Bir veri ihlali yaşandığında veri sorumlusunun karşılaştığı ilk soru teknik değil, belgeseldir: olay ne zaman öğrenildi, hangi kayıtlar tutuldu ve alınan tedbirler yazılı olarak gösterilebiliyor mu. KVKK ve 6698 sayılı Kanun çerçevesinde yürüyen incelemelerde idari para cezasının gündeme gelip gelmeyeceğini büyük ölçüde bu belgesel altyapı belirler.
İhlal Bildiriminin Kendisi Bir Delildir
Veri ihlalinin öğrenilmesi hâlinde Kurula en kısa sürede bildirimde bulunulması ve ilgili kişilerin bilgilendirilmesi beklenir. Bildirim metni yalnızca bir yükümlülüğün yerine getirilmesi değildir; kurumun olayı ne zaman fark ettiğini, hangi verilerin etkilendiğini ve hangi önlemleri aldığını kendi beyanıyla ortaya koyan bir belgedir. Bu nedenle bildirim aceleyle ve eksik hazırlanırsa, sonradan yapılacak savunmayla çelişme riski doğar. Öğrenme anının nasıl tespit edildiği de ayrıca kayıt altına alınmalıdır.
İncelemede Bakılan Teknik ve İdari Tedbir İzleri
- Kişisel veri işleme envanteri ve saklama imha politikası
- Yetki matrisi, erişim logları ve yetkisiz erişim denemelerine ilişkin kayıtlar
- Sistem güncelleme, yedekleme ve sızma testi raporları
- Çalışanlara verilen farkındalık eğitimlerinin katılım kayıtları
- Veri işleyenlerle imzalanan sözleşmeler ve denetim yazışmaları
- Aydınlatma metinleri ile açık rıza kayıtlarının tarihli örnekleri
Bu belgelerin olaydan sonra değil, olaydan önce üretilmiş olduğunun gösterilebilmesi belirleyicidir. Tarih bilgisi taşımayan ya da sonradan düzenlendiği izlenimi veren kayıtlar savunmayı zayıflatır.
Ceza Kararına Karşı Başvuru Yolu
İdari para cezası kararına karşı başvurulacak merci ve süre, kararın tebliğ edildiği belgede gösterilir. Bu bilgi doğrulanmadan başvuru hazırlanmamalıdır; yanlış mercie yapılan başvuru, esas incelenmeden reddedilebileceği gibi bu sırada asıl sürenin dolmasına da yol açar. Başvuru dilekçesinde ise cezanın miktarına ilişkin genel itirazlar yerine, ihlalin kapsamı ve alınan tedbirler somut belgelerle karşılaştırmalı olarak ortaya konulmalıdır.
Süreyi Yakan Davranışlar
- Olayı iç inceleme bitene kadar bildirmeyip öğrenme anını geciktirmiş görünmek
- Tebliğ tarihini kayıt altına almadan başvuru süresini tahminle hesaplamak
- İlgili kişilere yapılan bilgilendirmenin kaydını saklamamak
- Kurumun kendi iç yazışmalarını, sistem loglarını olay sonrasında rutin temizlikle silmek
Son Değerlendirme
Metin genel çerçeve sunar. İhlalin kapsamı, etkilenen veri kategorisi ve kurumun büyüklüğü değerlendirmeyi değiştirebileceğinden, bildirim ve savunma metinlerinin hukuki destekle hazırlanması yerinde olur.