Kişisel veri ihlallerinde tartışma çoğu zaman ihlalin yaşanıp yaşanmadığı değil, veri sorumlusunun gerekli teknik ve idari tedbirleri aldığını gösterip gösteremediği noktasında düğümlenir. KVKK (6698 sayılı Kanun) yapısında ispat yükü büyük ölçüde veri sorumlusundadır. Bu nedenle idari para cezası riski, olay anından çok, olay öncesinde tutulan kayıtların niteliğiyle şekillenir.
İhlal Anının Saat Bazında Kaydı
İnceleme dosyalarında en çok sorulan soru, ihlalin ne zaman öğrenildiğidir. Bildirim yükümlülüğünün başlangıcı bu ana bağlandığı için, tespit anı; kim tarafından, hangi kayıttan ve hangi saatte fark edildiği belirtilerek yazılı hale getirilmelidir. Güvenlik uyarısı, log kaydı, çalışan bildirimi veya üçüncü kişi ihbarı gibi kaynaklar ayrı ayrı gösterilmelidir. Sonradan oluşturulmuş izlenimi veren tek sayfalık tutanaklar, kayıt sisteminin bütünüyle desteklenmediğinde ikna edici olmaz.
Tedbirlerin Belgeyle Gösterilmesi
Alınan tedbirlerin varlığını iddia etmek yeterli değildir; tarihli belgeyle ortaya konması beklenir. Uygulamada dosyayı güçlendiren kayıtlar şunlardır:
- Yetki matrisi ve erişim loglarının ihlal tarihini kapsayan bölümü
- Veri işleme envanteri ile saklama ve imha politikasının yürürlük tarihleri
- Veri işleyenlerle yapılan sözleşmelerdeki güvenlik taahhütleri
- Çalışan farkındalık eğitimlerinin katılım kayıtları
- Sızma testi veya zafiyet taraması raporları ile kapatılan bulguların takibi
Yaptırım Kararına Karşı Yol Seçimi
İdari para cezası tebliğ edildiğinde ilk yapılacak iş, kararın tebliğ tarihini ve karar metninde gösterilen başvuru yolu bilgisini kayda geçirmektir. Başvurulacak merci ve süre bakımından yürürlükteki düzenlemenin teyit edilmesi zorunludur; bu noktada yapılan hata, esasa ilişkin güçlü savunmayı dahi işlevsiz bırakır. Yanlış merciye yapılan başvuru dosyayı sıfırlamaz ama süreyi tüketebilir. Bu nedenle yol seçimi, savunma metni yazılmadan önce netleştirilmelidir.
Savunmanın Kurgusu
Etkili savunma, ihlali inkâr eden değil; olayın kapsamını daraltan ve orantılılık tartışmasını açan savunmadır. Etkilenen kişi sayısının, veri kategorisinin ve zararın somut olarak sınırlandırılması; ihlalden sonra alınan düzeltici adımların tarih sırasıyla gösterilmesi bu çerçevede işlevseldir. Aynı şekilde ilgili kişilere yapılan bilgilendirmelerin metni ve gönderim kayıtları da dosyaya eklenmelidir.
Usul Hatalarının Bedeli
- Bildirim yükümlülüğünün gecikmesi, esasa ilişkin savunmayı zayıflatır.
- Logların tutulmaması veya üzerine yazılması, tedbir iddiasını ispatsız bırakır.
- İlgili kişi başvurularının yanıtsız kalması, ayrı bir uyuşmazlık başlığı doğurur.
- Karar metninde gösterilen sürenin geçirilmesi, esas incelemesinin önünü kapatır.
Yukarıdaki değerlendirme genel bilgilendirme amacı taşır. Her veri ihlali; işlenen verinin türü, etkilenen kişi sayısı ve kurum yapısı bakımından kendine özgüdür. Kurum yazışması başlamadan önce dosyanın hukuki ve teknik yönüyle birlikte gözden geçirilmesi önerilir.