Bir kurumun tuttuğu kişisel verilerin izinsiz ele geçirilmesi, yalnızca teknik bir sorun değil, hukuki yükümlülükler doğuran bir olaydır. Bu rehber, veri ihlali sonrası gündeme gelen idari para cezası ve bildirim sürecini ele alır.
İhlalin Fark Edilmesinden Sonra
Veri sorumlusu, bir ihlali öğrendiğinde makul sürede harekete geçmekle yükümlüdür. 6698 sayılı KVKK çerçevesinde, ihlalin niteliğine göre hem denetim otoritesine bildirim hem de etkilenen kişilere bilgilendirme gündeme gelebilir. Bu bildirimin gecikmesi, olayın kendisinden bağımsız olarak ayrı bir sorumluluk kaynağı olabilir.
İdari Para Cezasının Zemini
- Yeterli teknik ve idari tedbirlerin alınmamış olması, değerlendirmede öne çıkar.
- Bildirim yükümlülüğüne uyulup uyulmadığı ayrı bir başlık oluşturur.
- İhlalin kapsamı, etkilenen kişi sayısı ve verinin niteliği ölçütler arasındadır.
Cezaya İtiraz Yolu
Kurul tarafından verilen idari para cezasına karşı belirli bir süre içinde itiraz edilebilir. Bu süre hak düşürücü niteliktedir ve kararın tebliğ tarihiyle başlar. İtirazda; alınan tedbirlerin somut olarak belgelenmesi, ihlale verilen yanıtın hız ve yeterliliği ve orantılılık argümanları öne çıkar. Kararın gerekçesini doğrudan hedef alan bir kurgu, genel itirazlardan daha etkili olur.
Etkilenen Kişilerin Hakları
Veri ihlali yalnızca kurumu değil, verisi sızan kişileri de ilgilendirir. 5651 sayılı Kanun kapsamındaki içerik ve erişim boyutuyla, KVKK kapsamındaki başvuru hakkı bir arada değerlendirilebilir. Kurumun bildirim yaptığı kişiler, kendi verileri bakımından ayrıca başvuruda bulunma imkânına sahiptir.
Değerlendirme
İhlalin kapsamı, alınan tedbirler ve bildirim süreci her olayda farklı sonuç doğurur. Bu içerik genel bilgilendirme amaçlıdır. Bildirim ve itiraz sürelerinin kaçırılmaması için, olayı erken aşamada bir hukuk profesyoneliyle değerlendirmeniz önerilir.