Bir veri ihlali yaşandığında veri sorumlusunun karşılaştığı ilk mesele teknik değil, usulidir: kime, ne zaman ve hangi içerikle bildirim yapılacağı. Bu rehber, ihlal bildirimi sürecini, sonrasında gündeme gelebilecek idari para cezasına karşı başvuru yolunu ve tebligatın geç fark edilmesinin doğurduğu süre riskini ele alır.
İhlalin Tespiti ve Bildirim Yükümlülüğü
6698 sayılı Kişisel Verilerin Korunması Kanunu, işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde veri sorumlusuna bildirim yükümlülüğü getirir. Bildirim iki yönlüdür: Kurula ve ilgili kişilere. Bildirimin en kısa sürede yapılması esastır ve gecikme, ceza değerlendirmesinde başlı başına bir unsur olarak öne çıkar. Bu nedenle ihlalin tespit edildiği an tutanakla kayıt altına alınmalı, hangi veri kategorilerinin ve yaklaşık kaç kişinin etkilendiği hızla belirlenmelidir.
İhlal Dosyasında Bulunması Gerekenler
- Olayın kronolojisi: tespit anı, alınan ilk önlem ve sistemin kapatıldığı zaman
- Etkilenen veri kategorileri ve ilgili kişi sayısına ilişkin tahmin ve dayanağı
- Alınan teknik ve idari tedbirlerin ihlal öncesi ve sonrası hali
- Veri işleyenlerle yapılan sözleşmeler ve sorumluluk paylaşımı
- İlgili kişilere yapılan bilgilendirmenin metni ve gönderim kayıtları
İdari Para Cezasına Karşı Başvuru
Kurul incelemesi sonunda idari para cezası uygulanabilir. Bu cezalara karşı başvurulacak yargı yolu konusunda mevzuatta değişiklik yapıldığından, hangi merciye gidileceği kararın verildiği tarihteki düzenlemeye göre belirlenir. En güvenli yöntem, karar metninin sonunda yer alan başvuru yolu ve süre bilgisini esas almak, tereddüt halinde en kısa süreyi dikkate alarak takvim kurmaktır. Başvuru dilekçesinde ise cezanın miktarından önce, ihlalin varlığına ve kusur değerlendirmesine ilişkin itirazlar öne çıkarılmalıdır.
Tebligat Gecikmesi Neden Kritiktir
Kurum yazışmaları çoğunlukla elektronik tebligat üzerinden yürür. Elektronik tebligatta bildirimin erişime açıldığı andan itibaren belirli bir süre sonunda tebliğ edilmiş sayılması kuralı, kurumsal e-posta ve tebligat kutusunun düzenli izlenmemesi halinde doğrudan süre kaybına dönüşür. Şirket içinde bu kutuyu kimin takip edeceği yazılı olarak belirlenmeli, personel değişikliğinde yetki devri gecikmeden yapılmalı, gelen her bildirim aynı gün hukuk birimine iletilmelidir. Kararın geç öğrenildiği ileri sürülecekse, sistem kayıtları ve erişim logları saklanmalıdır.
Kesişen Sorumluluk Alanları
Veri ihlali yalnızca idari yaptırım doğurmaz. İlgili kişilerin tazminat talepleri, sözleşmesel sorumluluk ve içerik internet ortamında yayıldıysa 5651 sayılı Kanun kapsamındaki kaldırma başvuruları eş zamanlı gündeme gelebilir. Bu hatlar farklı takvimlerle yürüdüğü için tek bir çizelgede izlenmelidir.
Yukarıdaki çerçeve genel bilgilendirme amaçlıdır; her ihlalin kapsamı ve veri kategorisi farklı yükümlülük doğurur. Bildirim metnini göndermeden önce hukuki değerlendirme almanız, sonraki aşamalarda lehinize olacaktır.