Kişisel veri ihlalinde idari para cezasının ağırlığını çoğu zaman ihlalin kendisi değil, ihlalden sonraki ilk günlerde tutulan kayıtların niteliği ve bildirimin usulü belirler. 6698 sayılı KVKK uygulamasında veri sorumlularının en çok zorlandığı nokta, teknik müdahale takvimi ile hukuki bildirim takviminin birbirinden kopmasıdır. Aşağıdaki kontrol listesi bu iki hattı tek akışta birleştirmeyi ve usule aykırı işlem nedeniyle savunmanın baştan zayıflamasını önlemeyi amaçlar.
İhlal Anını Belgeleyen Kayıt Zinciri
İnceleme sırasında ilk sorulan soru, sızıntının hangi anda ve hangi kanaldan fark edildiğidir. Bu sorunun cevabı sistem kayıtlarıyla desteklenmiyorsa, sonradan yazılan iç raporların ispat değeri belirgin biçimde düşer.
- Tespit anı, tespiti yapan kişi ve haber verilen iç birim ayrı ayrı kayda geçirilmelidir.
- Etkilenen veri kategorileri kimlik, iletişim, finans ve özel nitelikli veri olarak ayrıştırılmalıdır.
- Sistem günlükleri değiştirilemez biçimde yedeklenmeli, ham kopya ayrı ortamda saklanmalıdır.
- Müdahale sırasında yapılan her teknik işlem zaman bilgisiyle listelenmelidir.
Bildirim Metninde En Sık Görülen Usul Kusurları
Bildirimin gecikmesi kadar, eksik ya da çelişkili bilgi içermesi de risk doğurur. Uygulamada tekrar eden kusurlar şunlardır: ihlalin kapsamını daraltan temkinli anlatım, etkilenen ilgili kişi sayısının belirsiz bırakılması, alınan tedbirlerin somut aksiyon yerine genel cümlelerle geçiştirilmesi ve bildirimi yapan kişinin temsil yetkisinin dosyaya konulmaması. Sonradan yapılan düzeltmenin ilk beyanla çelişmesi, iyi niyetle verilmiş bilgiyi bile tartışmalı hâle getirir.
İlgili Kişiye Yapılan Duyurunun Ayrı Kurgusu
Kurula yapılan bildirim ile ilgili kişiye yapılan duyuru aynı metin değildir. İlgili kişiye yönelik duyuruda sade bir dil, hangi verinin etkilendiği, ne tür bir kötüye kullanım riskinin doğduğu ve kişinin atabileceği adımlar yer almalıdır. İhlal edilen verinin internette yayılması söz konusuysa, 5651 sayılı Kanun kapsamındaki kaldırma ve erişim engelleme talepleri ayrı bir takip hattı olarak açılmalıdır.
İncelemeye Hazırlık Sıralaması
- İhlal öncesi dönemde yürürlükte olan teknik ve idari tedbir belgeleri tarih sırasıyla derlenir.
- Veri işleme envanteri ile fiili durum karşılaştırılır, aradaki sapmalar not edilir.
- Veri işleyenlerle yapılan sözleşmelerdeki güvenlik taahhütleri ve denetim kayıtları çıkarılır.
- İhlalden sonra alınan kalıcı tedbirler vaat olarak değil, uygulanmış hâliyle belgelenir.
- Bilgi ve belge isteme yazılarına verilecek cevaplar tek elden, birbiriyle uyumlu biçimde hazırlanır.
Cezanın Ölçüsünü Etkileyen Savunma Eksenleri
Savunmanın amacı kusursuzluk iddiası değil, alınan tedbirlerin riskle orantılı olduğunu göstermektir. Veri minimizasyonuna uyum, erişim yetkilerinin dar tutulması, saklama sürelerinin fiilen uygulanması ve olay müdahale prosedürünün ihlalden önce yazılı hâle getirilmiş olması bu orantılılığı destekler. Buna karşılık envanterde hiç görünmeyen bir sistemden veri sızması, ihmal değerlendirmesini ağırlaştıran bir bulgudur.
Buradaki çerçeve geneldir; her ihlalin veri kategorisi, etkilenen kişi sayısı ve sektörel yükümlülükleri farklıdır. Bildirim metni gönderilmeden önce dosyanın hukuki değerlendirmesini yaptırmak, sonradan düzeltilmesi güç beyanların önüne geçer.