Kişisel Verileri Koruma Kurulu tarafından uygulanan idari para cezasının tebliğinden sonra elinizde iki şey vardır: ceza tutanağı ve çok kısa bir süre. Bu rehber, veri ihlali kaynaklı yaptırımlara karşı itirazın hangi mercie, hangi sırayla yapılacağını ve savunmanın nasıl kurulacağını ele alır.
İtirazın Muhatabı Kim
6698 sayılı Kanun kapsamındaki idari para cezalarına karşı başvuru yolu, tebliğ edilen karar metninde gösterilir ve bu bildirime uyulması esastır. Kabahatler hukuku genel çerçevesi ile idari yargı arasındaki ayrım, cezanın dayanağına göre değişebildiği için mercii tahminle belirlemek riskli bir tercihtir. Yanlış mercie yapılan başvuru süreyi kural olarak korumaz ve dosya süre yönünden kapanabilir. Bu nedenle ilk kontrol, tebliğ evrakındaki başvuru yolu ve süre bildirimidir.
Savunmanın Üç Ekseni
- İhlalin varlığı: Olayın Kanun anlamında bir veri ihlali olup olmadığı; teknik bir arıza ile yetkisiz erişim aynı sonucu doğurmaz.
- Bildirim yükümlülüğü: İhlalin öğrenilmesinden sonra Kurula ve ilgili kişilere yapılan bildirimin zamanında ve içerik olarak yeterli olup olmadığı.
- Alınan tedbirler: İhlal öncesinde uygulanan idari ve teknik tedbirlerin belgelenmesi; ceza miktarının belirlenmesinde bu husus dikkate alınır.
Ceza Miktarına Yönelik İtiraz Ayrı Kurgulanır
İtiraz yalnızca "ceza verilmemeliydi" biçiminde kurulduğunda, mahkeme ihlali sabit görürse tutar aynen kalır. Bu nedenle terditli bir yapı tercih edilir: öncelikle kararın kaldırılması, kabul edilmemesi hâlinde miktarın fiilin ağırlığı, veri sorumlusunun ekonomik durumu ve zararın kapsamı gözetilerek indirilmesi istenir. Etkilenen kişi sayısı, verinin özel nitelikli olup olmadığı ve zararın giderilip giderilmediği bu değerlendirmenin merkezindedir.
Belge Dosyası Nasıl Kurulur
- VERBİS kaydı, kişisel veri işleme envanteri ve saklama–imha politikası.
- İhlal anına ilişkin log kayıtları, olay müdahale raporu ve zaman damgalı teknik tespitler.
- Kurula yapılan ihlal bildiriminin tarihi ve içeriği; ilgili kişilere yapılan duyurunun örneği.
- Alt işveren veya bulut sağlayıcı ile imzalanmış veri işleme sözleşmeleri.
- İhlal sonrası alınan ek tedbirlere ilişkin faturalar ve uygulama kayıtları.
5651 ile Kesişen Talepler
Sızan verinin internette yayılmış olması hâlinde, idari itirazdan bağımsız olarak 5651 sayılı Kanun kapsamında içeriğin kaldırılması istenebilir. Bu iki süreç birbirini beklemez; içerik kaldırma talebinin gecikmesi zararı büyütür ve idari yaptırım dosyasında da aleyhe değerlendirilebilir.
Yukarıdaki açıklamalar genel bilgi niteliğindedir ve karar metnindeki gerekçe süreci belirleyici biçimde değiştirir. Tebligat elinize ulaştıysa itiraz süresi işlemeye başlamış olacağından, dosyanın vakit geçirmeden incelenmesi önerilir.