KVKK ve Veri Koruma Hukuku Süreçlerinde Müvekkillerde Gördüğümüz Tipik Hatalar

Veri koruma uyum süreçlerinde büromuza başvuran müvekkillerin büyük bir kısmı, sorunun kendilerine tebliğ edildiği ya da bir idari para cezası kesildiği aşamada kapımızı çalıyor. Oysa dosyaları geriye dönük incelediğimizde, ihlalin ya da uyumsuzluğun çok daha önce, çoğu zaman da birkaç küçük ihmalle başladığını görüyoruz. Aşağıda, uygulamada en sık karşılaştığımız ve dosyanın seyrini doğrudan etkileyen hataları, kendi deneyimimizden hareketle paylaşıyoruz.

1. Veri Envanteri Çıkarılmadan Politika Metni Üretilmesi

Müvekkillerin önemli bir kısmı, veri koruma uyumunu yalnızca bir "aydınlatma metni" ve "açık rıza metni" ikilisinden ibaret sanıyor. Şablon olarak indirilen, işletmenin gerçek veri akışıyla uyuşmayan metinler imzalanıyor; ancak hangi veri kategorisinin hangi amaçla, hangi hukuki sebebe dayanarak, ne kadar süreyle ve kimlerle paylaşılarak işlendiği yazılı hale getirilmiyor. Bir denetim ya da veri sahibi başvurusu söz konusu olduğunda ilk sorulan şey bu envanter oluyor. Envanteri olmayan bir işletme, aydınlatma yükümlülüğünü yerine getirdiğini ispatlamakta ciddi biçimde zorlanıyor.

2. Açık Rızanın "Her Şeyi Çözen" Bir Kurum Sanılması

Dosyalarda en sık gördüğümüz yanılgı, açık rızanın işlemenin her aşamasında tek başına yeterli olduğu varsayımı. Oysa rıza, ancak başka bir hukuki sebep bulunmadığında başvurulabilecek bir temel. Çalışan verileri, sağlık verileri, biyometrik veriler ve özlük dosyası kapsamındaki işlemelerde rızaya dayanmak, hem geri alınabilirlik hem de irade sakatlığı riskleri nedeniyle kırılgan bir zemin oluşturuyor. Müvekkillerin bir kısmı, çalışanıyla imzaladığı rıza metnini iş akdinin eki haline getirdiğinde "işte bu iş bitti" düşüncesine kapılıyor; ancak bağımlılık ilişkisi içindeki rızanın serbest iradeye dayandığını savunmak, sonraki süreçlerde ciddi bir ispat yükü doğuruyor.

3. Veri Sahibi Başvurularında Süre ve Cevap Disiplininin Kaybedilmesi

Uygulamada gördüğümüz en somut hatalardan biri, ilgili kişinin başvurusuna verilen cevabın süresinde ve gerekçeli şekilde tutulmaması. Başvurular çoğu zaman e-posta kutusunda bekliyor, çağrı merkezi tarafından sözlü olarak geçiştiriliyor ya da standart bir "talebiniz değerlendirilmektedir" yazısıyla karşılanıyor. Başvurunun reddedilmesi halinde gerekçenin somut olayla ilişkilendirilmemesi, sonraki aşamada hem idari hem adli yargı önünde dosyayı zayıflatıyor. Başvuru sürecini bir "müşteri hizmetleri" işi gibi ele almak, veri koruma uyumunun en kırılgan noktasını oluşturuyor.

4. Veri İhlali Bildiriminin "Önce İçeride Çözelim" Mantığıyla Geciktirilmesi

Veri ihlali şüphesi doğduğunda, müvekkillerin önemli bir kısmı önce olayın kapsamını daraltmaya, ardından da "nasıl olsa kimse fark etmez" düşüncesiyle bildirimi ertelemeye yöneliyor. Oysa ihlal bildirimi, hem idari makama hem de etkilenen veri sahiplerine yapılması gereken bir yükümlülük. Gecikmenin kendisi, ihlalin kendisinden bağımsız bir uyumsuzluk olarak değerlendiriliyor. Dosyalarda en çok zorlandığımız nokta, ihlalin teknik olarak ne zaman tespit edildiğinin ve bildirimin hangi tarihte yapıldığının ispatı oluyor. Bu nedenle olay müdahale prosedürünün yazılı, tarihli ve kayıtlı olması gerekiyor.

5. Veri İşleyen Sözleşmelerinin Gözden Geçirilmemesi

Müvekkillerin büyük bir kısmı, hizmet aldığı tedarikçiyle imzaladığı sözleşmeyi yıllarca değiştirmeden kullanıyor. Bulut hizmeti, muhasebe yazılımı, çağrı merkezi, kargo ve pazarlama hizmeti gibi alanlarda veri işleyen sıfatıyla hareket eden taraflarla yapılan sözleşmelerde; işleme amacı, süresi, güvenlik tedbirleri, alt işleyen kullanımı, ihlal halinde bildirim yükümlülüğü ve iş bitiminde verilerin iadesi/imhası gibi hususların açıkça düzenlenmesi gerekiyor. Bu maddeleri içermeyen sözleşmeler, veri sorumlusunun kendi yükümlülüğünü devrettiği izlenimini vermiyor; aksine sorumluluğun büyük kısmı veri sorumlusunda kalıyor.

6. Saklama ve İmha Sürelerinin Belirsiz Bırakılması

Uygulamada en sık karşılaştığımız yapısal sorun, veri saklama sürelerinin ilgili mevzuattan bağımsız olarak "işin doğası gereği" gibi muğlak ifadelerle geçiştirilmesi. Oysa her veri kategorisi için ayrı bir saklama süresi ve bu sürenin sonunda periyodik imha ya da silme işleminin nasıl yapılacağı yazılı olmalı. Periyodik imha tarihlerinin kayıt altına alınmaması, denetimde "imha edildi" iddiasının ispatını güçleştiriyor. Ayrıca bazı müvekkillerin, saklama süresi dolmuş verileri yedek sistemlerde ve arşivlerde tutmaya devam ettiğini görüyoruz; bu da fiili işlemenin süresini uzatıyor.

7. Veri Güvenliği Tedbirlerinin "Bilişim İşi" Olarak Görülmesi

Veri güvenliği yükümlülüğü, yalnızca teknik ekibin sorumluluğunda değil. Erişim yetkilerinin rol bazlı tanımlanmaması, ayrılan personelin erişiminin kapatılmaması, log kayıtlarının düzenli tutulmaması, uzaktan çalışma ortamlarında cihaz ve ağ güvenliğinin ihmal edilmesi gibi durumlar, hem idari yaptırım hem de olası bir sızma halinde sorumluluğu ağırlaştırıyor. Müvekkillerin bir kısmı, "zaten küçük bir işletmeyiz, bize bir şey olmaz" varsayımıyla hareket ediyor; ancak veri ihlallerinin önemli bir kısmı hedef seçilerek değil, fırsat üzerinden gerçekleşiyor.

8. Yurt Dışına Veri Aktarımında Güncel Mekanizmanın Takip Edilmemesi

Yurt dışına veri aktarımı, mevzuat değişikliklerinden en çok etkilenen alanlardan biri. Müvekkillerin bir kısmı, yıllar önce kullandığı aktarım yönteminin hâlâ geçerli olduğunu varsayıyor. Oysa aktarım rejimi zaman içinde değişiyor; uygun güvence mekanizmaları, standart sözleşme metinleri ve Kurul kararları takip edilmediğinde, fiilen yapılan aktarım hukuki dayanaktan yoksun hale gelebiliyor. Yurt dışı merkezli hizmet sağlayıcılarıyla çalışan müvekkillerde bu konuyu ayrı bir başlık olarak ele alıyoruz.

9. Çalışan Farkındalığının Eğitimle Sınırlı Tutulması

Yılda bir kez yapılan ve katılım listesi imzalanan bir eğitim, tek başına yeterli olmuyor. Uygulamada gördüğümüz tablo şu: Eğitim yapılıyor, fakat günlük iş akışına entegre edilmiyor. Örneğin müşteri verisinin kişisel e-postaya kopyalanması, ekran görüntüsü alınması, ortak klasörlerde gereğinden uzun süre tutulması gibi davranışlar sürüyor. Bu noktada önemli olan, eğitimin yanı sıra erişim kontrolleri, teknik kısıtlar ve düzenli denetim mekanizmalarının kurulması. Aksi halde eğitim, dosyada "yapıldı" demekten öteye geçmiyor.

10. İhlal Sonrası Delil ve Kayıt Yönetiminin Bozulması

İhlal şüphesi doğduğunda ilk saatlerde yapılan müdahaleler, dosyanın kaderini belirliyor. Müvekkillerin bir kısmı, olayı öğrenir öğrenmez sistemi yeniden başlatıyor, logları temizliyor ya da etkilenen hesapları hızla kapatıyor. Bu refleks, iyi niyetle yapılsa da delil zincirini bozuyor. Olay müdahale planının, hangi kaydın hangi sırayla alınacağını, kimin erişeceğini ve nasıl muhafaza edileceğini önceden tanımlaması gerekiyor.

Uygulamada Nasıl Bir Yol İzliyoruz

Veri koruma uyumunu bir "belge üretme" işi olarak değil, süreklilik arz eden bir yönetim işi olarak ele alıyoruz. Öncelikle veri envanteri ve işleme amaçlarının netleştirilmesi, ardından aydınlatma ve rıza metinlerinin bu envanterle uyumlu hale getirilmesi, sonrasında veri işleyen sözleşmelerinin gözden geçirilmesi ve saklama-imha sürelerinin yazılı hale getirilmesi gerekiyor. Başvuru yönetimi, ihlal bildirimi ve olay müdahale prosedürlerinin ise tatbikatla desteklenmesi, kâğıt üzerindeki uyumu fiiliyata taşıyor.

Müvekkillerimize önerdiğimiz yaklaşım sade: Veri koruma uyumunu, bir kere tamamlanıp rafa kaldırılacak bir proje değil, iş süreçlerinin ayrılmaz bir parçası olarak kurgulamak. Bu çerçevede atılan adımlar, hem olası bir denetimde hem de bir ihlal sonrası savunmada dosyanın en güçlü dayanağını oluşturuyor.