Kişisel verilerin hukuka aykırı biçimde başkaları tarafından elde edilmesi, veri sorumlusu için iki ayrı sorumluluk doğurur: ihlalin giderilmesi ve bildirim yükümlülüğünün yerine getirilmesi. 6698 sayılı KVKK kapsamında yapılan denetimlerde ceza doğuran hâllerin önemli bir bölümü, ihlalin kendisinden çok bildirimin gecikmesi ya da hiç yapılmamasıdır. Bu nedenle ihlalin fark edildiği ilk saatler, hukuki sonucu belirler.
İhlalin Tespitinden Bildirime
Veri sorumlusu, ihlali öğrendiğinde durumu en kısa sürede Kurula bildirmekle yükümlüdür; ilgili kişilere yönelik bilgilendirme de ayrıca yapılır. Bildirim yazısında ihlalin ne zaman gerçekleştiği, hangi veri kategorilerinin etkilendiği, kaç kişinin etkilendiği ve alınan tedbirler yer alır. Etkilenen kişi sayısı ilk aşamada net değilse, tahmini bilgiyle bildirim yapılıp sonradan güncellenmesi, hiç bildirmemekten daha az riskli bir tercihtir.
İç Soruşturmanın Kurgusu
Ceza riskini azaltan asıl unsur, ihlal öncesinde ve sonrasında alınan teknik ve idari tedbirlerin belgelenmesidir. Şu kayıtlar dosyanın omurgasını oluşturur:
- Erişim yetkilendirme matrisi ve log kayıtları
- Veri envanteri ve saklama-imha politikası
- Çalışanlara verilen farkındalık eğitimlerinin kayıtları
- İhlal sonrası uygulanan müdahale adımlarının zaman çizelgesi
- Varsa veri işleyenlerle imzalanmış sözleşmeler
Bu belgeler sonradan üretilemeyeceğinden, uyum çalışması ihlal anına kadar tamamlanmış olmalıdır.
İdari Yaptırım Kararına Karşı Kanun Yolu
Kurul tarafından verilen idari para cezasına karşı başvurulacak merci ve süre, KVKK'nın ilgili hükmü ile bu konudaki güncel düzenlemeye göre belirlenir. Bu alanda mevzuat değişikliği yaşandığından, karar tebliğ edildiğinde kararın kendi bildirim metninde gösterilen kanun yolu ve süre bilgisi esas alınmalı, tereddüt hâlinde yürürlükteki kanun metni doğrudan kontrol edilmelidir. Yanlış yargı koluna yapılan başvuru, süre dolduktan sonra düzeltilemeyen bir hak kaybına dönüşür. Tebliğ tarihinin kayda geçirilmesi, tüm hesabın başlangıç noktasıdır.
İlgili Kişi Başvurularının Paralel Yükü
İhlalden etkilenen kişiler, veri sorumlusuna başvurma ve yanıt alamamaları hâlinde Kurula şikâyette bulunma hakkına sahiptir. Bu başvuruların yanıtlanması ayrı bir takvim gerektirir; yoğun ihlallerde toplu yanıt şablonu hazırlanması ve her başvurunun kayıt altına alınması gerekir. Aynı olay nedeniyle 5651 kapsamında içerik kaldırma talepleri de gelebilir; bu talepler veri koruma sürecinden bağımsız işler.
Tazminat ve Ceza Boyutunun Ayrılması
İdari para cezası, ilgili kişilerin tazminat talebini ortadan kaldırmaz; kişilik hakkı ihlali nedeniyle açılacak davalar ayrı yürür. Verilerin hukuka aykırı olarak ele geçirilmesi ayrıca ceza soruşturmasına konu olabilir. Üç kanalın birbirini etkileyen beyanlar doğurmaması için, kurumun tüm yazışmalarında tutarlı bir olay anlatımı benimsenmelidir.
Bu içerik genel bilgilendirme niteliğindedir. Kurumunuzun veri işleme yapısı ve ihlalin kapsamı sonucu belirleyeceğinden, bildirim öncesinde hukuki değerlendirme almanız yerinde olur.