Bir veri ihlali bildiriminin ardından veri sorumlusu hakkında idari yaptırım uygulanabilir. Yaptırım kararının hukuka uygunluğunun tartışılacağı yer ile bu tartışmada sunulacak teknik kayıtlar, sonucu belirleyen iki unsurdur. Bu rehber ikisini birlikte ele alır.
Karar Metninden Başlayın
KVKK kapsamında verilen idari yaptırım kararlarına karşı başvurulacak kanun yolu ve süresi, kararın tebliğ edilen metninde gösterilir. İlk yapılması gereken, bu bölümün dikkatle okunması ve tebliğ tarihinin kayda geçirilmesidir. Kanun yolu bilgisi ile süre, kararın verildiği tarihe göre değil tebliğ tarihine göre işlediğinden, tebligat parçasının saklanması gerekir. Kanun yoluna ilişkin düzenlemeler zaman içinde değiştiği için, eski dosyalardaki uygulamayı örnek almak hatalı sonuç verir.
İhlalin Kendisi ile Yaptırımın Ayrımı
Savunma kurulurken iki ayrı soru vardır: veri ihlali gerçekten meydana gelmiş midir ve meydana geldiyse veri sorumlusunun yükümlülükleri bakımından kusur nerededir? İkinci soru, teknik ve idari tedbirlerin ihlal anında hangi düzeyde bulunduğuyla ilgilidir. Bildirim yükümlülüğünün süresinde yerine getirilip getirilmediği ayrıca değerlendirilir.
Kayıt Eksikliği En Büyük Risk
Bu dosyalarda savunmayı zayıflatan şey, tedbirlerin alındığının iddia edilmesine rağmen belgelenememesidir. Dosyaya girmesi beklenen unsurlar:
- Kişisel veri işleme envanteri ve saklama imha politikası
- Erişim yetkilendirme matrisi ve yetki değişiklik kayıtları
- Sistem günlükleri ile ihlal anına ait olay inceleme raporu
- Veri işleyenlerle imzalanmış sözleşmeler ve denetim kayıtları
- Çalışanlara verilen farkındalık eğitimlerinin belgesi
- İlgili kişilere yapılan bilgilendirmenin içeriği ve tarihi
Zincirin Zayıf Halkası: Veri İşleyen
İhlal, hizmet alınan bir tedarikçinin sisteminde gerçekleşmiş olabilir. Bu durumda sorumluluğun paylaşımı, taraflar arasındaki sözleşmenin veri koruma hükümlerine ve fiilî yetki dağılımına göre değerlendirilir. Sözleşmede bu hükümlerin hiç bulunmaması, veri sorumlusu bakımından savunmayı güçleştirir.
İlgili Kişi Talepleriyle Eşgüdüm
Yaptırım süreci devam ederken ilgili kişilerden gelen başvurular da yasal süreleri içinde yanıtlanmalıdır. Bu başvurulara verilen yanıtların tutarlılığı, aynı olaya ilişkin diğer dosyalarda da dikkate alınır; farklı kişilere farklı içerikte yanıt verilmesi ek tartışma doğurur.
Bu yazı genel bir çerçeve sunar; kararın gerekçesi, kurum yapısı ve teknik altyapı sonucu değiştirir. Süreye bağlı bir başvuru söz konusu olduğundan, karar tebliğ edildiğinde vakit kaybetmeden hukuki değerlendirme alınması önerilir.