Bir veri ihlali yaşandığında veri sorumlusunun karşılaştığı ilk soru genellikle teknik değil, stratejik olur: Kişisel Verileri Koruma Kurulu'nun inceleme sürecinde savunma nasıl kurulacak, idari yaptırım kararı çıkarsa buna karşı ne yapılacak? Bu rehber, ihlal anından yaptırım kararına kadar geçen dönemde para cezası riskini düşüren kontrol noktalarını ve nihayetinde uzlaşmacı bir tutumla süreci kapatmak ile yargı yoluna gitmek arasındaki tercihi ele alır.
İhlalin İlk Saatlerinde Yapılan Kayıt, Cezayı Doğrudan Etkiler
KVKK kapsamında veri sorumlusunun ihlali Kurul'a bildirme yükümlülüğü vardır ve bu bildirimin gecikmesi tek başına ayrı bir aykırılık başlığı doğurur. Bu nedenle ilk kontrol kalemi, ihlalin tespit edildiği anın kim tarafından, hangi kayıtla belgelendiğidir. Log kayıtları, olay müdahale ekibinin ilk raporu ve sistem yöneticisinin bildirimi zaman damgalı biçimde saklanmalıdır. Sonradan üretilen düzeltme kayıtları savunmayı güçlendirmez, aksine tartışmalı hale getirir.
Cezayı Ağırlaştıran ve Hafifleten Unsurları Ayırmak
Kabahatler hukukunun genel mantığı gereği yaptırımın miktarı belirlenirken kusurun ağırlığı ve ihlalin sonuçları dikkate alınır. Uygulamada savunma dosyasında ayrıştırılması gereken başlıklar şunlardır:
- İhlalin etkilediği veri kategorisi: özel nitelikli veri bulunup bulunmadığı
- Etkilenen ilgili kişi sayısı ve bunların bilgilendirilip bilgilendirilmediği
- İhlal öncesinde alınmış teknik ve idari tedbirlerin belgelenebilir olması
- Zararın büyümesini engelleyen ivedi müdahalelerin kaydı
- Aynı veri sorumlusu hakkında daha önce verilmiş bir yaptırım bulunup bulunmadığı
Savunma Yazısında Sık Yapılan Hata: Teknik Dille Hukuki Dili Karıştırmak
Kurul'a sunulan savunmalarda çoğu zaman sistem mimarisi ayrıntılı anlatılır ancak KVKK'nın veri güvenliğine ilişkin yükümlülüğüyle bağlantısı kurulmaz. Doğru yöntem, her teknik tedbiri karşılık geldiği yükümlülük başlığının altına yerleştirmektir. Böylece Kurul, tedbirin varlığını değil yeterliliğini tartışır; bu da savunmanın zeminini değiştirir.
Uzlaşmacı Kapanış ile Yargı Yolu Arasındaki Tercih
İdari para cezasına karşı gidilecek yol, kabahat türüne göre sulh ceza hâkimliği ya da idari yargı olabilir; bu ayrımın baştan doğru yapılmaması hak kaybına yol açar. Buna karşılık her dosyada itiraz rasyonel değildir. Ceza miktarı düşükse, ihlal açıksa ve şirketin sektörel itibar riski yüksekse; ödeme yaparak süreci kapatıp iyileştirme planını Kurul'a sunmak ticari olarak daha korunaklı olabilir. Tersine, ihlalin veri sorumlusuna atfedilebilirliği tartışmalıysa veya ceza aynı fiile birden fazla kez uygulanmışsa yargı yolu güçlü bir seçenek haline gelir.
Kararı Verirken Bakılacak Üç Ölçüt
- İhlalin kaynağı gerçekten şirket sistemlerinde mi, yoksa bir tedarikçi/veri işleyen zincirinde mi doğdu?
- Aynı olay için ayrıca ilgili kişilerin tazminat talepleri gündeme gelecek mi?
- İtiraz süreci sırasında Kurul nezdinde açılabilecek yeni inceleme başlıkları var mı?
Bu yazı yalnızca genel bir yol haritası sunar. Her veri ihlali kendi teknik ve hukuki bağlamında değerlendirilmelidir; yaptırım kararının niteliği, süresi ve başvurulacak merci dosyaya göre değişebileceğinden bir hukuk profesyoneliyle çalışmak yerinde olur.