Bir veri ihlalinde tartışma iki koldan ilerler: ilgili kişinin başvurusu ve kurumun idari yaptırım süreci. Bu iki kol farklı takvimlere ve farklı mercilere tabidir. Veri sorumlusu tarafında en sık yapılan hata, ihlalin teknik olarak kapatılmasını yeterli görmek; ilgili kişi tarafında ise doğrudan şikâyete gitmektir. Her iki hata da usul nedeniyle sonuç alamamaya yol açar.
Şikâyetten önceki zorunlu adım
İlgili kişi, Kurula şikâyette bulunmadan önce veri sorumlusuna başvurmak zorundadır. Bu başvuru yapılmadan yapılan şikâyet, ön koşul eksikliği nedeniyle sonuçsuz kalır. Veri sorumlusunun cevap vermesi gereken süre dolduktan ya da verilen cevap yetersiz bulunduktan sonra, öğrenme tarihinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyet edilebilir. Bu iki sürenin birlikte işlediği gözden kaçarsa, cevap beklenirken hak kullanılamaz hâle gelebilir.
Veri sorumlusunun bildirim yükümlülüğü
- İhlalin öğrenilmesinden itibaren gecikmeksizin Kurula bildirim yapılması beklenir; uygulamada yetmiş iki saatlik bir eşik esas alınmaktadır.
- Etkilenen ilgili kişilere de makul en kısa sürede bilgi verilmesi gerekir.
- Bildirimin gecikmesi, ihlalin kendisinden bağımsız bir yaptırım sebebi olarak değerlendirilebilir.
- İhlal kayıtlarının ve alınan teknik tedbirlerin belgelenmesi, sonraki incelemede savunmanın temelini oluşturur.
Ceza tebliğ edildiğinde kanun yolu
İdari para cezasına karşı hangi mercie başvurulacağı, mevzuatta yapılan değişikliklerle güncellenmiş bir konudur. Bu nedenle kararın tebliğ edildiği anda yapılması gereken ilk iş, karar metninde gösterilen kanun yolu ve süre bilgisini okumak, ardından yürürlükteki hükmü teyit etmektir. Bu alanda süreler kısadır ve başvurunun görevsiz mercie yapılması, sürenin durmasını sağlamaz. Kararın tebliğ tarihini gösteren zarf veya elektronik tebligat kaydı mutlaka saklanmalıdır.
İnceleme sürecinde savunmanın kurgusu
Kurum incelemesinde yalnızca ihlalin gerçekleşip gerçekleşmediği değil, öncesinde alınan tedbirlerin yeterliliği de değerlendirilir. Bu nedenle savunma; yetkilendirme matrisi, erişim kayıtları, saklama ve imha politikası, aydınlatma metinleri ve sözleşmesel güvenlik taahhütleri üzerinden kurulmalıdır. Sonradan üretilmiş izlenimi veren belgeler, savunmayı güçlendirmek yerine zayıflatır.
İhlal fark edildiğinde sıra
- Etkilenen veri kategorileri ve kişi sayısı tespit edilir.
- Bildirim süresi ilk saatlerden itibaren takip edilir.
- Teknik müdahale kayıtları zaman damgalı olarak arşivlenir.
- İlgili kişi başvuruları için tek bir kayıt kanalı işletilir.
Bu metin genel bilgilendirme amacıyla hazırlanmıştır; kurumun yapısı ve işlenen verinin niteliği değerlendirmeyi değiştirir. Ceza kararı tebliğ edildiyse, kanun yolu süresi kısa olduğundan vakit kaybetmeden hukuki değerlendirme yapılmalıdır.