Bir veri ihlalinin ardından gelen idari para cezası, çoğu kurumda hazırlıksız yakalanan bir aşamadır. Oysa cezanın kendisi kadar, cezaya karşı hangi mercie ve hangi süre içinde başvurulacağı da sonucu belirler. KVKK ve 6698 uygulamasında bu noktada yaşanan en somut risk, yanlış yargı yoluna gidilmesi ve bu sırada dava süresinin dolmasıdır.
İhlal Bildiriminin Zamanlaması Cezayı Etkiler
Kişisel verilerin hukuka aykırı biçimde başkalarınca elde edildiğinin anlaşılması hâlinde veri sorumlusu, durumu en kısa sürede Kurula ve ilgili kişilere bildirmekle yükümlüdür. Kurul, bu bildirimin yapılacağı azami süreyi ilke kararıyla belirlemiştir ve gecikmenin gerekçesi ayrıca aranır. Bildirimin geç yapılması, ihlalin kendisinden bağımsız bir yükümlülük ihlali olarak değerlendirilebilir. Bu nedenle olayın fark edildiği an, bir kayıt tutularak dakikası ile birlikte belgelenmelidir.
Savunma Yazısı: Cezadan Önceki En Etkili Aşama
Kurulun bilgi ve belge talebine verilen cevap, dosyanın seyrini belirleyen aşamadır. Burada teknik ve idari tedbirlerin ihlalden önce alınmış olduğunun belgelenmesi gerekir. Erişim yetkilendirme matrisi, log kayıtları, sızma testi raporları, saklama ve imha politikası, veri işleme envanteri ile personel eğitim kayıtları bu kapsamda sunulabilecek somut delillerdir. Genel ifadelerle yazılan savunmalar, tedbirlerin fiilen uygulandığını göstermez. Aynı şekilde ihlalin etkisini sınırlamak için alınan acil önlemler de tarihleriyle birlikte anlatılmalıdır.
Ceza Tebliğ Edildiğinde: Kanun Yolu Bilgisini Okuyun
Kurul tarafından uygulanan idari para cezalarına karşı başvurulacak yargı yolu konusunda mevzuatta değişiklik yapılmıştır. Bu nedenle eski uygulamayı esas alarak dilekçe hazırlamak, dosyanın yargı yolu bakımından reddine yol açabilir. Yapılması gereken ilk iş, ceza tebligatının üzerindeki kanun yolu bilgilendirmesini ve orada gösterilen süreyi okumaktır. Tebliğ tarihi de aynı gün kayıt altına alınmalı; süre hesabı tebliğ evrakı üzerinden yapılmalıdır.
Tahsil Süreci ve Yürütmenin Durdurulması
Dava açılmış olması, tek başına tahsil işlemlerini kendiliğinden durdurmaz. Bu nedenle telafisi güç zarar doğması ihtimali varsa, yürütmenin durdurulması talebinin dilekçede ayrıca ve gerekçelendirilerek ileri sürülmesi gerekir. Talebin dayanağı soyut olmamalı; kurumun nakit akışına, faaliyetin sürekliliğine veya üçüncü kişilerle olan yükümlülüklerine etkisi somut verilerle gösterilmelidir.
Tekrarı Önleyen Uyum Adımları
- Veri işleme envanterinin güncellenmesi ve gereksiz verilerin imhası
- 5651 kapsamındaki log tutma yükümlülükleriyle saklama sürelerinin uyumlanması
- Aydınlatma metinleri ile açık rıza alma akışlarının ayrıştırılması
- Veri işleyenlerle yapılan sözleşmelere güvenlik ve bildirim hükümlerinin eklenmesi
- İhlal müdahale planının yazılı hâle getirilmesi ve tatbik edilmesi
Yukarıdaki bilgiler genel çerçeve sunar; her ihlalin kapsamı, etkilenen kişi sayısı ve veri kategorisi değerlendirmeyi değiştirir. Ceza tebliğ edildiğinde süre kısa işlediğinden, dosyanın gecikmeden bir hukukçuyla ele alınması uygun olur.