Veri sorumluları bakımından iki başlık düzenli olarak yaptırım riski doğurur: sicil yükümlülüğüne ilişkin eksiklikler ve kişisel verilerin yurt dışına aktarımının hukuki dayanağa oturtulmaması. Bu iki başlıkta yapılan idari başvurular ve verilen kararlara karşı izlenecek yol, çoğu kurumsal yapıda son ana bırakılır. Oysa itiraz süresi kısadır ve başvurunun yöneltileceği merci konusunda yapılan hata telafi edilemez. Aşağıda 6698 sayılı KVKK ekseninde bu süreç ele alınmaktadır.
Sicil Yükümlülüğünde Kontrol Edilecekler
Sicile kayıt yükümlülüğü herkes için aynı kapsamda değildir; muafiyet kriterleri Kurul kararlarıyla belirlenir. Yükümlü olan veri sorumlusu bakımından ise asıl risk, kaydın hiç yapılmamış olması kadar, yapılan bildirimin fiilî durumla uyuşmamasıdır. Şu noktalar dönemsel olarak denetlenmelidir:
- Bildirilen veri kategorileri ile fiilen işlenen veriler arasındaki fark
- Aktarım yapılan alıcı grupları listesinin güncelliği
- Saklama sürelerinin envanterle uyumu
- İrtibat kişisi bilgilerinin geçerliliği
- Yeni başlayan bir hizmet veya yazılım sonrası bildirimin güncellenip güncellenmediği
Yurt Dışı Aktarımda Dayanağın Belgelenmesi
Yurt dışına aktarım, çoğu şirkette bilinçli bir karar olmaksızın gerçekleşir: sunucusu yurt dışında bulunan bir e-posta, muhasebe ya da müşteri yönetimi yazılımının kullanılması bu sonucu doğurur. Bu nedenle önce bir aktarım envanteri çıkarılmalı; her aktarım için hangi hukuki mekanizmaya dayanıldığı yazılı olarak gösterilmelidir. Mevzuatta aktarım rejimi değişikliğe uğradığından, yıllar önce hazırlanmış bir taahhütname veya sözleşme metninin bugün hâlâ yeterli olup olmadığı ayrıca kontrol edilmelidir.
İlgili kişi başvurusu ile Kurul şikâyeti arasındaki sıra
İlgili kişinin doğrudan Kurul'a yaptığı şikâyet, öncesinde veri sorumlusuna başvuru yapılmamışsa usul yönünden değerlendirilmeye alınmayabilir. Veri sorumlusu açısından bunun anlamı şudur: kendisine ulaşan başvurulara süresinde ve yazılı olarak yanıt vermek, sonraki aşamada en güçlü savunma belgesidir.
İdari Yaptırım Kararına Karşı Ne Yapılır?
Kurul tarafından verilen idari para cezasına karşı başvurulacak kanun yolu, mevzuatta yapılan değişikliklerle güncellenmiştir. Bu nedenle karar elinize ulaştığında, kararın altındaki kanun yolu bildirimiyle yetinilmemeli; başvuru tarihinde yürürlükte olan düzenleme metni üzerinden doğrulama yapılmalıdır. Yanlış yargı koluna sunulan dilekçe, dosyanın gönderilmesi süresince zaman kaybettirir ve kısa itiraz süresi nedeniyle esasa hiç girilmemesi sonucunu doğurabilir.
Savunma Dosyasını Oluşturan Belgeler
- Kişisel veri işleme envanteri ve saklama imha politikası
- Aydınlatma metinleri ile açık rıza kayıtlarının tarihli örnekleri
- Teknik ve idari tedbirlere ilişkin kayıtlar: yetkilendirme matrisi, log yönetimi, sızma testi raporları
- Personel eğitim ve gizlilik taahhüt belgeleri
- Veri işleyenlerle imzalanan sözleşmelerdeki gizlilik ve güvenlik maddeleri
Değerlendirme
Yukarıdaki açıklamalar genel bilgilendirme amacı taşır. Kurumun büyüklüğü, işlenen verinin niteliği ve aktarımın yapıldığı ülke değerlendirmeyi değiştirebilir; yaptırım kararı tebliğ edildiğinde süre işlemeye başladığından, kanun yolunun teyidi için gecikmeden hukuki görüş alınması önerilir.