Bir veri ihlali yaşandığında veri sorumlusunun önünde iki saat aynı anda çalışmaya başlar: teknik müdahale saati ve 6698 sayılı KVKK kapsamındaki bildirim saati. İdari para cezalarının kayda değer bir bölümü ihlalin kendisinden değil, bildirimin geciktirilmesinden ya da eksik yapılmasından doğar. Aşağıdaki plan, olay anından Kurul incelemesine kadar olan süreci takvim mantığıyla ele alır.
Olay Gerçekten Bildirime Tabi mi?
Her güvenlik olayı bildirim gerektiren bir ihlal değildir; ancak bu ayrımın kayıt altına alınmadan yapılması başlı başına risktir. Sızıntının kapsamı, etkilenen veri kategorileri, özel nitelikli veri bulunup bulunmadığı ve ilgili kişi sayısı, varılan sonucun gerekçesiyle birlikte iç kayda geçirilmelidir. Bildirmeme yönündeki bir kararın gerekçesi yazılı değilse, sonraki incelemede savunulması güçleşir.
Yetmiş İki Saatlik Pencere ve Öğrenme Anı
Kurul düzenlemelerinde veri sorumlusunun ihlali öğrenmesinden itibaren gecikmeksizin ve en geç yetmiş iki saat içinde bildirimde bulunması beklenir. Buradaki asıl tartışma öğrenme anıdır: bir çalışanın fark ettiği an mı, bilgi güvenliği ekibine ulaştığı an mı, yoksa yönetimin bilgilendirildiği an mı? Olay müdahale prosedüründe bu an tanımlanmamışsa sayaç geriye doğru işletilebilir ve gecikme iddiası doğar. İlgili kişilere yapılacak bildirim ise ayrı bir yükümlülüktür; makul en kısa sürede ve anlaşılır bir dille yapılması gerekir.
Savunmanın Zeminini Kuran Belgeler
- Olay müdahale kayıtları ve dakikası belli bir zaman çizelgesi.
- Kişisel veri işleme envanteri ile ihlalden etkilenen alanların eşleştirilmesi.
- İhlalden önce alınmış idari ve teknik tedbirlerin belgeleri.
- Veri işleyenle imzalanan sözleşme ve sorumluluk paylaşımına ilişkin hükümler.
- İlgili kişilere yapılan bildirimin örneği ve iletim kanıtı.
Bu belgeler ihlalden sonra toplanmaya çalışıldığında çoğunlukla eksik kalır. Yaptırım riskini düşüren şey, tedbirlerin ihlalden önce belgelenmiş olmasıdır.
Yaptırıma İtirazda Tebligat Trafiği
İdari para cezası uygulandığında itiraz süresinin başlangıcı, tebligatın usulüne uygun yapıldığı tarihtir. Tebligatın kurumsal adrese ulaşıp ilgili birime günler sonra iletilmesi, pratikte en sık görülen hak kaybı sebebidir. Bu nedenle tebligat trafiği tek bir sorumluya bağlanmalı, evrakın kuruma giriş tarihi ayrıca kaydedilmelidir. İtiraz dilekçesinde yalnızca miktara değil, ihlalin nitelendirilmesine, kusur derecesine ve alınmış tedbirlere ilişkin somut argümanlara yer verilmelidir.
Bildirimden Sonra Biten Değil, Başlayan Süreç
Bildirim yükümlülüğü tamamlandığında dosya kapanmaz. İlgili kişilerin başvuruları, tazminat talepleri ve sızan verinin yayıldığı platformlara yönelik kaldırma talepleri ayrı takvimler olarak yürütülmelidir. Kurumsal iletişim metinlerinin hukuki beyanlarla çelişmemesi de ayrıca kontrol edilmelidir.
Bu çerçeve geneldir; veri sorumlusunun faaliyet alanı, ihlalin türü ve etkilenen veri kategorileri yükümlülüklerin kapsamını değiştirebilir. Somut olayda hukuki değerlendirme alınması önerilir.