Bir veri ihlali yaşandığında veri sorumlusunun karşısına iki ayrı yük çıkar: ihlalin teknik olarak kapatılması ve KVKK'nın öngördüğü bildirim yükümlülüklerinin zamanında yerine getirilmesi. İkincisinin aksatılması, çoğu zaman asıl ihlalden daha ağır bir idari para cezası sonucunu doğurur. Ceza kararı elde edildiğinde ise yeni bir soru gelir: bu karara nereye, ne kadar süre içinde itiraz edilecek?
İlk Saatler: Bildirim Yükümlülüğü
6698 sayılı Kanun, kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu en kısa sürede Kurula ve ilgili kişiye bildirmesini öngörür. Bildirimin geç yapılması kadar, eksik yapılması da yaptırım sebebidir. Bu nedenle ihlalin fark edildiği an bir tutanağa bağlanmalı; kimin ne zaman haberdar olduğu kayda geçmelidir. Sonradan yapılacak savunmanın omurgası bu ilk kayıttır.
Cezaya Karşı Hangi Yol
İdari para cezasına karşı başvurulacak merci ve süre, kanunda ve idari yaptırım kararının kendisinde gösterilir. Bu alandaki düzenleme zaman içinde değiştiği için, eski tarihli bir örnekten veya internetteki genel bir bilgiden hareket etmek risklidir. Doğru yöntem şudur: elinizdeki kararın son sayfasındaki başvuru yolu ve süre bilgisini esas alın, ardından bu bilginin başvuru tarihinde yürürlükte olan mevzuatla örtüştüğünü teyit edin. Yanlış mercie yapılan itiraz, kısa süreli bu hakkın kullanılamamasına yol açabilir.
Savunma Dosyasını Kuran Belgeler
- Kişisel veri işleme envanteri ve saklama süreleri politikası
- Teknik ve idari tedbirlere ilişkin kayıtlar: yetkilendirme matrisi, log kayıtları, sızma testi raporları
- İhlalin tespit, müdahale ve kapatma zaman çizelgesi
- İlgili kişilere yapılan bildirimlerin örnekleri ve gönderim kayıtları
- Varsa 5651 kapsamındaki yer sağlayıcı yükümlülüklerine ilişkin kayıtlar
Ceza Miktarını Etkileyen Unsurlar
- İhlalin kapsamı: etkilenen kişi sayısı ve verinin niteliği
- Özel nitelikli veri bulunup bulunmadığı
- İhlalin tespitinden bildirime kadar geçen süre
- Alınan tedbirlerin ihlalden önce mi sonra mı hayata geçirildiği
- Aynı sorumlu hakkında daha önce verilmiş karar bulunup bulunmadığı
Bu rehber genel bilgi vermek amacıyla hazırlanmıştır; kurumun büyüklüğü, verinin türü ve karar tarihi izlenecek usulü etkileyebilir. Yaptırım kararı elinize ulaştığında süre kısa işlediğinden, tebliğ gününde hukuki değerlendirme başlatmanız yerinde olur.