Bir veri ihlali yaşandığında veri sorumlusunun karşılaşacağı ilk soru teknik değil, belgeseldir: ihlal ne zaman tespit edildi, hangi tedbirler ihlalden önce alınmıştı ve bunlar kayıtla gösterilebiliyor mu. 6698 sayılı KVKK kapsamında yürütülen incelemelerde savunmanın gücü, olaydan sonra yazılan açıklamalardan çok, olaydan önce oluşturulmuş belgelerin varlığına bağlıdır. Bu nedenle savunma dosyası aslında ihlalden aylar önce kurulur.
Tespit anı ve bildirim kaydı
İhlalin fark edildiği an, sonraki tüm sürelerin başlangıç noktasıdır. Güvenlik ekibinin bulgu kaydı, sistem uyarı çıktısı ve olay yönetimi bileti aynı zaman çizelgesine yerleştirilmelidir. Bildirimlerin hangi tarihte, kime ve hangi içerikle yapıldığı da ayrı bir kayıt olarak tutulmalı; ilgili kişilere yapılan duyurunun metni saklanmalıdır.
Teknik ve idari tedbirleri ispatlayan belgeler
- Kişisel veri işleme envanteri ve saklama imha politikası, yürürlük tarihiyle birlikte.
- Erişim yetkilendirme matrisi ve yetki değişikliklerinin loglanması.
- Sızma testi ve zafiyet tarama raporları; bulguların kapatıldığını gösteren kayıtlar.
- Çalışanlara verilen farkındalık eğitimlerinin katılım listeleri.
- Veri işleyenlerle imzalanan sözleşmelerdeki güvenlik taahhütleri.
Yazışmalarda tebligatın izlenmesi
İnceleme sürecinde gönderilen bilgi ve belge talebi yazılarına süresinde cevap verilmemesi, tek başına ayrı bir olumsuzluk doğurur. Kuruma bildirilen tebligat adresinin güncel olmaması ya da elektronik tebligat kutusunun düzenli kontrol edilmemesi, çoğu zaman gecikmenin asıl sebebidir. Bu nedenle kurumsal yapıda tebligat takibinden sorumlu bir kişi belirlenmeli ve gelen her yazı kayıt numarasıyla arşivlenmelidir.
Ceza kararına karşı ne yapılabilir
İdari para cezası kararı tebliğ edildiğinde, itiraz için öngörülen mercie başvurulması gerekir; itirazın konusu genellikle iki başlıkta toplanır: ihlalin gerçekleşmediği ya da gerçekleşse bile alınan tedbirlerin yeterli olduğu, ve cezanın miktarının olayın ağırlığıyla orantılı olmadığı. İkinci başlık için işletmenin büyüklüğü, etkilenen kişi sayısı ve zararı azaltmak için yapılanlar somut biçimde anlatılmalıdır. Yayın veya erişim boyutu olan dosyalarda 5651 sayılı Kanun kapsamındaki talepler ayrı bir kolda yürütülür.
Bu metin genel bilgi verir; sektör, veri kategorisi ve ihlalin kapsamı savunma stratejisini değiştirir. Devam eden bir inceleme varsa dosyanızı bir hukukçuyla birlikte kurgulamanız uygun olacaktır.