Bir veri ihlali yaşandığında veri sorumlusunun karşılaştığı asıl risk, olayın kendisinden çok sonrasında atılan adımların zamanlaması ve belgelenme biçimidir. KVKK ve 6698 sayılı Kanun ile 5651 sayılı Kanun'un ilgili hükümleri ekseninde bu rehber, idari para cezası riskini azaltmaya dönük kontrol başlıklarını sıralar.
İhlal Bildiriminde Gecikmenin Ayrı Bir Sorumluluk Doğurması
Kişisel verilerin hukuka aykırı biçimde başkaları tarafından elde edilmesi hâlinde, veri sorumlusunun Kurul'a ve ilgili kişilere bildirim yükümlülüğü doğar. Bu bildirim gecikirse, asıl ihlalden bağımsız olarak ikinci bir aykırılık gündeme gelir. Uygulamada en çok tartışılan nokta, ihlalin öğrenildiği anın ne zaman gerçekleştiğidir; teknik ekibin ilk şüpheyi kaydettiği tarih ile yönetimin bilgilendirildiği tarih arasındaki fark, dosyanın seyrini değiştirebilir.
İhlal Anı Kayıt Altına Alınmalı
- Şüphenin ilk kaydedildiği log ve ticket kayıtları saklanır.
- Etkilenen veri kategorileri ve kişi grupları ayrı ayrı listelenir.
- Alınan acil tedbirler ve uygulanma saatleri yazılı hâle getirilir.
- Bildirim metinleri ve gönderim kayıtları dosyaya eklenir.
- İhlal sonrası yapılan iyileştirmeler tarihleriyle raporlanır.
Teknik ve İdari Tedbirlerin Belgelenmesi
Kanun, veri güvenliğine ilişkin uygun tedbirlerin alınmasını zorunlu tutar. Bir incelemede belirleyici olan, tedbirin fiilen alınmış olmasından çok bunun belgeyle gösterilebilmesidir. Erişim yetki matrisi, log tutma politikası, sızma testi raporları, çalışan gizlilik taahhütleri ve eğitim kayıtları bu belgelendirmenin çekirdeğini oluşturur. Tedbirlerin ihlalden sonra oluşturulmuş izlenimi vermemesi için, sürüm ve tarih bilgilerinin izlenebilir olması önem taşır.
Kurul Kararına Karşı Başvuru Yolu
İdari para cezasına ilişkin karar tebliğ edildiğinde, buna karşı başvuru için kısa ve kesin bir süre işlemeye başlar. Bu aşamada iki hata sık görülür: kararın Kurul'a yeniden değerlendirme talebiyle gönderilerek sürenin tükenmesi ve başvurunun yetkisiz bir mercie yapılması. Karar metninde belirtilen kanun yolu, süresi ve mercii, tebliğ tarihiyle birlikte derhal takvime işlenmelidir.
İlgili Kişi Başvurularını Yönetmek
Veri ihlalinin ardından gelen bireysel başvurular, ayrı bir süre rejimine tabidir. Veri sorumlusunun yanıt vermemesi ya da geç yanıt vermesi, ilgili kişinin Kurul'a şikâyet yolunu açar ve tek bir olaydan çok sayıda dosya doğabilir. Bu nedenle başvuruların kaydı, yanıt sürelerinin izlenmesi ve standart yanıt metinlerinin hazır tutulması, ceza riskini azaltan pratik bir önlemdir. İçeriğin internet ortamında yayılmış olması hâlinde 5651 kapsamındaki kaldırma talepleri de paralel yürütülmelidir.
Bu içerik genel bilgilendirme amaçlıdır. Veri kategorisi, etkilenen kişi sayısı ve sektörel düzenlemeler yükümlülükleri değiştirebileceğinden, ihlal sonrası adımların bir hukukçu ve teknik ekip eşliğinde planlanması gerekir.