Bir veri ihlali yaşandığında veri sorumlusunun gündemine iki ayrı süreç aynı anda girer: ihlalin teknik olarak giderilmesi ve idari yaptırım riskinin yönetilmesi. 6698 sayılı KVKK veri güvenliğine ilişkin yükümlülükleri ve yaptırım rejimini, 5651 sayılı Kanun ise içerik ve erişim boyutunu düzenler. Bu rehber, ihlal bildiriminden ceza kararına uzanan zincirde savunmanın nasıl kurulacağına odaklanır.
Bildirim ile Yaptırım Arasındaki Bağ
Veri ihlalinin ilgili kişilere ve Kurula bildirilmesi bir yükümlülüktür ve bildirimin gecikmesi başlı başına bir tartışma konusudur. Bildirimde kullanılan ifadeler sonraki savunmayı doğrudan etkiler: ihlalin kapsamı olduğundan geniş ya da dar anlatıldığında, sonradan yapılan açıklamalar tutarsız görünür. Bu nedenle bildirim metni teknik ekiple birlikte, tespit edilmiş bulgulara dayanılarak hazırlanmalı; henüz doğrulanmamış varsayımlar kesin ifadelerle yazılmamalıdır.
Savunma İstemine Cevap Aşaması
Yaptırım kararından önce genellikle savunma istenir ve bu aşama, sürecin en çok değer üreten adımıdır. Cevap yazısında yalnızca iyi niyet beyanı yeterli olmaz; ihlal öncesinde alınmış teknik ve idari tedbirlerin tarihli belgelerle gösterilmesi gerekir. Erişim yetkilendirme kayıtları, log tutma düzeni, sızma testi ve denetim raporları, çalışan eğitimleri ve envanter çalışmaları bu belgelerin başında gelir. Tedbir sonradan alınmışsa bu da ayrıca belirtilmeli, ancak ihlal öncesi ile sonrası birbirine karıştırılmamalıdır.
Usule Aykırı İşlem İddiasını Somutlaştırmak
- Savunma hakkı için verilen sürenin usulüne uygun tanınıp tanınmadığı
- Tebligatın doğru adrese ve yetkili kişiye yapılıp yapılmadığı
- Kararın gerekçesinde hangi bulguya dayanıldığının açıkça gösterilip gösterilmediği
- Aynı fiil için birden fazla yaptırım uygulanıp uygulanmadığı
Bu iddialar genel ifadelerle değil, dosyadaki belge ve tarihlerle eşleştirilerek ileri sürülmelidir.
İtiraz Merciini Doğru Belirlemek
İdari para cezasına karşı başvurulacak merci ve süre, kararın dayanağına ve yürürlükteki düzenlemeye göre farklılık gösterebilir. Bu nedenle karar metninde yer alan başvuru yolu ve süre bilgisi esas alınmalı, tereddüt halinde güncel mevzuat kontrol edilmelidir. Yanlış mercie yapılan başvuru, dosyanın devri sırasında zaman kaybına ve bazı hallerde süre sorununa yol açar. Başvuru tarihinin ispatlanabilir bir kanaldan yapılması bu riski azaltır.
İhlal Sonrası Dosya Düzeni
İhlalin tespit edildiği an, alınan acil tedbirler, bilgilendirilen kişiler ve yapılan bildirimler tek bir zaman çizelgesinde tutulmalıdır. Bu çizelge hem savunmanın hem de olası tazminat taleplerine karşı yapılacak açıklamaların ortak dayanağıdır. Kayıtların sonradan üretilmiş görünmemesi için sistem üzerinde otomatik tutulan loglara öncelik verilmelidir.
Buradaki bilgiler genel çerçeve sunmak içindir. İhlalin kapsamı, işlenen verinin niteliği ve kurumun yapısı sonucu etkileyebileceğinden, savunma ve itiraz planının dosya özelinde oluşturulması gerekir.