Bir veri ihlali yaşandığında veri sorumlusunun karşısına çıkan asıl mesele, ihlalin gerçekleşmiş olması değil, sonrasında yürütülen sürecin kayıt altına alınıp alınmadığıdır. İdari para cezası aşamasına gelindiğinde savunmanın gücü, ihlal anında tutulmuş teknik ve idari kayıtlara bağlıdır.
İhlalin Tespitinden Bildirime Giden Saatler
KVKK kapsamında veri ihlalinin öğrenilmesi hâlinde Kurula ve ilgili kişilere bildirim yapılması beklenir. Bu bildirimin zamanı kadar içeriği de önemlidir: hangi veri kategorilerinin etkilendiği, kaç ilgili kişinin söz konusu olduğu, olası sonuçlar ve alınan önlemler somut biçimde yazılmalıdır. Belirsiz kalan bir bildirim, ilerleyen aşamada eksik beyan olarak değerlendirilebilir.
Savunma Dosyasının Omurgası
İnceleme başladığında istenecek belgelerin çoğu, ihlalden önce oluşturulmuş olması gereken kayıtlardır:
- Kişisel veri işleme envanteri ve saklama-imha politikası
- Erişim yetkilendirme kayıtları ve yetki değişiklik geçmişi
- Sistem günlükleri ile ihlal anına ait teknik inceleme raporu
- Veri işleyenlerle yapılan sözleşmelerin ilgili hükümleri
- Çalışanlara verilen farkındalık eğitimlerinin kayıtları
- İhlalden sonra alınan düzeltici önlemlerin tarih sırasıyla dökümü
Bu belgelerin ihlalden sonra toparlanmaya çalışılması, hem zaman kaybettirir hem de tedbirlerin olay öncesinde mevcut olduğunu göstermeyi güçleştirir.
Yayın Boyutu Varsa İkinci Yol
Sızdırılan veriler internette yayımlandıysa, idari süreçten bağımsız olarak içeriğin kaldırılması gündeme gelir. 5651 sayılı Kanun kapsamındaki bu yol kendi usulüne ve süresine tabidir. İdari incelemenin sonucunu beklemek, verinin yayılmasını durdurmadığı gibi zararın büyümesine de yol açar.
Ceza Kararına Karşı Kanun Yolu
İdari yaptırım kararı tebliğ edildiğinde, ilk bakılacak yer kararın kendisinde gösterilen kanun yolu ve süredir. Bu alandaki düzenlemeler zaman içinde değiştiğinden, başvurulacak merci bakımından yürürlükteki metnin kontrol edilmesi gerekir; yanlış mercie yapılan başvuru süreyi korumayabilir. Başvuru dilekçesinde yalnızca cezanın ağırlığına değil, ihlalin kapsamına ve alınan teknik-idari tedbirlerin yeterliliğine ilişkin somut verilere dayanılmalıdır.
İlgili Kişi Başvuruları Paralel İşler
İhlalden etkilenen kişilerin veri sorumlusuna yönelteceği başvurular ayrı bir takvim yaratır ve cevapsız bırakılan her başvuru yeni bir şikâyet dosyasına dönüşebilir. Bu nedenle ihlal sonrası dönemde gelen taleplerin tek merkezden, tarih ve içerik kaydıyla yönetilmesi, hem yükü hafifletir hem de tutarlı bir savunma dili oluşturur.
Bu içerik genel çerçeve sunmaktadır. İhlalin türü, etkilenen veri kategorileri ve kurumun yapısı değerlendirmeyi değiştirebileceğinden, sürecin her aşamasında hukuki destekle ilerlemek yerinde olur.