Bir veri ihlali yaşandığında veri sorumlusunun karşılaştığı asıl soru, ihlalin olup olmadığı değil; ihlal anına kadar hangi tedbirlerin alındığını belgeleyip belgeleyemediğidir. 6698 sayılı KVKK çerçevesinde ispat yükü büyük ölçüde veri sorumlusunun üzerindedir ve eksik kayıt, doğrudan yaptırım riskine dönüşür.
Bildirim Aşamasındaki Zaman Baskısı
İhlalin öğrenilmesi hâlinde Kurula ve etkilenen ilgili kişilere bildirim yapılması gerekir. Bu bildirim, Kurulun belirlediği kısa süre içinde yapılmalı ve olayın kapsamı, etkilenen veri kategorileri ile alınan önlemler açık biçimde belirtilmelidir. Bildirimin geciktirilmesi ya da eksik bilgiyle yapılması, çoğu zaman ihlalin kendisinden daha ağır değerlendirilir.
Uyum Dosyası Neden Belirleyicidir
Denetim sırasında sözlü açıklamalar değil, tarihli belgeler dikkate alınır. Aşağıdaki kayıtların ihlal anından önce oluşturulmuş olması gerekir:
- Kişisel veri işleme envanteri ve varsa sicil kaydı
- Aydınlatma metinleri ile açık rıza alınmışsa rızanın alınma biçimini gösteren kayıt
- Saklama ve imha politikası ile periyodik imha işlemlerinin tutanakları
- Yetkilendirme matrisi, erişim ve işlem günlükleri
- Veri işleyenlerle imzalanan sözleşmeler ve yurt dışı aktarım varsa buna ilişkin belgeler
Yaptırımın Ölçüsünü Etkileyen Unsurlar
İdari yaptırım belirlenirken kusurun ağırlığı, ihlalin etkilediği kişi sayısı, verinin niteliği ve ihlal sonrası davranış birlikte değerlendirilir. Teknik ve idari tedbirlerin alındığını gösteren belgeler ile ihlal sonrası hızlı müdahale kayıtları, savunmanın en somut kısmını oluşturur. Buna karşılık ihlalin gizlenmesi ya da geç bildirilmesi ağırlaştırıcı bir unsur olarak görünür.
Karara İtiraz Ederken Mercii Doğru Seçmek
İdari para cezasına karşı başvurulacak merci ve süre, kararın tebliğ evrakında gösterilir. Bu bilgi mevzuat değişiklikleriyle güncellenebildiğinden, tebliğ metnindeki yönlendirme esas alınmalı ve süre tebliğ tarihinden itibaren hesaplanmalıdır. Yanlış mercie yapılan başvuru esasa girilmeden reddedilir ve bu sırada süre işlemeye devam eder.
Zincirleme Risk: Tazminat ve Ceza Boyutu
Veri ihlali yalnızca idari yaptırımla sınırlı kalmaz. Verisi ihlal edilen kişilerin uğradıkları zarar için başvurabileceği hukuk yolu ile kişisel verilere ilişkin ceza hükümleri ayrıca gündeme gelebilir. Bu nedenle olay sonrası hazırlanan iç raporun, sonraki tüm süreçlerde kullanılacağı düşünülerek özenle kaleme alınması gerekir.
Veri koruma uyuşmazlıklarında her kurumun işleme faaliyeti farklıdır ve tek tip bir savunma metni işe yaramaz. Bu yazı genel bilgi amaçlıdır; ihlal yaşandıysa süreleri kaçırmamak için hukuki değerlendirmenin ilk gün başlatılması yerinde olur.