Bir veri ihlali fark edildiğinde teknik müdahale kadar hukuki takvim de işlemeye başlar. Veri ihlali bildirimi geciktiğinde ortaya çıkan tablo çoğu zaman ihlalin kendisinden ağır olur ve idari para cezası aşamasına taşınır. Bu rehber, ihlalin öğrenilmesinden ceza kararına itiraza kadar uzanan zincirin süre yönünü ele alır.
İhlalin Öğrenilmesi ve Bildirim Yükümlülüğü
6698 sayılı KVKK, işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde veri sorumlusuna bildirim yükümlülüğü getirir. Bildirimin en kısa sürede Kurula yapılması ve ilgili kişilere de duyurulması gerekir. Buradaki kritik nokta öğrenme anının nasıl belgeleneceğidir: olay kayıtları, güvenlik uyarıları ve iç raporlama tarihleri bu anı gösterir. Şirket içi karar süreçlerinin yavaş işlemesi, bildirimin gecikmesi için geçerli bir mazeret oluşturmaz.
İlgili Kişi Başvurularının Zinciri
- İlgili kişi önce veri sorumlusuna başvurur; veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır.
- Başvurunun reddi veya cevapsız kalması halinde Kurula şikayet süresi, cevabın öğrenildiği tarihten itibaren otuz gün ve her halde başvuru tarihinden itibaren altmış gündür.
- Bu süreler geçtikten sonra yapılan şikayet usulden reddedilebilir; bu nedenle başvuru ve cevap tarihleri kayıt altına alınmalıdır.
İdari Para Cezasına İtirazda Merci ve Süre
Kurul kararlarına ve verilen idari para cezalarına karşı başvurulacak merci ile süre, mevzuatta zaman içinde değişikliğe uğramıştır. Bu nedenle itiraz yolu, ezbere değil karar metninde yer alan başvuru yolu bilgilendirmesi ve güncel kanun metni üzerinden belirlenmelidir. Yanlış mercie yapılan başvuru süreyi korumayabileceğinden, tereddüt halinde en kısa süre esas alınarak hareket edilmesi güvenlidir. İtiraz dilekçesinde yalnızca cezanın miktarı değil, fiilin unsurlarının oluşmadığı ve alınan teknik ve idari tedbirler de somut belgeyle ortaya konmalıdır.
Savunmayı Belgeye Dayandırmak
- Veri envanteri ve işleme faaliyeti kayıtlarını güncel tutun.
- Aydınlatma metinleri ve açık rıza kayıtlarını tarihli biçimde arşivleyin.
- Erişim yetkileri, log kayıtları ve şifreleme uygulamalarını raporlayın.
- İhlal sonrası alınan tedbirleri ve müdahale zaman çizelgesini yazılı hale getirin.
- 5651 kapsamındaki yükümlülüklerle örtüşen alanları ayrıca kontrol edin.
Bu içerik genel bilgi amaçlıdır; kurumun büyüklüğü, verinin niteliği ve ihlalin kapsamı değerlendirmeyi değiştirir. Ceza kararı elinize ulaştığında itiraz süresi ve mercii konusunda vakit kaybetmeden bir hukukçuya danışmanız önerilir.