Bir veri ihlali yaşandığında veri sorumlusunun karşılaştığı asıl sorun teknik değil, ispat sorunudur: alınan tedbirlerin ihlalden önce alındığını gösterebilmek. 6698 sayılı KVKK kapsamındaki idari para cezası süreçlerinde dosyanın seyrini belirleyen şey, bildirim metninin içeriği ve kayıtların tarihsel tutarlılığıdır. Bu rehber, 6698 ve 5651 sayılı Kanun çerçevesinde ihlal sürecinde delil kurgusunu ve başvuru yolunun doğru seçilmesini konu alır.
Bildirim Metni Aynı Zamanda Bir Beyandır
Veri ihlalinin Kurul'a bildirimi, sonraki incelemede veri sorumlusunun kendi beyanı olarak değerlendirilir. Aceleyle doldurulan, ihlalin kapsamını olduğundan geniş veya dar gösteren bir form, sonradan düzeltilse bile dosyada iz bırakır. Bu nedenle bildirim öncesinde etkilenen veri kategorileri, ilgili kişi sayısı ve ihlalin başlangıç–tespit zaman aralığı teknik ekiple birlikte netleştirilmelidir.
Hangi Kayıtlar Lehe Delil Üretir?
- Kişisel veri işleme envanteri ve veri sorumluları siciline yapılan kayıt bildirimleri
- İhlal tarihinden önce yürürlüğe konmuş politika, prosedür ve saklama-imha planı
- Sızma testi, güvenlik denetimi ve yama yönetimi raporlarının tarihli çıktıları
- Personel farkındalık eğitimlerinin katılım kayıtları
- Veri işleyenlerle imzalanmış sözleşmelerin güvenlik yükümlülüğü içeren maddeleri
- İhlal sonrası müdahale adımlarının saatlik olay günlüğü
İdari Yaptırıma Karşı Hangi Yargı Yolu?
Kurul'un idari para cezasına karşı gidilecek yol, uygulamada en çok hata yapılan noktadır. Geçmişte bu konuda tereddütler yaşanmış, farklı yargı kollarına yapılan başvurular görev yönünden reddedilmiştir. Bu nedenle karar tebliğ edildiğinde, kararın kendi metnindeki başvuru yolu ve süre bildirimi mutlaka okunmalı; tereddüt hâlinde süre kaybetmeden hukuki değerlendirme alınmalıdır. Yanlış yargı koluna açılan dava reddedildiğinde, geçen süre çoğu zaman telafi edilemez.
Kurul İncelemesi ile Diğer Süreçlerin Ayrışması
Aynı olay birden çok süreci tetikleyebilir: ilgili kişilerin veri sorumlusuna başvurusu, Kurul şikâyeti, verinin internette yayılması hâlinde 5651 kapsamında erişim engelleme talebi ve zarar görenlerin tazminat davası. Bunların muhatapları ve süreleri farklıdır. İlgili kişinin veri sorumlusuna yaptığı başvuruya süresinde yanıt verilmemesi, tek başına ayrı bir aykırılık iddiasına dönüşebildiğinden başvuru takip sistemi kurulmalıdır.
Savunma Dilekçesinde Öne Çıkarılması Gerekenler
Savunmada teknik anlatım yeterli değildir; alınan tedbirin ihlal riskiyle orantılı olduğu, ihlalin tespit edilir edilmez sınırlandırıldığı ve etkilenen kişilere yapılan bilgilendirmenin içeriği somut belgeyle gösterilmelidir. Tedbirlerin ihlalden sonra alınmış olması, hafifletici bir unsur olarak sunulacaksa bu ayrım açıkça belirtilmelidir; aksi hâlde tarihsel çelişki savunmanın bütününü zayıflatır.
Yukarıdaki bilgiler genel çerçeve sunar. Veri sorumlusunun sektörü, işlenen veri türü ve ihlalin kapsamı sonucu değiştirebileceğinden, dosyanıza özel profesyonel değerlendirme almanız uygun olacaktır.