Bir veri ihlali yaşandığında idari para cezası riskini belirleyen şey çoğu zaman ihlalin büyüklüğü değil, veri sorumlusunun ihlali fark ettiği andan itibaren tuttuğu kayıtlardır. 6698 sayılı KVKK kapsamında yürütülen incelemelerde en zayıf dosyalar, teknik ve idari tedbirlerin alındığını iddia eden ancak bunu tarihli hiçbir belgeyle gösteremeyen dosyalardır.
İhlal Anından Bildirime Kadar Geçen Süreyi Belgelemek
KVKK, ihlalin öğrenilmesi halinde Kurula ve ilgili kişilere bildirim yapılmasını öngörür. Burada tartışmalı olan nokta genellikle öğrenme anının ne zaman gerçekleştiğidir. Log kayıtlarında ilk anormalliğin görüldüğü zaman ile yönetime raporlandığı zaman arasındaki fark belgelenmemişse, bildirimin geciktiği değerlendirmesi kolaylaşır. Bu nedenle olay müdahale sürecinin her adımı, saat bilgisiyle ve kimin karar verdiği belirtilerek yazılı hale getirilmelidir.
İncelemede İstenmesi Muhtemel Belgeler
- Kişisel veri işleme envanteri ve saklama-imha politikası
- Erişim yetkilendirme matrisi ve yetki değişikliği kayıtları
- Sızma testi, güvenlik taraması ve yama uygulama raporları
- Veri işleyenlerle imzalanmış sözleşmeler ve denetim kayıtları
- Çalışanlara verilen farkındalık eğitimlerinin tarihli kayıtları
- İhlal sonrası alınan düzeltici önlemlerin uygulanma belgeleri
İhlalin Kapsamını Küçük Göstermenin Bedeli
Etkilenen kişi sayısının veya veri kategorisinin ilk bildirimde eksik beyan edilmesi, sonradan düzeltildiğinde dosyanın bütününe yönelik güveni zedeler. Özel nitelikli veri içeren ihlallerde kapsamın sonradan genişlemesi ayrıca ağırlaştırıcı bir unsur olarak değerlendirilebilir. Kapsam belirsizse, belirsizliğin kendisini bildirimde açıkça yazmak, sonradan düzeltme yapmaktan daha güvenlidir.
Cezaya İtirazda Merci ve Süre Sorunu
İdari para cezasına karşı hangi mercie başvurulacağı konusunda uygulamada tereddüt yaşanabilmektedir. Bu nedenle tebliğ edilen karar metnindeki başvuru yolu bilgisi ile güncel yargı uygulaması birlikte kontrol edilmeli, süre işlerken yanlış mercie yapılan başvurunun hak kaybı doğurabileceği unutulmamalıdır. Tebliğ tarihini gösteren zarf veya elektronik tebligat kaydı mutlaka saklanmalıdır.
Kısa Kontrol Listesi
- Olay müdahale kayıtları saat bilgisiyle tutuldu mu?
- Bildirim metninde kapsam, etkilenen veri kategorileri ve alınan önlemler yer alıyor mu?
- İlgili kişilere yapılan duyurunun ulaştığı belgelenebiliyor mu?
- İhlal aynı zamanda 5651 kapsamında bir içerik sorunu doğuruyor mu?
- Tebligat tarihi ve itiraz takvimi tek bir yerde izleniyor mu?
Yukarıdaki başlıklar yol gösterici bir çerçevedir; her kurumun veri işleme yapısı farklı olduğundan, incelemeye konu olayda profesyonel destekle hareket edilmesi önerilir.