Bir veri ihlalinin ardından veri sorumlusunun karşılaştığı süreç, yalnızca teknik bir kriz yönetimi değil aynı zamanda bir ispat sürecidir. Bu rehber, 6698 sayılı KVKK ve 5651 sayılı Kanun ekseninde idari para cezası riskine karşı savunma dosyasının nasıl kurulacağını ve karara karşı yargı yoluna başvuru tercihini ele alır.
İhlal Bildirimi Aynı Zamanda Bir Savunma Belgesidir
İhlalin tespiti sonrasında yapılan bildirim, ilerleyen aşamada dosyanın en çok incelenen metnidir. Aceleyle hazırlanan, ihlalin kapsamını olduğundan geniş veya dar gösteren bir bildirim, sonraki savunmayla çelişme riski taşır. Bu nedenle bildirim öncesinde teknik ekipten alınan tespit raporunun tarih ve içerik olarak netleştirilmesi gerekir.
Teknik ve İdari Tedbirlerin Belgelendirilmesi
- Yetkilendirme matrisi ve erişim kayıtlarının tutulduğunu gösteren sistem çıktıları
- Personel gizlilik taahhütleri ve farkındalık eğitimlerinin kayıtları
- Yedekleme, günlük kaydı tutma ve sızma testlerine ilişkin belgeler
- Veri işleyenlerle imzalanan sözleşmelerdeki güvenlik yükümlülükleri
Uygulamada en sık karşılaşılan zafiyet, tedbirlerin fiilen alınmış olmasına rağmen ihlal tarihinden önceye ait belgeyle ispatlanamamasıdır. Tarih taşımayan politika metinleri savunmayı zayıflatır.
Ceza Miktarını Etkileyen Somut Unsurlar
Değerlendirmede ihlalin kapsamı, etkilenen kişi sayısı, verinin niteliği, ihlalin fark edilme ve müdahale süresi ile ilgili kişilere yapılan bilgilendirmenin niteliği rol oynar. Zararın sınırlanması yönünde atılan adımların tarih sırasıyla belgelenmesi, savunmanın en somut kısmını oluşturur.
Barındırma ve Yayın Kaynaklı İhlaller
İhlal, bir internet sitesi üzerinden yayılan içerikle büyümüşse 5651 sayılı Kanun kapsamındaki kaldırma ve erişim engelleme yolları paralel biçimde işletilebilir. Bu adımın hızla atılmış olması, hem zararın sınırlandırılması hem de sorumluluğun değerlendirilmesi bakımından dosyaya olumlu yansır.
Cezayı Ödemek ile İtiraz Etmek Arasındaki Hesap
Karara karşı yargı yoluna başvurma tercihinde; kararın gerekçesindeki tespitlerin ileride açılabilecek tazminat taleplerine dayanak oluşturup oluşturmayacağı, kurumsal itibar etkisi, süreç maliyeti ve benzeri işlemler bakımından emsal oluşturma ihtimali birlikte değerlendirilmelidir. Yalnızca tutar üzerinden verilen karar çoğu zaman eksik kalır.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. Veri işleme faaliyetinin niteliği sonucu belirgin biçimde değiştirdiğinden, süreç yönetiminde kayıtlarınızla birlikte profesyonel destek alınması önerilir.