Bir veri ihlalinde yaptırımın ağırlığını belirleyen şey, çoğu zaman ihlalin kendisi değil, ihlalden sonraki ilk günlerde atılan adımlardır. 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlusunun bildirim yükümlülüğü, teknik müdahaleyle eşzamanlı işleyen bir hukuki süreçtir. Bu rehber, ihlal anından idari para cezasına itiraza kadar olan zinciri ele alır.
İhlal Anı Nasıl Belirlenir
Bildirim süresinin başlangıcı, ihlalin gerçekleştiği an değil veri sorumlusunun ihlali öğrendiği andır. Bu nedenle olay müdahale kayıtlarında öğrenme anının saat bilgisiyle tespit edilmesi gerekir. Kim, hangi kanaldan, ne zaman haberdar oldu sorusu sonradan yeniden kurgulanamaz; bu yüzden ilk uyarının geldiği e-posta, izleme sistemi alarmı veya çalışan bildirimi ham haliyle saklanmalıdır.
Üç Yönlü Bildirim Yükümlülüğü
- Kurula bildirim: Kurul tarafından belirlenen usul ve süre içinde, ihlal bildirim formu üzerinden yapılır.
- İlgili kişilere bildirim: Etkilenen kişilere makul en kısa sürede, anlaşılır bir dille yapılır.
- Sektörel bildirimler: Faaliyet alanına göre başka bir düzenleyici kuruma bildirim yükümlülüğü de doğabilir.
Eksik veya sürekli revize edilen bildirimler, iyi niyetli davranıldığını göstermek yerine sürecin yönetilemediği izlenimi doğurur. Bilinmeyen hususların bilinmediğini açıkça belirten, sonradan tamamlanacağı ifade edilen bir ilk bildirim daha güvenlidir.
Cezanın Ağırlığını Etkileyen Unsurlar
- İhlalin kapsamı: etkilenen kişi sayısı ve verinin niteliği (özel nitelikli veri var mı?)
- Alınan teknik ve idari tedbirlerin ihlalden önce belgelenmiş olup olmadığı
- Şifreleme, erişim kaydı ve yetki matrisi gibi kontrollerin fiilen uygulanıp uygulanmadığı
- Bildirim yükümlülüğünün süresinde yerine getirilip getirilmediği
- İhlalin tekrar etmesini önleyecek düzeltici adımların hız ve niteliği
VERBİS kaydı, aydınlatma metinleri, açık rıza süreçleri ve veri işleyenlerle yapılan sözleşmelerin ihlal tarihinden önce güncel olması, denetimde en çok sorulan konudur. İhlal sonrasında geriye dönük düzenlenen belgeler ise ayrı bir risk doğurur.
İdari Para Cezasına İtirazda En Sık Yapılan Hata
Cezaya itirazda kritik soru, başvurunun hangi yargı koluna yapılacağıdır. Bu konudaki düzenleme geçmişte değişikliğe uğradığından, eski tarihli kaynaklara dayanarak başvuru yapılması yanlış merciye gitme ve süre kaybı riski doğurur. Güvenli yöntem, tebliğ edilen karar metnindeki kanun yolu bildirimini esas almak ve süreyi tebliğ tarihinden itibaren hesaplamaktır. Kanun yolu bildiriminin hiç yapılmamış olması ise ayrıca ileri sürülebilecek bir husustur.
İhlalin Yayın Boyutu Varsa
Sızan veriler internet ortamında yayımlanmışsa, 5651 sayılı Kanun kapsamında içeriğin çıkarılması ve erişimin engellenmesi talebi paralel olarak gündeme gelir. Bu talep, idari süreçten bağımsızdır ve ilgili kişiler bakımından ayrıca kullanılabilir. Veri sorumlusunun bu yola başvurması, zararı azaltma yönündeki çabanın belgesi olarak da değer taşır.
Veri ihlallerinde ilk 72 saatlik pencere hem teknik hem hukuki olarak belirleyicidir. Bu metin genel bilgilendirme amacı taşır; kendi olayınızda bildirim yükümlülüğünün kapsamını ve itiraz merciini, karar tebliğ edilir edilmez bir hukukçuyla teyit etmeniz gerekir.