Veri ihlali bildirimleri, KVKK süreçlerinin en çok ceza ile sonuçlanan alanlarından biridir. 6698 sayılı Kanun kapsamında veri sorumlusundan beklenen yalnızca ihlali haber vermek değil; ihlal anında hangi teknik ve idari tedbirlerin yürürlükte olduğunu belgeyle gösterebilmektir. Kurul önünde savunmayı zayıflatan şey çoğu zaman ihlalin ağırlığı değil, tedbirlerin kâğıt üzerinde kalmasıdır.
Kurul Önünde Aslında Ne İspatlanır
İnceleme, "ihlal oldu mu" sorusunun ötesine geçer. Sorulan şudur: ihlalden önce uygun güvenlik düzeyi sağlanmış mıydı, ihlal fark edildikten sonra makul sürede ve eksiksiz bildirim yapıldı mı, ilgili kişiler bilgilendirildi mi. Bu üç başlığın her biri ayrı belgeyle karşılanır. Sonradan üretilen politika metinleri, tarih ve versiyon izi taşımadıkları için ikna edici olmaz.
İhlal Anını Belgeleyen Kayıt Seti
- Sunucu, güvenlik duvarı ve yetkilendirme sistemlerinin ihlal dönemine ait log kayıtları
- Erişim yetkisi matrisi ve yetki değişikliklerinin tarihli kaydı
- Sızma testi, açık taraması ve yama yönetimi raporları
- Çalışan farkındalık eğitimlerinin katılım ve tarih kayıtları
- Veri işleyenle imzalanan sözleşme ile bu tarafa yapılan denetim kayıtları
- İhlalin tespit edildiği an ile bildirimin yapıldığı anı gösteren iç yazışma zinciri
Bildirim Zamanlamasının Kendisi Bir Delildir
Bildirimde geç kalındığı iddiasına karşı en güçlü cevap, tespit anının objektif biçimde sabitlenmiş olmasıdır. Bunun için olay müdahale defterinin ihlal esnasında tutulması gerekir; sonradan hazırlanan kronolojiler tartışmalı hâle gelir. Eksik bildirim ise ayrı bir sorun doğurur: etkilenen kişi sayısının ve veri kategorilerinin sonradan büyümesi, ilk beyanın güvenilirliğini tartışmaya açar.
Ceza Kararı Sonrası Aşama
İdari para cezası kararı geldiğinde dosyaya iki açıdan bakılır: ihlalin varlığı ve cezanın ölçüsü. İkinci başlıkta kusurun ağırlığı, alınan tedbirlerin gerçekliği ve zararı azaltmak için yapılanlar tartışılır; bu da yine belgeye dayanır. Kurul kararlarına karşı izlenecek yargı yolu ve başvuru süresi bakımından mevzuatta değişiklik yapılmış olabileceğinden, karar metninde gösterilen başvuru yolu ve süresi mutlaka teyit edilmelidir.
Kapanış Notu
Veri ihlali dosyalarında savunmanın gücü, ihlalden sonra yazılana değil ihlalden önce üretilmiş kayıtlara bağlıdır. Buradaki anlatım genel bilgilendirme amacı taşır; sektör, işlenen verinin niteliği ve ihlalin kapsamı değerlendirmeyi değiştirebilir. Somut bir ihlalde belge envanterinin hukuki gözle taranması önerilir.