KVKK Uyumunda İşletmelerin Sık Yaptığı Yedi Hata

6698 sayılı Kanun yürürlüğe gireli yıllar oldu; buna karşılık idari para cezasına konu olan eksiklikler büyük ölçüde aynı başlıklar altında tekrarlanıyor. Aşağıda, uygulamada en sık karşılaştığımız yedi hatayı ve bunların nasıl giderileceğini sıraladık.

1. Açık rızayı her şeyin dayanağı sanmak

Açık rıza, işleme şartlarından yalnızca biridir ve çoğu zaman en zayıf olanıdır; her an geri alınabilir. Bir sözleşmenin ifası için zorunlu olan veri işleme faaliyetinde açık rıza aranması, hem gereksizdir hem de rıza geri alındığında işletmeyi dayanaksız bırakır. Doğru yaklaşım, her işleme faaliyeti için uygun hukuki sebebi ayrı ayrı belirlemektir.

2. Aydınlatma ile açık rızayı aynı metinde birleştirmek

Aydınlatma yükümlülüğü ile açık rıza alınması iki ayrı işlemdir ve ayrı ayrı belgelenmelidir. Tek bir kutucukta "aydınlatma metnini okudum ve açık rıza veriyorum" ifadesi, Kurul kararlarında geçerli bir rıza olarak kabul edilmemektedir.

3. Veri envanteri çıkarmadan metin yazmak

Hangi verinin nereden geldiği, hangi sistemde tutulduğu, kimlerle paylaşıldığı ve ne zaman silineceği bilinmeden yazılan aydınlatma metni gerçeği yansıtmaz. Kurul incelemelerinde metin ile fiilî durum arasındaki uyumsuzluk, tek başına yaptırım sebebidir.

4. Saklama ve imha politikasını uygulamamak

Politikada altı ay sonra silineceği yazılan verinin sistemde yıllarca durması sık rastlanan bir durumdur. Periyodik imha süreleri takvime bağlanmalı ve imha işlemi tutanakla kayıt altına alınmalıdır.

5. Veri işleyenlerle sözleşme yapmamak

Muhasebe bürosu, bulut hizmet sağlayıcısı, çağrı merkezi, kargo firması — bunların hepsi veri işleyendir. Aralarındaki ilişkinin yazılı bir sözleşmeyle düzenlenmesi ve veri güvenliğine ilişkin yükümlülüklerin bu sözleşmede yer alması gerekir.

6. İlgili kişi başvurularını yanıtsız bırakmak

Veri sorumlusuna yapılan başvurular en geç otuz gün içinde yanıtlanmalıdır. Başvuruların hangi kanaldan alınacağı, kimin yanıtlayacağı ve nasıl kayıt altına alınacağı önceden belirlenmemişse süre kolaylıkla kaçırılır. Kurula yapılan şikâyetlerin önemli bir bölümü bu nedenden doğar.

7. Veri ihlalinde 72 saati beklemek

İhlal öğrenildiğinde gecikmeksizin ve en geç yetmiş iki saat içinde Kurula bildirim yapılmalıdır. Bu süre, olayın tam olarak aydınlatılmasını beklemek için değil; ilk bildirimi yapmak içindir. İlk saatlerde alınan teknik ve hukuki önlemlerin belgelenmesi, sonraki yaptırımın ölçüsünü doğrudan etkiler.

Uyum bir belge seti değil, sürdürülebilir bir düzendir. Yılda bir kez gözden geçirilmeyen bir uyum programı, ikinci yılın sonunda fiilî durumdan kopar.