapınıza özgü bir değerlendirme yaptırmanız yararınıza olacaktır.