Bir veri ihlali yaşandığında veri sorumlusunun karşılaştığı ilk soru teknik değil hukukidir: kime, ne zaman, ne kadar bilgiyle bildirim yapılacak. Bu ilk aşamada verilen kararlar, sonrasında gündeme gelebilecek idari para cezası sürecini ve buna karşı yapılacak itirazın gücünü doğrudan etkiler. Aşağıda süreç bu sırayla ele alınmaktadır.
Bildirim Yükümlülüğünün İki Yönü
KVKK (6698) sistematiğinde ihlal halinde bildirim iki yöne yapılır: Kişisel Verileri Koruma Kurulu'na ve ihlalden etkilenen ilgili kişilere. Bu iki bildirimin içeriği aynı değildir. Kurula yapılan bildirimde ihlalin kapsamı, etkilenen veri kategorileri, olası sonuçları ve alınan önlemler yer alırken; ilgili kişilere yapılan bildirimin anlaşılır ve doğrudan olması beklenir. Bildirimin gecikmesi kadar, eksik ve belirsiz yapılması da ayrı bir eleştiri konusu olur.
İnceleme Aşamasında Savunmanın Kurulması
- İhlalin tespit edildiği anı gösteren teknik kayıtlar (log kayıtları, uyarı sistemi çıktıları)
- Olay müdahale sürecinin adım adım tutulmuş kaydı ve karar alma zinciri
- İhlal öncesinde alınmış teknik ve idari tedbirlerin belgesi: yetkilendirme matrisi, erişim kayıtları, şifreleme ve yedekleme politikaları
- Personel eğitim kayıtları ve gizlilik taahhütleri
- Veri işleyenlerle yapılan sözleşmeler ve denetim kayıtları
Delil Eksikliğinin Yarattığı Asıl Risk
Bu tür dosyalarda savunma çoğu zaman "gerekli tedbirleri almıştık" cümlesine dayanır; ancak bu iddia belgeyle desteklenmediğinde değerlendirmeye alınamaz. Tedbirlerin ihlal tarihinden önce yürürlükte olduğunu gösteren tarihli kayıtların bulunması, sonradan hazırlanan belgelerden çok daha güçlü bir konum sağlar. Aynı şekilde, envanter ve saklama süreleriyle uyumsuz veri tutulması, ihlalin etkisini genişleten bağımsız bir eleştiri başlığına dönüşür.
Kararın Tebliğinden Sonra
- Karar metni, hangi yükümlülüğün ihlal edildiği ve hangi olguya dayanıldığı bakımından ayrıştırılır.
- Cezanın dayandığı olgular ile dosyaya sunulan belgeler arasında çelişki olup olmadığı incelenir.
- İtirazın hangi mercie yapılacağı, kararın niteliğine göre belirlenir; yanlış mercie yapılan başvuru süre kaybına yol açar.
- İtiraz dilekçesinde yalnızca cezanın kaldırılması değil, ölçülülük yönünden değerlendirme de talep edilebilir.
- Ödeme, itiraz ve olası indirim imkânları arasındaki ilişki baştan hesaplanır.
İhlalin Diğer Yansımaları
Bir veri ihlali yalnızca idari yaptırımla sınırlı kalmaz. İlgili kişilerin tazminat talepleri, ihlale konu içerik internette yayılmışsa 5651 kapsamındaki kaldırma talepleri ve ticari ilişkilerdeki sözleşmesel sorumluluk aynı olaydan doğabilir. Bu nedenle savunma stratejisi tek bir dosyaya göre değil, bu üç eksen birlikte düşünülerek kurulmalıdır.
Buradaki açıklamalar genel bilgi niteliğindedir. Her ihlalin kapsamı, etkilenen veri türü ve kurumun aldığı tedbirler farklı olduğundan, somut olayınızda süreci bir hukukçu eşliğinde yönetmeniz uygun olur.