KVKK, yani 6698 sayılı Kanun kapsamında bir veri ihlali, veri sorumlusu için tek bir olay değil, birbirini izleyen üç ayrı yükümlülük başlatır: tespit, bildirim ve düzeltici tedbir. Bu üç halkadan herhangi biri geciktiğinde ortaya çıkan sonuç genellikle idari para cezası riskidir. 5651 sayılı Kanun kapsamındaki içerik boyutu da tabloya eklendiğinde, olayın teknik yönetimi ile hukuki yönetimi ayrışmadan yürütülemez.
İhlalin Tespitinden Bildirime Uzanan Zincir
Uygulamada en sık görülen aksaklık, ihlalin bilgi işlem ekibince fark edilmesi ile hukuk ya da uyum biriminin haberdar olması arasında geçen süredir. Bu boşluk, bildirim süresini kendiliğinden tüketir. Bu nedenle olay müdahale prosedüründe bildirim eşiğinin kim tarafından ve hangi kriterle değerlendirileceği yazılı olmalıdır. Kararın kime ait olduğu belirsizse, kimse karar vermez.
Cezaya Giden Yolu Kısaltan Uygulamalar
- İhlalin kapsamı netleşmeden bildirimi tamamen ertelemek
- Etkilenen ilgili kişilere yapılacak bilgilendirmeyi kurum içi iletişimin sonuna bırakmak
- Log kayıtlarının saklama süresini kısa tutup olayın geçmişini yeniden kuramamak
- Veri işleyen sıfatındaki tedarikçilerle sözleşmede bildirim yükümlülüğünü düzenlememek
- Aydınlatma metni ile fiilî veri işleme faaliyetinin birbirini tutmaması
Bildirim Dosyasında Bulunması Gerekenler
- İhlalin türü, başlangıç ve tespit anları ile hangi verilerin etkilendiği
- Etkilenen kişi ve kayıt sayısının tahmini ile bu tahminin dayanağı
- Alınan teknik ve idari tedbirler, erişim kısıtlaması ve şifre yenileme adımları
- İlgili kişilere yapılan bilgilendirmenin kanalı ve tarihi
- Tekrarı önlemek için değiştirilen süreçler ve sorumlu birimler
Kararın Tebliği ve İtiraz Penceresi
İdari para cezası kararlarında en çok gözden kaçan ayrıntı, itiraz süresinin kararın tebliği ile işlemeye başlamasıdır. Kurumsal yapılarda tebligat, çoğu zaman genel evrak ya da kayıtlı elektronik posta adresi üzerinden gelir ve ilgili birime iç yazışmayla ulaşır. Bu iç dolaşım günler alıyorsa, itiraz için tanınan süre daha savunma hazırlanmadan erimiş olur.
Bu riski azaltmanın pratik yolu, elektronik tebligat kutusunu izleyen kişinin belirlenmesi ve kurum dışından gelen resmî bildirimlerin aynı gün hukuk birimine iletilmesini sağlayan bir akış kurulmasıdır. İtiraz yolu ve süresi kararın kendisinde gösterilir; bu bölümün ilk okumada not edilmesi gerekir.
Yukarıdaki çerçeve genel niteliktedir. Veri sorumlusunun sektörü, işlenen verinin özel nitelikli olup olmaması ve ihlalin teknik biçimi değerlendirmeyi değiştirebilir; bu nedenle olay yönetimini kendi verilerinizle birlikte hukuki destek alarak yürütmeniz uygun olur.