Bir veri ihlali yaşandığında veri sorumlusunun karşısına iki ayrı süreç çıkar: ihlalin bildirilmesi ve sonrasında başlayan inceleme. 6698 sayılı KVKK kapsamında verilen idari para cezalarına karşı yürütülecek savunmanın kalitesi, büyük ölçüde ihlalin ilk günlerinde tutulan kayıtlara bağlıdır. Bildirimi hazırlarken yazılan her cümle, ileride ceza kararının gerekçesinde karşınıza çıkabilir.
İhlal anının teknik kronolojisi
İnceleme sırasında en çok sorulan soru, ihlalin ne zaman öğrenildiğidir. Bu nedenle olayın tespitinden itibaren şu başlıklarda bir zaman çizelgesi tutulmalıdır: anormalliğin ilk fark edildiği kayıt, teknik ekibin doğrulama adımları, etkilenen kayıt sayısının belirlenmesi, sistemin kapatılması veya izole edilmesi ve ilgili kişilere yapılan duyuru. Çizelgenin her satırı bir belgeye dayanmalı; hafızaya dayalı ifadeler tek başına bırakılmamalıdır.
Kurula sunulan bilgi sonradan aleyhe delile dönüşebilir
Bildirim metninde ölçüsüz genellemelerden kaçınmak gerekir. Etkilenen veri kategorileri henüz netleşmemişken kesin sayı vermek, sonradan düzeltme yapıldığında güvenilirliği zedeler. Aynı şekilde alınan teknik ve idari tedbirlerin abartılı anlatımı, denetimde belge istendiğinde boşluk yaratır. Doğru yaklaşım, o an bilinenle bilinmeyeni açıkça ayırmak ve tamamlayıcı bilgi sunulacağını belirtmektir.
Ceza kararına itirazda yol ayrımı
Uygulamada en kritik hata, idari para cezasına karşı yanlış yargı koluna gidilmesidir. Kararın hangi merciye ve hangi süre içinde götürüleceği, kararın dayandığı hükme göre değişebilir. Bu nedenle tebliğ edilen karar metnindeki kanun yolu bildirimi dikkatle okunmalı, tereddüt hâlinde başvuru süresinin en kısa olasılığa göre planlanması tercih edilmelidir. Süre geçtikten sonra doğru mercie gidilmesi sonucu kurtarmaz.
Savunmanın ölçülülük ekseni
- İhlalin kapsamı: etkilenen kişi sayısı ve veri kategorilerinin niteliği
- Önceden alınmış tedbirler: erişim yetkilendirmesi, günlük kayıtları, şifreleme ve yedekleme uygulamaları
- İhlal sonrası davranış: tespit hızı, sınırlama adımları, ilgili kişilere bilgilendirme
- Tekrar riskini azaltan kalıcı düzeltmeler ve bunların uygulama tarihleri
Bu kalemler yalnızca anlatılmaz; her biri tarih taşıyan bir belgeyle desteklenir. Politika metinlerinin varlığı değil, fiilen uygulandığını gösteren kayıtlar belirleyicidir.
İlgili kişi başvurularıyla paralel yürüyen süreç
İhlalden etkilenen kişiler ayrıca kendi başvurularını yapabilir ve bu başvurulara verilen yanıtlar da inceleme dosyasına yansır. Yanıtların birbiriyle çelişmemesi için tek bir metin şablonu değil, tek bir bilgi kaynağı kullanılmalıdır. İçeriğin yayına ilişkin boyutu varsa 5651 sayılı Kanun kapsamındaki kaldırma yolları ayrıca değerlendirilir; bu, idari süreçten bağımsız işler.
Bu yazı yalnızca genel çerçeveyi aktarır. Ceza tutarını ve itiraz yolunu belirleyen unsurlar dosyaya göre değiştiğinden, karar elinize ulaştığı anda süre hesabını bir hukukçuyla birlikte yapmanız önerilir.