KVKK İdari Para Cezaları ve En Sık Yapılan Hatalar

6698 sayılı Kişisel Verilerin Korunması Kanunu, yükümlülüklere aykırılık halinde idari para cezası öngörür. Ceza kalemleri aydınlatma yükümlülüğünü yerine getirmemek, veri güvenliğine ilişkin yükümlülükleri yerine getirmemek, Kurul kararlarını yerine getirmemek ve VERBİS'e kayıt yükümlülüğüne aykırılık başlıklarında toplanır. Ceza tutarları her yıl yeniden değerleme oranında güncellenir; güncel tutarlar için Kişisel Verileri Koruma Kurumu'nun resmî duyurularını esas almak gerekir.

Cezaların büyüklüğünden bağımsız olarak asıl belirleyici olan, Kurul'un kararlarında hangi davranışları ihlal saydığıdır. Yayımlanan karar özetleri incelendiğinde, işletmelerin tekrar tekrar aynı hatalara düştüğü görülüyor.

1. Veri güvenliği tedbirlerinin eksikliği

Ceza kararlarının önemli bir bölümü veri ihlali bildirimlerinden doğuyor. Ortak paydalar: güncellenmemiş yazılımlar, zayıf parola politikaları, yetki matrisi olmadan herkese açık erişim, log kayıtlarının tutulmaması ve yedeklerin şifrelenmemesi. Kurul, ihlalin gerçekleşmiş olmasından çok, öncesinde makul teknik ve idari tedbirlerin alınıp alınmadığına bakıyor.

2. Veri ihlalini geç bildirmek

Veri ihlali öğrenildiğinde en kısa sürede ve 72 saati aşmamak üzere Kurul'a bildirim yapılması gerekir. İlgili kişilere de makul olan en kısa sürede bilgi verilir. Uygulamada en sık görülen hata, olayı önce içeride çözmeye çalışıp bildirimi günler sonra yapmaktır; bu, tek başına ayrı bir ihlal oluşturur.

3. Aydınlatma yükümlülüğünün eksik yerine getirilmesi

• Aydınlatma metninin veri toplandıktan sonra gösterilmesi
• Metnin yalnızca web sitesinde bulunup fiziksel formlarda yer almaması
• Aktarım yapılan taraf ve amaçların genel ifadelerle geçiştirilmesi
• Aydınlatma ile açık rızanın tek metinde birleştirilmesi
• Çağrı merkezi ve WhatsApp gibi kanallar için ayrı aydınlatma yapılmaması

4. İlgili kişi başvurularına yanıt vermemek

Kişisel verisi işlenen kişi, veri sorumlusuna başvurma hakkına sahiptir ve bu başvurunun en geç 30 gün içinde sonuçlandırılması gerekir. Başvuruyu yanıtsız bırakmak ya da 'ilgili birim bulunamadı' gerekçesiyle geçiştirmek, Kurul'a şikâyet yolunu açar ve genellikle aleyhe sonuçlanır. Sitenizde açık bir başvuru kanalı ve iç prosedür bulunmalıdır.

5. VERBİS kaydının eksik veya güncel olmaması

Kayıt yükümlülüğü kapsamındaki veri sorumlularının VERBİS'e kaydolması ve bildirimlerini güncel tutması gerekir. Yaygın hata, ilk kaydı yapıp yıllar boyunca hiç güncellememektir. Yeni bir yazılım, yeni bir tedarikçi ya da yeni bir veri kategorisi eklendiğinde bildirimin güncellenmesi gerekir.

6. Aktarım yapılan tedarikçilerin denetlenmemesi

Muhasebe programı, e-posta pazarlama aracı, bulut depolama, çağrı merkezi ve kargo firması gibi taraflara veri aktarıyorsanız, bu ilişkilerin sözleşmeyle düzenlenmesi ve karşı tarafın güvenlik seviyesinin değerlendirilmesi gerekir. Sorumluluk, veriyi işleyen tarafa devredilmiş olmaz.

Börü Medya olarak KVKK uyum sürecini belge üretmekten ibaret görmüyoruz. Veri envanteri, teknik tedbirler, ilgili kişi başvuru akışı ve VERBİS bildirimini birlikte kurguluyor; kurduğumuz yapının yıllık gözden geçirmesini de üstleniyoruz.