Kişisel veri uyum dosyalarında iki başlık, denetim sırasında en çok soru üretenlerdir: sicile kayıt yükümlülüğünün gereği gibi yerine getirilip getirilmediği ve verinin yurt dışına hangi hukuki dayanakla aktarıldığı. 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili ikincil düzenlemeler çerçevesinde bu rehber, yaptırım kararına itiraz adımlarını ve tebligat zamanlamasının neden belirleyici olduğunu ele alır.
Sicil Kaydı Bir Form Doldurma İşi Değildir
Veri Sorumluları Sicili'ne yapılan bildirim, şirketin fiilî veri işleme faaliyetinin aynası olmalıdır. Denetimde sorun çıkaran tipik tablo şudur: bildirimde dar bir veri kategorisi ve kısa bir saklama süresi beyan edilmişken, envanterde ve gerçek uygulamada çok daha geniş bir işleme faaliyeti bulunmaktadır. Bu uyumsuzluk tek başına ayrı bir aykırılık olarak değerlendirilebilir. Bu nedenle kayıt güncellemesi, kişisel veri işleme envanteriyle birlikte yürütülmelidir.
Yurt Dışına Aktarımda Dayanağı Belgelemek
Yurt dışına aktarımda temel soru şudur: bu aktarım hangi hukuki zemine dayanıyor ve bu zemin belgeyle gösterilebiliyor mu? Uygulamada en sık karşılaşılan eksikler:
- Bulut hizmet sağlayıcısının sunucu konumunun bilinmemesi ya da sözleşmede yer almaması.
- Grup şirketleri arasındaki veri akışının, ayrı bir aktarım olarak değerlendirilmemesi.
- Açık rızaya dayandırılan aktarımlarda rızanın hizmet şartına bağlanmış olması, yani özgür iradeyle verilmemiş sayılabilecek bir metinle alınması.
- Aydınlatma metninde aktarımın alıcı grubu ve amacının belirtilmemesi.
Yaptırım Kararı Geldiğinde: İtiraz Yol Haritası
- Karar metnini, hangi aykırılığın hangi somut bulguya dayandırıldığını çıkararak maddeleyin; genel savunma yerine bulgu bazlı savunma kurun.
- İdari para cezasına karşı gidilecek merci ile Kurul kararının hukuka aykırılığı iddiasının götürüleceği yargı yolunu birbirinden ayırın; bu ayrım yanlış yapıldığında dosya esasa girmeden reddedilebilir.
- Tebliğ tarihini ve itiraz süresinin son gününü ilk günden takvime işleyin.
- Denetim sırasında sunulmamış ancak mevcut olan belgeleri (envanter, silme-yok etme politikası, sözleşme ekleri, log kayıtları) itiraz aşamasında düzenli biçimde sunun.
- İhlalin giderildiğini gösteren düzeltici adımları tarihli olarak belgeleyin.
Tebligat Gecikmesi: Kurumsal Yapının Zayıf Halkası
Şirketlerde bu risk kişisel dosyalardan farklı doğar. Karar, elektronik tebligat adresine ya da sicildeki merkez adresine ulaşır; ancak bu kutuyu takip eden kişi ayrılmışsa, yetki devri yapılmamışsa veya evrak muhasebe biriminde beklerse itiraz süresi sessizce tükenir. Karşı tedbir yönetsel bir düzenlemedir: elektronik tebligat kutusuna en az iki yetkili erişimi tanımlamak, gelen evrakı aynı gün hukuk birimine yönlendiren bir akış kurmak ve tebliğ tarihini kayıt altına almak.
Kapanış
Uyum tartışmaları büyük ölçüde şirketin veri akış haritasına bağlıdır; aynı bulgu iki farklı yapıda farklı sonuç verebilir. Bu metin genel bilgilendirme niteliğinde olup, karar metniniz ve envanteriniz incelenerek yapılacak bir değerlendirmenin yerini tutmaz.