Bir veri ihlalinde kurumun hukuki durumunu belirleyen şey çoğu zaman ihlalin büyüklüğü değil, ihlalin nasıl tespit edildiği ve nasıl belgelendiğidir. KVKK kapsamındaki bildirim yükümlülüğü, Türk Ceza Kanunu'nun bilişim ve verilere ilişkin hükümleri ve 5651 sayılı Kanun'daki kayıt tutma yükümlülükleri aynı olayda birlikte devreye girer. Bu rehber, ihlal anından başvuru dosyasına uzanan delil zincirinin nasıl kurulacağını anlatır.
İhlalin Tespit Edildiği An
Bildirim süresi, ihlalin öğrenildiği andan itibaren işlemeye başladığı için bu anın kayıt altına alınması gerekir. Uyarı sistemi alarmı, çalışan bildirimi veya üçüncü kişiden gelen ihbar; hangisi ilkse zaman damgasıyla birlikte kaydedilmelidir. Kurulun belirlediği bildirim penceresi dar olduğundan, olay yönetim ekibinin ilk saatlerde teknik müdahale ile belgeleme işini eşzamanlı yürütmesi beklenir.
Toplanması Gereken Teknik Kayıtlar
- Sunucu, güvenlik duvarı ve uygulama log kayıtları, sistem saatiyle uyumlu biçimde.
- Etkilenen veri kategorileri, kayıt sayısı ve ilgili kişi grupları.
- Yetkisiz erişimin gerçekleştiği hesap, IP bilgisi ve erişim süresi.
- Yedeklerin durumu ve verinin bütünlüğünün bozulup bozulmadığı.
- Alınan teknik ve idari tedbirlerin uygulanma tarihleri.
Zincirin Kırıldığı Noktalar
Sistemin aceleyle yeniden kurulması, log rotasyonunun durdurulmaması veya etkilenen makinenin imajı alınmadan temizlenmesi, delili geri dönülmez biçimde yok eder. Kayıtların üzerinde sonradan düzenleme yapıldığı izlenimi doğuran müdahaleler ise kurumu daha zor bir konuma sokar. Kayıtların bütünlük değerleri hesaplanarak ayrı bir ortamda saklanması, sonraki aşamada yapılan işlemlerin doğrulanabilmesini sağlar.
Bildirim ve İlgili Kişiye Duyuru
- Kurula yapılacak bildirimde ihlalin kapsamı, olası sonuçları ve alınan tedbirler açıkça yazılır.
- İlgili kişilere yapılacak duyuru, anlaşılır ve doğrudan bir dille hazırlanır.
- Duyurunun hangi kanalla ve hangi tarihte yapıldığı belgelenir.
- Veri işleyenle olan sözleşmedeki bildirim yükümlülükleri işletilir.
- Kayıt ve envanter belgeleri güncellenerek dosyaya eklenir.
İdari Yaptırım ve Sonrası
İnceleme sonucunda idari para cezası uygulanması hâlinde, karara karşı kanunda öngörülen yol ve süre içinde başvuru yapılmalıdır. Bu aşamada teknik tedbirlerin ihlalden önce alınmış olduğunu gösteren tarihli belgeler belirleyici olur; ihlalden sonra üretilen dokümanlar aynı ağırlığı taşımaz. Ayrıca zarar gören ilgili kişilerin tazminat talepleri ayrı bir yargılama konusu olabileceğinden, savunma stratejisi iki cepheli kurgulanmalıdır.
Bu metin bilgilendirme amacıyla hazırlanmıştır. Her ihlalin teknik yapısı ve veri kategorisi farklı olduğu için, bildirim kararını vermeden önce hukuki ve teknik değerlendirmenin birlikte yapılması yerinde olur.