Bir veri ihlali yaşandığında şirketlerin karşılaştığı asıl sorun, teknik müdahalenin ötesinde bildirim takvimidir. 6698 sayılı Kişisel Verilerin Korunması Kanunu, ihlalin öğrenilmesinden sonra Kurula ve ilgili kişilere bildirim yükümlülüğü getirir; bu adımın gecikmesi, ihlalin kendisinden bağımsız bir yaptırım sebebine dönüşebilir. Bu rehber, ihlal anından idari para cezasına itiraza uzanan hattı adım adım ele alır.
İhlalin Tespitinden Bildirime Giden Hat
Bildirim yazılmadan önce olayın kapsamı netleştirilmelidir: hangi veri kategorileri etkilendi, kaç ilgili kişi söz konusu, özel nitelikli veri var mı, ihlal devam ediyor mu. Kurula yapılan bildirimin eksik olması kadar, ölçüsüz geniş yazılması da sonradan aleyhe kullanılabilir. İlgili kişilere yapılacak bildirimde ise anlaşılır dil, alınan önlemler ve başvuru kanalı yer almalıdır.
- Olay kayıt defteri açılır; tespit saati ve tespit eden birim yazılır.
- Etkilenen sistem, veri kategorisi ve kişi sayısı tabloya dökülür.
- Alınan teknik ve idari tedbirler tarih sırasıyla belgelenir.
- Kurula bildirim ile ilgili kişiye bildirim ayrı ayrı hazırlanır.
- Aynı ihlalin tekrarını önleyen kalıcı önlem planı yazılır.
Kurul İncelemesinde Savunma Dosyası
İnceleme başladığında istenen bilgi ve belgeye verilen cevap, sonucu belirleyen asıl metindir. Burada kritik olan, soyut uyum beyanları yerine tarihli kanıt sunmaktır: veri envanteri, saklama ve imha politikası, erişim yetki matrisi, log kayıtları, çalışan eğitim tutanakları, veri işleyenle imzalanmış sözleşmeler. Kanunun aradığı teknik ve idari tedbirlerin ihlalden önce alınmış olduğunu gösterebilmek, yaptırımın ölçüsü bakımından belirleyicidir.
Cezaya İtirazda Mercii Riski
Uygulamada en pahalı hata, itirazın yanlış mercie yapılmasıdır. İdari para cezasına karşı başvurulacak yol ve süre, kararın tebliğ edilen metninde gösterilen kanun yolu bölümünde yer alır; bu bölüm okunmadan dilekçe hazırlanmamalıdır. Yanlış mercie yapılan başvuru kural olarak süreyi korumaz ve dosya görev yönünden reddedildiğinde asıl süre çoktan dolmuş olabilir. Tebliğ tarihini gösteren belge bu nedenle ilk günden ayrı saklanmalıdır.
5651 Kesişimi ve İçeriğin Yayılması
İhlal sonucunda kişisel veriler internette yayımlanmışsa, veri koruma başvurusundan ayrı olarak 5651 sayılı Kanun kapsamında içeriğin çıkarılması ve erişimin engellenmesi yolu da gündeme gelir. İki süreç birbirinin alternatifi değildir; biri yayılmayı durdurmayı, diğeri sorumluluğu belirlemeyi amaçlar.
İhlal Sonrası Kalıcı Düzen
Dosya kapandıktan sonra yapılması gereken, aynı senaryonun tekrarını imkânsız kılacak yapıyı kurmaktır: yetki devirlerinin gözden geçirilmesi, ayrıcalıklı hesapların azaltılması, kayıtların merkezî toplanması ve düzenli tatbikat.
Yukarıdaki çerçeve genel bir yol haritasıdır; sektöre, işlenen veri türüne ve şirket yapısına göre yükümlülükler değişir. Bildirim ve itiraz sürelerinin somut hesabı için hukuki destek almanız, geri dönüşü olmayan gecikmelerin önüne geçer.