Kişisel veri ihlali yaşayan bir veri sorumlusu için asıl kriz çoğu zaman ihlalin kendisi değil, sonrasında gelen idari yaptırım sürecidir. Kurul kararı elinize ulaştığında geriye dönük savunma alanı daralmıştır ve atılacak ilk adımın yönü dosyanın kaderini belirler. Bu rehber, veri ihlali kaynaklı idari para cezalarında başvuru adımlarını, en pahalı hata olan yanlış merciye başvurma riskini merkeze alarak ele alıyor.
İhlal bildiriminden yaptırım kararına giden zincir
KVKK ve 6698 sayılı Kanun çerçevesinde veri sorumlusundan, ihlali öğrendiği andan itibaren gecikmeksizin Kurula bildirimde bulunması ve etkilenen ilgili kişileri bilgilendirmesi beklenir. Uygulamada ceza kararının gerekçesi çoğu kez ihlalin varlığından değil, bildirimin geç ya da eksik yapılmasından, teknik ve idari tedbirlerin belgelenememesinden doğar. Bu nedenle itiraz metni yazılmadan önce kararın hangi yükümlülüğe dayandığı ayrıştırılmalıdır: bildirim yükümlülüğü mü, veri güvenliğine ilişkin tedbir yükümlülüğü mü, yoksa ikisi birden mi?
Kararı hangi merci denetler?
En sık görülen ve en maliyetli hata, Kurul kararına karşı alışkanlıkla sulh ceza hâkimliğine gidilmesidir. Kabahat niteliğindeki birçok idari para cezasında sulh ceza yolu işlese de, kişisel verilerin korunması mevzuatında Kurul kararlarının denetimine ilişkin özel bir düzenleme bulunur ve bu düzenleme idari yargıyı işaret eder. Yanlış mercie yapılan başvuru görev yönünden reddedilirken süre işlemeye devam eder; doğru mercie dönüldüğünde başvuru süresi tükenmiş olabilir. Riski sıfırlamanın en pratik yolu, tebliğ edilen karar metnindeki kanun yolu bildirimini kelimesi kelimesine okumak ve tebliğ tarihini aynı gün kayda geçirmektir.
Dilekçede kurulması gereken savunma eksenleri
- Sıfat ve kapsam: işlemin gerçekten veri sorumlusu sıfatıyla mı yoksa veri işleyen sıfatıyla mı yapıldığı
- Bildirim zamanı: ihlalin öğrenildiği anın hangi kayıtla sabitlendiği ve bu anın nasıl belirlendiği
- Tedbir savunması: ihlal öncesinde alınmış teknik ve idari tedbirlerin varlığı ve tarih damgalı belgeleri
- Ölçülülük: etkilenen kişi sayısı, veri kategorisi ve fiilî zararın ceza miktarıyla ilişkisi
- Usul denetimi: savunma isteme yazısının usulüne uygun tebliğ edilip edilmediği
Teknik dosyanın ispat değeri
Veri ihlali dosyalarında savunmanın gövdesi hukuki değil tekniktir. Olay müdahale kayıtları, log kayıtları, yetki matrisi, sızma testi raporları ve VERBİS kayıtları itiraz ekine ham hâliyle değil, tarih sırasına dizilmiş bir kronoloji tablosuyla birlikte sunulduğunda anlaşılır olur. Sonradan üretildiği izlenimi doğuran belgeler savunmayı güçlendirmek yerine zayıflatır; bu nedenle her belgenin oluşturulma tarihi ve kaynağı ayrıca not edilmelidir.
Süre disiplini
Başvuru süresi tebliğ tarihinden işlemeye başlar ve bu tarihin tespiti tartışmalıysa tebligat evrakının kendisi ayrıca incelenmelidir. Elektronik tebligat kullanılan hâllerde okunma anı ile tebliğ anının ayrı kavramlar olduğu unutulmamalıdır. Dilekçe son güne bırakılmamalı, en az bir hafta öncesinden teknik ek listesi tamamlanmalıdır.
Buradaki değerlendirmeler genel nitelikte olup her ihlal dosyasının teknik altyapısı ve belge durumu farklıdır. Kendi olayınıza ilişkin adım atmadan önce dosyanızı bütün olarak inceleyen bir hukukçuyla çalışmanız yerinde olur.