Bir kanun metni ne kadar ayrıntılı olursa olsun, hayatın içinde neyin ihlal sayılıp sayılmayacağını tek başına söylemez. Kişisel Verileri Koruma Kurulu’nun her yayımladığı karar, kanunun soyut maddelerini gerçek bir olayın üzerine oturtur ve ‘şu davranış yaptırıma yol açar, bu tedbir yeterli sayılır’ diyerek çizgiyi görünür kılar. Bu yüzden kurul kararları, uyum çalışan herkes için kanun kadar öğreticidir.

Kararları okuduğunuzda dikkat çeken şey, hataların büyük ölçüde birbirini tekrar etmesidir. Aynı türden eksiklikler farklı sektörlerden onlarca kurumun başını ağrıtır. Bu tekrar, aslında iyi haberdir: başkalarının cezalandırıldığı noktaları önceden bilerek kendi süreçlerinizi bu tuzaklardan arındırabilirsiniz.

Kurul kararları, kanunun soyut hükümlerini somut olaylara uygulayarak veri sorumluları için uygulanabilir bir içtihat haritası oluşturur.

En sık ceza doğuran alanlar

Kararlarda tekrar tekrar öne çıkan konuların başında bilgilendirme ve onay süreçleri gelir. Kurul, birçok kararında Aydınlatma yükümlülüğü ve açık rıza mekanizmalarının birbirine karıştırılmasını sorunlu bulmuştur. Örneğin bir hizmet almanın önkoşulu olarak dayatılan onay geçerli sayılmaz; kişi ‘hayır’ deme imkânına sahip değilse verdiği rıza özgür iradeye dayanmaz. Benzer şekilde, tek bir metinle hem bilgilendirme yapıp hem onay toplamaya çalışmak da eleştirilmiştir.

Bildirim süresi ve içeriği

İhlal anında en çok ceza doğuran alanlardan biri de zamanlamadır. Kurulun yerleşik yaklaşımına göre Veri ihlali bildirimi öğrenmeden itibaren makul bir süre içinde yapılmalıdır ve bu süre kararlarda çoğunlukla yetmiş iki saatlik bir çerçevede değerlendirilir. Gecikmenin yanı sıra bildirimin içeriğinin muğlak olması, etkilenen kişi sayısının belirsiz bırakılması ya da ilgili kişilere hiç haber verilmemesi de ayrı yaptırım sebepleri olarak kararlara yansımıştır.

• Rıza, hizmetin ön şartı yapılamaz; ayrı ve özgür verilmelidir
• İhlal öğrenildiği anda süre işlemeye başlar, iç onay beklenerek geciktirilemez
• Teknik tedbirlerin kâğıt üzerinde değil fiilen uygulandığı ispatlanmalıdır
• Veri işleyenlerle yapılan sözleşmeler sorumluluğu tamamen devretmez

Teknik tedbirin kanıtlanması

Kurul, bir kurumun ‘gerekli tedbirleri aldık’ demesini yeterli görmez; tedbirin gerçekten uygulandığına dair kanıt arar. Şifreleme, erişim kaydı, yetki ayrımı gibi kontrollerin belgelenmemiş olması, ihlal gerçekleştiğinde ağırlaştırıcı sebep sayılır. Bu noktada tüm veri işleme faaliyetini görünür kılan bir envanterin varlığı, kararlarda kurumun lehine değerlendirilen bir olgunluk göstergesidir.

Bütün bu kararların ardında ise değişmez bir referans durur: kaynağını KVKK metninden alan ilkeler, her kararda yeniden yorumlanır ama özünde aynı temel haklara dayanır. Kurumların bu içtihadı kendi süreçlerine yansıtması, teoride kalan uyumu sahaya taşımayı gerektirir; sistem ve süreçlerin bu gözle gözden geçirilmesi için Olay inceleme ve müdahale hizmetimiz kurumlara pratik bir çerçeve sunar.