Bir veri ihlalinde şirketin karşılaştığı yaptırımın büyüklüğünü çoğu zaman ihlalin kendisi değil, ihlalden sonraki ilk günlerde izlenen usul belirler. 6698 sayılı KVKK kapsamındaki inceleme, olayın nasıl tespit edildiğini, kime ne zaman bildirildiğini ve alınan tedbirlerin belgelenip belgelenmediğini sorgular. Aşağıdaki liste, usule aykırı işlem nedeniyle savunmanın zayıflamasını önlemeye yöneliktir.
Tespitten Bildirime Uzanan Zincir
İhlalin öğrenilme anı, bütün takvimin başlangıç noktasıdır. Bu an belgelenemiyorsa sonraki tüm bildirimlerin zamanında yapıldığı da savunulamaz. Log kayıtları, sistem uyarıları, iç yazışmalar ve olay müdahale ekibinin notları aynı dosyada, değiştirilemez biçimde tutulmalıdır. Bildirim, hem Kurula hem de etkilenen ilgili kişilere yapılır; ilgili kişiye yapılan duyurunun anlaşılır ve doğrudan olması aranır.
İncelemede Belirleyici Olan Belgeler
- Kişisel veri işleme envanteri ile fiilî sistem mimarisinin örtüşmesi
- Saklama ve imha politikasının uygulandığını gösteren kayıtlar
- Yetkilendirme matrisi, erişim logları ve şifreleme kararlarının gerekçesi
- Veri işleyenlerle imzalanmış sözleşmelerdeki güvenlik taahhütleri
- Olay sonrası alınan düzeltici tedbirlerin tarihli kaydı
Cezaya İtirazda Kanun Yolunu Doğrulayın
İdari para cezasına karşı hangi yargı merciine başvurulacağı, mevzuatta yapılan değişikliklerle güncellenmiştir. Bu nedenle tebliğ edilen karar metnindeki kanun yolu bilgisi ile yürürlükteki düzenlemenin birlikte kontrol edilmesi gerekir. Yanlış mercie yapılan başvuru sırasında sürenin işlemeye devam etmesi, esasa ilişkin güçlü savunmaları dahi işlevsiz bırakabilir. Tebliğ tarihi, tebligat evrakı üzerinden ayrıca doğrulanmalıdır.
Şirket İçi Hazırlık
İhlal yönetimi tek kişilik bir iş değildir. Bilgi teknolojileri, insan kaynakları ve hukuk birimlerinin yetkileri önceden yazılı olarak tanımlanmadığında, kritik günlerde kimin karar vereceği tartışılır ve bildirim gecikir. İnternet ortamında yayımlanan verilerin kaldırılması gerekiyorsa 5651 sayılı Kanun kapsamındaki yolun da eşzamanlı işletilmesi gerekebilir.
Kapanış
Buradaki başlıklar genel çerçeve sunar; işlenen verinin niteliği ve etkilenen kişi sayısı değerlendirmeyi kökten değiştirir. Kurum savunmasını hazırlarken teknik ve hukuki ekiplerin birlikte çalışması, dosyanın tutarlılığı bakımından belirleyicidir.