Bir veri ihlali yaşandığında kurumların önündeki asıl sınav, ihlalin kendisinden çok ihlale verilen yanıttır. Kurul incelemelerinde değerlendirilen unsurlar arasında ihlalin ne kadar sürede tespit edildiği, bildirimin zamanında yapılıp yapılmadığı ve alınan teknik ile idari tedbirlerin yeterliliği yer alır. 6698 sayılı KVKK kapsamındaki bu yükümlülükler, sistem kayıtlarına ilişkin 5651 sayılı Kanun'dan doğan yükümlülüklerle birlikte değerlendirilmelidir.
İhlal Tespit Edildiğinde İlk Saatler
Bildirim hazırlığı, teknik müdahaleyle eşzamanlı yürütülmelidir. Bu aşamada belirlenmesi gerekenler:
- İhlalin başlangıç anı ve tespit anı
- Etkilenen kişi grupları ve yaklaşık sayıları
- Etkilenen veri kategorileri ve özel nitelikli veri bulunup bulunmadığı
- İhlalin devam edip etmediği ve durdurma için atılan adımlar
- Olay müdahale ekibinin aldığı kararların zaman damgalı kaydı
Bu bilgiler sonradan derlendiğinde çoğunlukla eksik ve çelişkili olur; kayıt tutmanın kendisi savunmanın parçasıdır.
Bildirimin İçeriği ve Muhatapları
Kurula yapılacak bildirim ile ilgili kişilere yapılacak bildirim farklı içerikler taşır. Kurul bildirimi teknik ayrıntı ve alınan tedbirleri gerektirirken, ilgili kişilere yapılan bildirim anlaşılır ve eyleme dönüştürülebilir olmalıdır. İlgili kişiye ne yapması gerektiği söylenmediğinde, bildirim yapılmış sayılsa bile amacına ulaşmaz. Bildirimin yapıldığı kanal ve tarih ayrıca belgelenmelidir.
Ceza Değerlendirmesinde Dikkate Alınan Unsurlar
İdari para cezası belirlenirken ihlalin ağırlığı, veri sorumlusunun kusur derecesi ve iş birliği düzeyi gibi ölçütler değerlendirilir. Bu nedenle kurumun envanteri, saklama ve imha politikası, erişim yetkilendirme matrisi ve veri işleyenlerle imzalanan sözleşmeler önceden hazır olmalıdır. Denetim sırasında bu belgelerin bulunmaması, ihlalden bağımsız ayrı bir eksiklik olarak değerlendirilir.
Cezaya İtiraz mı, Kabul mü
İdari para cezasına karşı kanunda öngörülen sürede başvuru yolu açıktır. Karar verilirken cezanın tutarı kadar, itirazın kurumun diğer süreçlerine etkisi de düşünülmelidir. Ceza kabul edildiğinde ihlal olgusu büyük ölçüde sabitlenir ve bu durum, ilgili kişilerin açacağı tazminat davalarında dayanak hâline gelebilir. Buna karşılık dayanaksız itirazlar hem süreci uzatır hem kurumun iyi niyetli iş birliği görüntüsünü zedeler. Kararın gerekçesi satır satır incelenmeli, hangi tespitin belgeyle çürütülebildiği ayrı ayrı belirlenmelidir.
İhlal Sonrası Kalıcı Düzeltme
Aynı zafiyetin tekrarı, sonraki incelemelerde ağırlaştırıcı unsur olarak değerlendirilir. Bu nedenle kök neden analizi yapılmalı, alınan tedbirler yazılı hâle getirilmeli ve çalışan farkındalık eğitimleri kayıt altına alınmalıdır. Tedarikçi denetimleri de bu kapsamda güncellenmelidir.
Bu metin genel bir çerçeve sunar; kurumunuzun veri işleme yapısı ve ihlalin niteliği yükümlülükleri değiştirir. Bildirim ve itiraz kararlarınızı hukuki değerlendirme alarak vermeniz yerinde olur.