6698 sayılı KVKK kapsamında bir veri ihlali yaşandığında veri sorumlusunun karşılaştığı süreç iki aşamalıdır: ihlalin bildirilmesi ve ardından yürütülen inceleme sonunda gündeme gelebilecek idari yaptırım. Bu iki aşama birbirinden bağımsız değildir; bildirim aşamasında yazılanlar, ceza aşamasının savunma zeminini baştan belirler.
İhlal Anının Kayıt Altına Alınması
İnceleme sırasında sorulan ilk soru, ihlalin ne zaman öğrenildiğidir. Öğrenme anı belgelenemezse, bildirimin gecikip gecikmediği tartışması sorumlunun aleyhine sonuçlanabilir.
- Sistem günlükleri, uyarı kayıtları ve olay müdahale ekibinin ilk raporu
- Etkilenen veri kategorilerinin ve ilgili kişi sayısının tespitine dair çalışma
- İhlali durdurmak için alınan teknik önlemlerin zaman çizelgesi
- İlgili kişilere yapılan bilgilendirmenin metni ve gönderim kayıtları
Savunmanın Kurulacağı Eksen
İdari para cezası incelemelerinde tartışma çoğunlukla, veri güvenliğine ilişkin uygun tedbirlerin alınıp alınmadığı üzerinde yoğunlaşır. Burada soyut olarak tedbir alındığını söylemek yeterli değildir; alınan önlemlerin ihlalden önceki tarihli belgelerle gösterilmesi gerekir. Kişisel veri envanteri, erişim yetkisi matrisi, sızma testi raporları, çalışan gizlilik taahhütleri ve eğitim kayıtları savunmanın somut dayanaklarıdır. İhlalin bir hizmet sağlayıcıdan kaynaklandığı hâllerde, veri işleyenle yapılan sözleşmedeki güvenlik yükümlülükleri ve denetim kayıtları da dosyaya eklenmelidir.
Kanun Yolu ve Süre Yönetimi
İdari yaptırım kararına karşı hangi mercie başvurulacağı konusunda mevzuatta değişiklik yapılmış olduğundan, karar metninde gösterilen kanun yolu, süre ve merci bilgisi mutlaka esas alınmalıdır. Genel geçer bir alışkanlıkla hareket edilmesi, süresinde ancak yanlış mercie yapılan bir başvuru sonucunu doğurabilir. Sürenin başlangıcı kararın usulüne uygun tebliği olduğundan, tebligat parçasının incelenmesi ilk iştir.
Dosyayı Zayıflatan Davranışlar
- İnceleme yazısına verilen cevapta ihlalin kapsamının eksik ya da çelişkili aktarılması
- İhlalden sonra geriye dönük tarihli belge üretilmesi
- İlgili kişi başvurularının yanıtsız bırakılıp ayrı bir yaptırım riski doğurulması
- Ceza kararına itirazın gerekçeye değil yalnızca miktara yöneltilmesi
Paralel Riskler
Aynı olay, ilgili kişiler bakımından tazminat talebine; içeriğin yayılması hâlinde ise 5651 sayılı Kanun kapsamında kaldırma başvurularına konu olabilir. Bu nedenle idari süreç yürürken hukuk davası ihtimali de gözetilerek belge saklama politikası gözden geçirilmelidir.
Yukarıdaki açıklamalar yol gösterici niteliktedir ve her ihlalin teknik yapısı farklıdır. Kurumunuzun somut durumunda, süreler işlemeye başlamadan hukuki ve teknik değerlendirmeyi birlikte yürütmeniz yerinde olacaktır.