Veri ihlali yaşandığında ortaya iki ayrı takvim çıkar: veri sorumlusunun bildirim yükümlülüğüne ilişkin takvim ve ilgili kişinin hak arama takvimi. Bu iki takvim birbirine karıştırıldığında, ihlalden zarar gören kişi başvuru süresini kaçırır; veri sorumlusu ise kendi yükümlülüğünü geç yerine getirdiği için ayrıca sorumlulukla karşılaşır. Aşağıdaki rehber iki tarafı da ayrı ayrı ele alır.
Veri Sorumlusu Tarafındaki Zaman Baskısı
6698 sayılı KVKK, ihlalin öğrenilmesi hâlinde en kısa sürede Kurul'a ve ilgili kişilere bildirim yapılmasını öngörür. Uygulamada bu süre kısa tutulduğundan, ihlalin fark edildiği an ile bildirim arasındaki her saat kayıt altına alınmalıdır. Bildirimde ihlalin ne zaman ve nasıl gerçekleştiği, hangi veri kategorilerinin etkilendiği ve kaç kişinin etkilendiği yer almalıdır. Bilgilerin tamamı henüz netleşmemişse, eksik bilgiyle bekleme yerine aşamalı bildirim tercih edilir.
İlgili Kişi Tarafındaki Sıra
- Önce veri sorumlusuna yazılı başvuru yapılır; doğrudan Kurul'a yapılan şikâyet bu adım tamamlanmadan işleme alınmaz.
- Veri sorumlusunun cevap vermesi için öngörülen süre beklenir.
- Cevap yetersizse veya hiç verilmemişse, öngörülen süre içinde Kurul'a şikâyet edilir.
- Maddi veya manevi zarar doğmuşsa tazminat talebi ayrı bir yargı yolunda ileri sürülür.
Bu sıralamanın bozulması, en sık rastlanan usul hatasıdır. Şikâyet süresi, başvuruya verilen cevabın öğrenilmesine ve her hâlde başvuru tarihine bağlı olarak hesaplandığından, başvurunun yapıldığı tarihin ispatlanabilir olması belirleyicidir.
Bildirim İçeriğinde Sık Görülen Eksikler
- Etkilenen veri kategorilerinin genel ifadelerle geçilmesi.
- Alınan teknik ve idari tedbirlerin somutlaştırılmaması.
- İlgili kişilere yapılan bilgilendirmenin kanıtlanabilir bir kanaldan yapılmaması.
- İhlalin tespit edilme yönteminin anlatılmaması.
Sistemin İçinde Kalan Diğer Yükümlülükler
Bir veri ihlali çoğu zaman tek başına gelmez. Sızan içerik internette yayımlanmışsa 5651 sayılı Kanun kapsamında erişimin engellenmesi talebi ayrıca gündeme gelir. Verilerin bir bilişim sistemine izinsiz girilerek ele geçirilmesi hâlinde ise ceza soruşturması yolu açılır. Bu üç sürecin muhatapları farklı olduğundan, tek bir dilekçeyle tümünün karşılanması beklenmemelidir.
İhlal Sonrası Kayıt Düzeni
Kurul incelemesinde en çok sorulan konu, ihlalin ne zaman öğrenildiğidir. Bu nedenle olay müdahale kayıtları, sistem günlükleri ve iç yazışmalar zaman damgalı biçimde saklanmalıdır. Sonradan oluşturulan belgeler, incelemede güven sorunu doğurur.
Bu metin genel bilgilendirme amacıyla kaleme alınmıştır ve somut bir olaya ilişkin hukuki görüş yerine geçmez. Veri ihlallerinde süreler kısa işlediğinden, olayı fark ettiğiniz gün hem teknik hem hukuki destek almanız uygun olur.