Veri ihlali bildirimiyle başlayan süreç, çoğu zaman Kişisel Verileri Koruma Kurulu'nun idari para cezası kararıyla sonuçlanır. Bu noktada kritik soru, cezanın haklı olup olmadığından önce şudur: karara karşı nereye, ne kadar süre içinde başvurulacak? Yanlış merciye yapılan başvuru, süre işlemeye devam ettiği için çoğu zaman telafisi olmayan bir kayba dönüşür.
İhlal bildiriminden ceza kararına giden hat
6698 sayılı Kanun kapsamında veri sorumlusu, işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde durumu ilgili kişiye ve Kurul'a bildirmekle yükümlüdür. Bildirimin gecikmesi ya da hiç yapılmaması, incelemenin kapsamını genişletir. Kurul, teknik ve idari tedbirlerin yeterliliğini değerlendirir; eksiklik tespit ederse veri güvenliğine ilişkin yükümlülük ihlali üzerinden idari yaptırım uygular. Bu nedenle savunma, cezaya itiraz aşamasında değil bildirim aşamasında şekillenmeye başlar.
Cezaya itirazda merci sorunu
Kurul kararlarına karşı başvurulacak yargı yolu, geçmişte sulh ceza hâkimliği ile idare mahkemesi arasında tartışılmıştır. 6698 sayılı Kanun'da yapılan değişiklikle idari yargı yolu benimsenmiş olmakla birlikte, uygulamada eski tarihli kararlara ilişkin farklı yönlendirmelerle karşılaşmak mümkündür. Bu yüzden pratik kural nettir: tebliğ edilen karar metninin sonundaki başvuru yolu ve süre bilgisi mutlaka okunmalı, tereddüt hâlinde süreyi kısa olan yola göre planlanmalıdır. Karar metninde belirtilenden farklı bir yol izlenecekse, gerekçesi baştan hazırlanmalıdır.
Süreyi başlatan an: tebliğ
- Süre, kararın öğrenilmesiyle değil usulüne uygun tebliğiyle başlar.
- Elektronik tebligat kullanılan kurumlarda, sisteme düşme tarihi ile okunma tarihi farklı olabilir; hesaplama tebligat mevzuatındaki kurala göre yapılır.
- Şirket içinde tebligatı teslim alan kişi ile dosyayı takip eden birim arasındaki iletişim kopukluğu, en sık rastlanan süre kaybı sebebidir.
- Adli tatil, idari yargıda çalışmaya ara verme dönemi olarak ayrıca hesaba katılmalıdır.
Dilekçede ne tartışılmalı?
- Yetki ve usul: İncelemenin kapsamı, savunma hakkının tanınıp tanınmadığı, ek süre taleplerinin karşılanıp karşılanmadığı.
- Sıfat: İlgili kuruluşun veri sorumlusu mu yoksa veri işleyen mi olduğu; bu ayrım yükümlülüğün muhatabını değiştirir.
- Tedbirlerin yeterliliği: İhlal tarihinde yürürlükte olan teknik ve idari tedbirlerin belgelenmesi.
- Ölçülülük: Ceza miktarının belirlenmesinde etkili olan unsurların somut olayla ilişkisi.
Dosyaya delil olarak ne konur?
Sonradan üretilmiş belgeler ikna edici olmaz. İhlal tarihinden önceki veri envanteri, saklama ve imha politikası, erişim yetkilendirme matrisi, sızma testi raporları, personel eğitim kayıtları ve olay müdahale planı; tarihleri doğrulanabilir hâlde sunulduğunda değer taşır. Aynı şekilde, ihlal sonrası alınan aksiyonların kronolojisi de zararı sınırlama çabasını gösterir.
Kaçınılması gereken usul hataları
Kurul yazışmalarına verilen cevapların birbiriyle çelişmesi, ilgili kişi başvurularının süresinde yanıtlanmaması ve ihlal bildiriminde eksik beyanda bulunulması; itiraz aşamasında en çok zorlayan üç noktadır. Bu belgeler dosyanın parçası hâline geldiğinden, sonradan değiştirilmesi mümkün değildir.
Yukarıdaki değerlendirmeler genel niteliktedir. Kurum yapısı, ihlalin kapsamı ve kararın tarihi izlenecek yolu etkilediğinden, süre kısa olduğu için karar tebliğ alınır alınmaz hukuki değerlendirmeye başlanması yerinde olur.