KVKK Dosyalarında İlk İtirazı Çoğunlukla Kaybediyoruz: Aydınlatma Yükümlülüğünün İspatında Karşılaştığımız Sorunlar

Büromuzda özellikle son iki yıldır KVKK kapsamında yürüttüğümüz uyuşmazlıklarda, sürecin en başında ve en kritik noktasında aynı hatayı görüyoruz: aydınlatma yükümlülüğünün ispatı. Müvekkil şirketler, veri sorumlusu sıfatıyla hareket ederken çoğu zaman sözleşme metinlerinin içine sıkıştırılmış tek cümlelik bir onay metnini yeterli sanıyor. Oysa Kurul kararlarında ve uygulamada, aydınlatma yükümlülüğünün, veri işleme faaliyetinden bağımsız ve öncelikli olarak yerine getirilmesi gerektiği açıkça ortaya konuyor. Bu durum, dosyanın daha en başında, savunma aşamasında aleyhimize sonuç doğuruyor.

1. "Sözleşme İçinde Onay" Sendromu ve İspat Külfeti

Uygulamada en sık karşılaştığımız senaryo şu: Müvekkilimiz olan bir şirket, hizmet sözleşmesinin 12. maddesinin son fıkrasına "İşbu sözleşmeyi onaylayan taraf, kişisel verilerin işlenmesine ilişkin aydınlatma metnini okuduğunu kabul eder" şeklinde bir ibare eklemiş. Bu ibare, veri sorumlusunun elini güçlendirmiyor. Tam aksine, Kurul nezdinde yapılan incelemelerde ve yargı aşamasında bu durum, aydınlatmanın açık ve anlaşılır bir şekilde yapılmadığının göstergesi olarak değerlendiriliyor. Çünkü aydınlatma yükümlülüğü, 6698 sayılı Kanun'un 10. maddesi gereği veri işleme faaliyetinin başlangıcından önce yerine getirilmelidir. Sözleşme imzalandıktan sonra, hatta sözleşmenin içinde kaybolmuş bir metinle bu yükümlülüğün yerine getirildiğini iddia etmek, ispat açısından neredeyse imkânsız.

Dosyalarımızda bu durumu şöyle yaşıyoruz: Müvekkil şirket aleyhine açılan tazminat davasında, davacı taraf "aydınlatılmadığını" iddia ediyor. Biz savunmada sözleşmedeki ibareyi delil olarak sunuyoruz. Ancak karşı tarafın "ben o metni okumadım, bana ayrıca iletilmedi" beyanı karşısında, sözleşmedeki genel ibare yetersiz kalıyor. Mahkeme, veri sorumlusunun aydınlatma yükümlülüğünü ispat etmesi gerektiğini, bunun için de veri işleme faaliyetinden bağımsız, kullanıcıya özel olarak iletilmiş ve kayıt altına alınmış bir aydınlatma metninin varlığını aradığını görüyoruz. Bu, pratikte büromuzun en çok üzerinde durduğu ve müvekkillerimizi sürecin başında uyardığımız ilk kritik noktadır.

2. Açık Rızanın "Açıklık" Şartı: Onay Kutusunun Önceden İşaretlenmiş Olması

Bir diğer yaygın hata, açık rızanın alınma yöntemiyle ilgili. Özellikle dijital platformlarda ve e-ticaret sitelerinde, kullanıcı kaydı sırasında "KVKK metnini okudum, onaylıyorum" kutusunun varsayılan olarak işaretli gelmesi. Bu uygulama, açık rızanın "açıklık" ve "bilgilendirilmiş olma" şartlarını ihlal ediyor. Kurul, bu tür önceden işaretlenmiş onay kutularını geçersiz sayıyor. Biz de bu durumla ilgili olarak özellikle pazarlama faaliyetleri yürüten şirketlere karşı açılan davalarda, müvekkil şirketin savunmasını hazırlarken bu hatayı tespit ediyor ve süreci yeniden yapılandırmalarını öneriyoruz.

Buradaki risk, yalnızca idari para cezası değil. Esas risk, açık rızanın geçersiz sayılmasıyla birlikte, işlenen verilerin hukuka aykırı hale gelmesi ve bu verilere dayanılarak yapılan tüm işlemlerin (örneğin elektronik ileti gönderimi) sakatlanmasıdır. Bu durumda müvekkilimiz, hem idari yaptırımla hem de hukuka aykırı veri işleme nedeniyle açılan tazminat davalarıyla karşı karşıya kalıyor. Uygulamada bu tür dosyalarda, veri sorumlusunun "rıza var" savunmasının kabul görmediğini, mahkemelerin ve Kurul'un, rızanın aktif bir irade beyanı ile alınmasını aradığını net biçimde gözlemliyoruz.

3. Veri Envanteri ile Gerçek Uygulama Arasındaki Uçurum

KVKK'ya uyum sürecinin en büyük yanılgısı, "Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt yaptırdık, uyumlu hale geldik" algısıdır. Büromuza gelen dosyalarda, şirketin VERBİS kaydında belirttiği veri işleme faaliyetleri ile fiili uygulama arasında ciddi farklar olduğunu görüyoruz. Örneğin, şirket VERBİS'e yalnızca müşteri verilerini işlediğini beyan etmiş; ancak çalışanların özlük dosyalarındaki sağlık verileri, performans değerlendirme raporları veya kamera kayıtları gibi özel nitelikli verileri işlediği halde bu faaliyetleri kayıt altına almamış.

Bu uçurum, bir veri ihlali veya şikâyet durumunda yapılan denetimde ortaya çıkıyor. Denetçiler, VERBİS beyanı ile şirketin elindeki fiziki ve dijital verileri karşılaştırdığında, beyan edilmeyen her bir veri kategorisi için ayrı bir ihlal tespiti yapılıyor. Bu da idari para cezasının katlanarak artmasına neden oluyor. Pratikte bu durumu, müvekkilimize "VERBİS kaydı bir formalite değil, yaşayan bir belgedir" diye anlatıyoruz. Kaydın, şirketin gerçek veri işleme haritasıyla birebir örtüşmesi gerektiğini; aksi halde bu tutarsızlığın, kasıtlı bir gizleme olarak yorumlanabileceğini ve cezai müeyyideleri ağırlaştırdığını aktarıyoruz.

4. İmha Süreçlerinin İşletilmemesi: "Sonsuza Dek Saklama" Alışkanlığı

KVKK'nın 7. maddesi ve ilgili yönetmelikler, işlenme amacının sona ermesi halinde verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini zorunlu kılıyor. Ancak uygulamada, şirketlerin büyük bir bölümü bu süreci işletmiyor. Özellikle eski müşteri verileri, geçmişe dönük sözleşmeler ve eski çalışanlara ait kayıtlar, "ileride lazım olur" düşüncesiyle süresiz olarak saklanıyor. Bu durum, veri minimizasyonu ilkesine aykırılık teşkil ediyor.

Bu konuda karşılaştığımız somut bir örnek: Bir müvekkilimiz, 10 yıl önce sona ermiş bir ticari ilişkiye ait tüm belgeleri ve müşterinin kredi kartı bilgilerini hâlâ sunucusunda tutuyordu. Müşterinin şikâyeti üzerine başlatılan incelemede, bu verilerin işlenme amacının çoktan sona erdiği ve imha sürecinin başlatılmadığı tespit edildi. Savunmamızda, ticari defter ve belgelerin saklanmasına ilişkin vergi mevzuatından kaynaklanan zorunlulukları öne sürdük. Ancak bu savunma, kredi kartı bilgileri gibi özel nitelikteki finansal veriler için geçerli olmadı. Mahkeme, vergi mevzuatındaki saklama sürelerinin, KVKK'daki imha yükümlülüğünü ortadan kaldırmadığını, ancak meşru bir saklama nedeni oluşturabileceğini belirtti. Bu içtihat doğrultusunda, müvekkilimizin elindeki tüm eski veriler için bir imha politikası oluşturması ve bu politikayı uygulaması gerektiğini kendisine ilettik. Bu süreç, dosyanın kapanmasının ardından da uzun bir uyum çalışması gerektirdi.

5. Veri İhlali Bildiriminde "Süre" ve "Kapsam" Hataları

Son olarak, veri ihlali durumunda yapılan bildirimlerdeki eksiklikler, büromuzun sıklıkla karşılaştığı bir diğer risk alanıdır. Kanun, ihlalin öğrenilmesinden itibaren 72 saat içinde Kurul'a bildirim yapılmasını zorunlu kılıyor. Ancak müvekkillerimiz çoğu zaman bu süreyi iyi hesaplayamıyor. "İhlali ne zaman öğrendik?" sorusu, uygulamada en çok tartıştığımız konulardan biri. İhlalin, sistemdeki bir log kaydına mı, yoksa dışarıdan gelen bir ihbara mı dayandığı, sürenin başlangıcını belirliyor. Bu konuda yapılan en büyük hata, ihlalin "doğrulandığı" anı değil, "şüphelenildiği" anı esas almak. Kurul, ihlalden şüphelenildiği andan itibaren sürecin işletilmesi gerektiğini kabul ediyor.

Bildirimin kapsamı da ayrı bir sorun. Müvekkillerimiz, ihlal bildiriminde genellikle "saldırıya uğradık" demekle yetiniyor; ancak ihlalden etkilenen kişi sayısı, veri kategorileri, alınan önlemler ve olası sonuçlar gibi bilgileri eksik bırakıyor. Bu eksik bildirim, Kurul tarafından yetersiz bulunarak ek süreç işletilmesine ve hatta ayrı bir idari yaptırıma neden olabiliyor. Bu nedenle büromuzda, ihlal anında devreye giren bir acil durum prosedürü uyguluyoruz. Öncelikle ihlalin tespiti, ardından hukuki değerlendirme ve en sonunda Kurul'a ve ilgili kişilere yapılacak bildirimin içeriği, bu prosedürün ana hatlarını oluşturuyor.

Sonuç olarak, KVKK dosyalarında işin sırrı, mevzuatı ezberlemekten çok, şirketin gerçek operasyonel süreçlerini bu düzenlemelere göre kurgulamaktan geçiyor. Aydınlatmanın ispatı, açık rızanın usulü, VERBİS kaydının güncelliği ve imha süreçlerinin işletilmesi, uygulamada en çok kayıp yaşadığımız dört temel başlık. Bu başlıklarda yapılacak küçük iyileştirmeler, hem idari para cezalarının önüne geçilmesini sağlıyor hem de olası bir tazminat davasında savunma pozisyonumuzu güçlendiriyor. Müvekkillerimize her zaman söylediğimiz gibi, KVKK uyumu bir proje değil, sürekli işleyen bir mekanizmadır. Bu mekanizmanın her dişlisinin doğru çalıştığından emin olmadan, yalnızca kağıt üzerinde yapılan uyum çalışmaları, dosya açıldığında işimize yaramıyor.