Bir veri ihlali bildirimi çoğu zaman incelemeyle, inceleme de idari yaptırım gündemiyle sonuçlanır. Veri sorumlusu açısından belirleyici olan, ihlalin yaşanmış olması değil; ihlal anında ve sonrasında hangi teknik ve idari tedbirlerin alındığının belgelenebilmesidir. 6698 sayılı KVKK ekseninde hazırlanan bu rehber, idari para cezası gündeme geldiğinde izlenecek başvuru ve itiraz adımlarını, delil eksikliği riskiyle birlikte ele alıyor.
Savunmanın Zamanı: İnceleme Yazısına Verilen İlk Cevap
Uygulamadaki en maliyetli hata, savunmayı yaptırım kararı çıktıktan sonra kurmaya çalışmaktır. Kuruma verilen ilk cevap yazısı dosyanın çerçevesini belirler; sonraki aşamalarda bu çerçevenin dışına çıkmak zorlaşır. Bu nedenle ilk yazıda kronoloji, tespit yöntemi, etkilenen veri kategorileri ve alınan tedbirler bir arada sunulmalıdır.
Delil Eksikliğinin Somut Görünümü
- Log kayıtlarının ihlal tarihini kapsamayacak kadar kısa süreyle saklanması
- Kişisel veri işleme envanteri ile saklama ve imha politikasının güncel olmaması
- Aydınlatma ve açık rıza metinlerinin sürüm geçmişinin tutulmaması
- Veri işleyenle imzalanan sözleşmede sorumluluk paylaşımının belirsiz kalması
- İhlal sonrası alınan tedbirlerin tarihli kayda bağlanmaması
Yaptırım Kararı Sonrası Yol Haritası
- Tebliğ tarihi ve tebliğ evrakı, süre hesabına esas olacak biçimde ayrıca kayıt altına alınır.
- Karar metnindeki yargı yolu ve süre bilgisi esas alınır; bu konudaki düzenlemeler değişebildiğinden güncel mevzuat mutlaka kontrol edilir.
- Kararın hangi tespitlere dayandığı madde madde çıkarılır ve her tespite karşı bir belge eşleştirilir.
- Yürütmenin durdurulması ihtiyacı, tahsil riskiyle birlikte değerlendirilir.
- Aynı ihlalden doğabilecek tazminat talepleri için ayrı bir dosya açılır.
İtiraz Dilekçesini Güçlendiren Ayrım
İtirazın gücü, yaptırıma genel olarak karşı çıkmakta değil; kararın dayandığı somut tespitin hangi belgeyle çürütüldüğünü göstermekte yatar. İhlalin kapsamı, etkilenen kişi sayısı, tedbirlerin ihlalden önce mi sonra mı alındığı ve bildirim zamanlaması ayrı ayrı tartışılması gereken başlıklardır. Bu başlıkların tek bir paragrafta eritilmesi, incelemede eksik değerlendirme riskini artırır.
Son Söz
Veri koruma dosyalarında belge, beyandan daha ağır basar. Her kurumun teknik altyapısı ve işleme faaliyeti farklı olduğundan, burada anlatılan çerçevenin somut yapıya uyarlanması için hukuki destek alınması yerinde olur.