Bir veri ihlali yaşandığında iki farklı saat aynı anda çalışmaya başlar. Birincisi, veri sorumlusunun bildirim yükümlülüğüne ilişkin olandır; ikincisi ise sızan verinin internette yayılmasıyla ilgili olandır. Bu iki saati ayrı ayrı yönetmeyen kurumlar, hem yaptırım riskiyle hem de giderek genişleyen bir yayılma sorunuyla aynı anda karşılaşır.
İhlalin Tespitinden Sonraki İlk Saatler
İhlal fark edildiğinde önce kapsamın belirlenmesi gerekir: hangi veri kategorileri, kaç kişi, hangi sistem. 6698 sayılı Kanun, veri ihlalinin Kurula ve ilgili kişilere bildirilmesini öngörür. Bildirim yapılabilmesi için kapsamın tam olarak bilinmesi şart değildir; eksik bilgiyle yapılan ilk bildirimin sonradan tamamlanması, hiç bildirim yapmamaktan daha savunulabilir bir tutumdur.
Sızan Verinin Yayından Kaldırılması
Veriler forum, paylaşım sitesi veya mesajlaşma kanallarında yayınlandığında, kaldırma süreci teknik değil hukuki bir sıraya tabidir:
- İçeriğin bulunduğu adreslerin eksiksiz listelenmesi ve zaman damgalı kaydı
- 5651 sayılı Kanun kapsamında içeriğin çıkarılması ve erişimin engellenmesi talebinin yöneltilmesi
- Barındırma sağlayıcıya yapılan başvuruların ayrıca kayıt altına alınması
- Arama motoru sonuçlarındaki bağlantılar için ayrı talep gerekebileceğinin bilinmesi
- Aynı verinin yeniden yayınlanması ihtimaline karşı izleme düzeni kurulması
İlgili Kişi Başvurusuna Cevap Vermek
İhlalden etkilenen kişiler veri sorumlusuna başvurabilir ve alınan cevaba göre Kurula şikâyet yoluna gidebilir. Bu başvurulara verilen cevabın içeriği ve zamanı, sonraki aşamada dosyanın en çok incelenen kısmıdır. Şablon cevaplar yerine, kişinin verisinin ihlale dahil olup olmadığını açıkça ortaya koyan yanıtlar, hem şikâyet riskini hem de itibar zararını azaltır.
Ceza Boyutunun Ayrıca Değerlendirilmesi
İhlal bir siber saldırıdan kaynaklanıyorsa, TCK'nın bilişim sistemlerine yönelik suçları düzenleyen hükümleri kapsamında ayrı bir ceza şikâyeti gündeme gelir. Bu şikâyetin idari süreci beklemeden yapılması, sistem kayıtlarının ve iz kayıtlarının silinmeden incelenmesi bakımından önemlidir. İdari süreçle ceza sürecinin birbirini beklemesi, çoğu zaman delil kaybına yol açar.
Belgelenmesi Gereken Kararlar
- İhlalin ne zaman ve nasıl tespit edildiği
- Alınan teknik ve idari tedbirlerin zaman çizelgesi
- Bildirim kararının kim tarafından ve hangi bilgilere dayanarak verildiği
- Kaldırma başvurularının sonuçları ve tekrar eden yayınların takibi
Bu metin genel bilgilendirme amaçlıdır. İhlalin kapsamı ve veri türü yükümlülükleri değiştirdiğinden, olayın ilk aşamasında hem teknik hem hukuki destek alınması önerilir.