Bir veri ihlali yaşandığında veri sorumlusunun karşısına iki ayrı yük çıkar: ihlalin sonuçlarını yönetmek ve sonrasında başlayacak inceleme sürecinde aldığı tedbirleri belgelemek. KVKK ve 6698 sayılı Kanun çerçevesinde idari yaptırım değerlendirilirken bakılan asıl soru, ihlalin hiç yaşanmamış olması değil, uygun güvenlik düzeyini sağlamaya yönelik teknik ve idari tedbirlerin alınıp alınmadığıdır. Bu da savunmanın anlatımla değil kayıtla kurulmasını zorunlu kılar.
Bildirimin Kendisi de Delildir
İhlal bildirimi yalnızca bir yükümlülüğün yerine getirilmesi değil, aynı zamanda sonraki sürecin çerçevesini çizen bir metindir. Bildirimde yer alan ihlal tarihi, etkilenen kişi sayısı ve veri kategorileri, ilerleyen aşamada yapılacak her açıklamayla tutarlı olmalıdır. Sonradan değiştirilen sayı ve tarih bilgileri, dosyanın bütününe yönelik güven sorunu doğurur. Bu nedenle bildirim öncesinde iç inceleme raporunun tamamlanması tercih edilmelidir.
Savunmayı Belgeyle Kurmak
- Kişisel veri işleme envanteri ve kayıt yükümlülüğüne ilişkin kayıtlar.
- Aydınlatma metinleri ile açık rıza alınmışsa rızanın zamanını ve kapsamını gösteren kayıtlar.
- Erişim yetkilendirme matrisi, log kayıtları ve yetki değişiklik geçmişi.
- Sızma testi, güvenlik taraması ve yama yönetimi raporları.
- Veri işleyenlerle imzalanmış sözleşmeler ve denetim kayıtları.
- Çalışanlara verilen farkındalık eğitimlerine ilişkin katılım belgeleri.
Kanun Yolunu Tebliğ Metninden Doğrulamak
İdari para cezasına karşı hangi mercie, hangi süre içinde başvurulacağı, ceza kararının tebliğ metnindeki kanun yolu bildiriminden teyit edilmelidir. Bu alandaki düzenlemeler zaman içinde değişebildiği için genel varsayımla hareket etmek, yanlış mercie başvuru ve bunun sonucunda süre kaybı riskini doğurur. Tebliğ tarihi, tebligat parçası veya elektronik tebligat kaydıyla birlikte dosyanın ilk sayfasına işlenmelidir.
Süre Yönetiminde Pratik Ayrım
Bu dosyalarda birden fazla takvim paralel işler: ihlalin ilgili kişilere ve kuruma bildirilmesi için öngörülen süre, kurum yazılarına cevap için verilen süre ve ceza kararına karşı başvuru süresi. Bunların tek bir tabloda tutulmaması, uygulamada en sık görülen usul hatasıdır. Ayrıca ihlalden zarar gördüğünü ileri süren ilgili kişilerin talepleri ayrı bir hat olarak yürüyebilir; 5651 sayılı Kanun kapsamında içerik kaldırma talepleri de aynı olayla birlikte gündeme gelebilir.
Yukarıdaki çerçeve genel bilgilendirme içindir. Veri sorumlusunun faaliyet alanı, ihlalin kapsamı ve alınan tedbirler sonucu doğrudan etkiler; savunma dosyanızı kayıtlarınızla birlikte hazırlamanız önerilir.