Bir veri ihlali yaşandığında veri sorumlusunun karşılaştığı asıl sınav, ihlalin kendisi değil ihlal öncesi ve sonrasında ne yaptığını gösterebilme kapasitesidir. 6698 sayılı KVKK ve ilgili mevzuat ekseninde hazırlanan bu rehber, idari para cezası riskini artıran delil eksikliğini ve bunu azaltacak kontrol adımlarını ele alır.
İhlalin Tespit Anı ve Bildirim
Veri ihlalinin öğrenilmesi hâlinde Kurula ve ilgili kişilere bildirim yapılması gerekir. Bildirim yükümlülüğünün süresi kısa olduğu için, olayın hangi anda öğrenildiğinin kaydedilmesi hayati önemdedir. Uygulamada en sık görülen zayıflık, ihlalin teknik ekip tarafından günler önce fark edilmiş olmasına rağmen kurumsal öğrenme anının belgelenememesidir.
- Olay bildirim kaydı: kim, ne zaman, hangi kanaldan bildirdi.
- Sistem günlükleri ve uyarı kayıtları; bunların ihlal sonrası korunması ayrıca sağlanmalıdır.
- Etkilenen veri kategorileri ve yaklaşık kişi sayısına ilişkin ilk değerlendirme notu.
- Alınan acil önlemler ve uygulanma saatleri.
Kurul İncelemesinde İstenen Kayıtlar
- Veri envanteri ve işleme faaliyetleri kaydı; güncel olmayan envanter, tedbir iddiasını baştan zayıflatır.
- Aydınlatma metinleri ve açık rıza kayıtları; rızanın ne zaman ve hangi metne dayanarak alındığı gösterilebilmelidir.
- Veri işleyenlerle yapılan sözleşmeler ve denetim kayıtları.
- Saklama ve imha politikası ile buna uygun olarak yapılmış imha işlemlerinin kaydı.
- Yurt dışına aktarım varsa buna ilişkin hukuki dayanağın belgelenmesi.
Teknik ve İdari Tedbirlerin İspatı
Mevzuat, veri sorumlusundan uygun güvenlik düzeyini sağlamaya yönelik teknik ve idari tedbirleri almasını bekler. Bu tedbirlerin varlığı, alındıklarına dair kayıt olmadıkça savunmada karşılık bulmaz. Erişim yetki matrisi, düzenli sızma testleri, personel eğitim katılım listeleri ve yedekleme politikası bu kapsamda en çok istenen belgelerdir.
Tedbirlerin tarihinin ihlalden sonra olması, çoğu zaman lehe değil aleyhe okunur. Bu nedenle iyileştirme çalışmaları yapılırken, önceki durumun da belgeyle kayıt altına alınması gerekir.
Ceza Kararına Karşı İtiraz Hazırlığı
İdari para cezasına karşı başvurulacak yol ve süre, kararın tebliğ tarihine bağlıdır. Tebligatın kurum içinde hangi birime ulaştığı ve ne zaman kayda alındığı izlenmelidir; kurumsal yapılarda evrakın gecikmeli dolaşımı, süre kaybının en yaygın sebebidir.
İtiraz dilekçesinde ölçülülük argümanı kullanılacaksa, ihlalin kapsamı, süresi ve etkilenen kişi sayısına dair somut veriler sunulmalıdır. Ayrıca 5651 sayılı Kanun kapsamındaki yayın kaldırma süreçleri gündeme geliyorsa, bunlarla KVKK süreci arasındaki zaman çizelgesi ayrı tutulmalıdır.
Buradaki bilgiler genel bir çerçeve sunar; her ihlalin teknik yapısı ve kurumsal bağlamı farklıdır. Bildirim yapmadan önce sürecin bir hukukçu ile birlikte planlanması yerinde olacaktır.