Bir veri ihlalinin ardından süreç iki koldan ilerler: Kurul'a yapılacak bildirim ve ihlalin sonucunda gelebilecek idari yaptırıma karşı savunma. Veri sorumlusu açısından belirleyici olan, hangi aşamada hangi mercie ne kadar süre içinde başvurulacağıdır.
Bildirim Yükümlülüğü: Sayaç Öğrenme Anında Başlar
KVKK, işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde veri sorumlusuna en kısa sürede Kurul'a ve ilgili kişilere bildirim yükümlülüğü getirir. Kurul, bu ifadeyi somutlaştırarak ihlalin öğrenilmesinden itibaren yetmiş iki saatlik bir bildirim penceresi öngörmüştür. Gecikme halinde gecikmenin gerekçesinin açıklanması gerekir; bu gerekçe, sonraki yaptırım değerlendirmesinde de dikkate alınır.
Yaptırım Kararına Karşı Yargı Yolu
Kurul'un idari para cezasına karşı başvurulacak merci konusunda mevzuatta değişiklik yapılmış, bu tür kararların iptali istemli davaların idare mahkemesinde görülmesi öngörülmüştür. Eski uygulamaya göre hazırlanmış şablon dilekçelerle sulh ceza hâkimliğine yapılan başvurular, dosyanın görev yönünden reddine ve değerli günlerin kaybına yol açar. Dava süresi bakımından İYUK'un genel dava açma süresi ve dava dilekçesinde aranan zorunlu unsurlar dikkate alınmalıdır.
Tebligat Gecikmesinin Doğurduğu Sonuç
- Kurul yazışmaları çoğunlukla elektronik tebligat üzerinden yapılır; KEP kutusunu düzenli kontrol etmeyen şirketlerde süre, kimse okumadan işlemeye devam eder.
- Elektronik tebligatta okunma değil, mevzuattaki süre sonunda oluşan tebliğ karinesi esas alınır.
- Şirket içinde KEP erişimi tek kişiye bağlıysa, o kişinin izinli olduğu dönem doğrudan hak kaybı riskidir.
- Veri sorumlusu temsilcisi ile hukuk biriminin adres bilgileri farklıysa, yazının doğru birime ulaşması gecikebilir.
Savunma Dosyasının Kurgusu
- İhlalin kapsamı: etkilenen kayıt sayısı, veri kategorileri ve özel nitelikli veri bulunup bulunmadığı belirlenir.
- Alınan teknik ve idari tedbirlerin ihlalden önce yürürlükte olduğu belgelerle gösterilir.
- İhlal sonrası müdahale zaman çizelgesi dakikasıyla çıkarılır.
- İlgili kişilere yapılan bilgilendirmenin içeriği ve tarihi arşivlenir.
- VERBİS kaydı, saklama ve imha politikası ile envanterin güncelliği kontrol edilir.
Veri ihlali dosyalarında savunmanın gücü, çoğu zaman ihlalden önce oluşturulmuş belgelerin varlığına bağlıdır. Kurum içi süreçlerinizi gözden geçirirken ve yaptırım kararına itiraz ederken hukuki destek almanız yerinde olur. Bu metin genel bilgilendirme amacıyla hazırlanmıştır.