Bir veri ihlali yaşandığında veri sorumlusunun karşılaştığı ilk sorun teknik değil zamanlamayla ilgilidir: olayın tespitinden itibaren yapılması gereken bildirimler kısa sürelere bağlıdır ve gecikme, ihlalin kendisinden bağımsız olarak ayrı bir yaptırım sebebi haline gelir. Bu rehber KVKK (6698) ve ilgili düzenlemeler çerçevesinde ihlal sonrası takvimi ve idari para cezasına itiraz sürecini ele alır.
İhlalin Tespitinden Sonra İşleyen Üç Ayrı Yükümlülük
Veri ihlali sonrasında birbirinden bağımsız üç yükümlülük aynı anda doğar ve karıştırılmamalıdır:
- Kurula bildirim: ihlalin öğrenilmesinden itibaren en kısa sürede yapılır
- İlgili kişilere bildirim: etkilenen kişilere makul en kısa sürede yapılır
- İç kayıt yükümlülüğü: ihlalin etkileri ve alınan önlemler kayda geçirilir
Bildirimin gecikmesi halinde gecikme sebebinin de gerekçeli olarak açıklanması beklenir. Uygulamada en çok cezalandırılan durum, ihlalin varlığı değil, ihlalin geç bildirilmesi ya da kapsamının eksik beyan edilmesidir.
Bildirim Metnini Sonraki Aşamayı Düşünerek Yazmak
Kurula yapılan bildirim, sonradan açılacak inceleme dosyasının temelini oluşturur. Bu nedenle metinde etkilenen veri kategorileri, yaklaşık kişi sayısı, olası sonuçlar ve alınan teknik idari tedbirler somut biçimde yer almalıdır. Henüz netleşmemiş hususlarda kesin ifade kullanmak yerine, incelemenin devam ettiği belirtilerek sonradan tamamlayıcı bildirim yapılması daha güvenlidir. Baştan verilen eksik veya gerçeğe uymayan beyanın düzeltilmesi, dosyada güven kaybı yaratır.
İdari Para Cezasına İtiraz: Süre Tebligata Bağlıdır
Kurul tarafından verilen idari para cezasına karşı itiraz süresi, kararın veri sorumlusuna tebliği ile işlemeye başlar. Kurumsal yapılarda tebligatın gelen evrakta beklemesi, KEP kutusunun kontrol edilmemesi veya yetkili kişinin değişmesi nedeniyle bu süre sıkça kaçırılır. Elektronik tebligatta bildirimin sisteme ulaşmasından itibaren belirli bir süre sonunda tebliğ edilmiş sayılması kuralı, kutunun izlenmediği hallerde sürenin sessizce tükenmesine yol açar. Riski azaltmak için tebligat kutusunun takibinden sorumlu kişinin yazılı olarak belirlenmesi ve yedek sorumlu atanması pratik bir önlemdir.
İtiraz Dilekçesinde Ele Alınacak Başlıklar
- Kararın dayandığı olgusal tespitlerin dosyadaki belgelerle uyumu
- Alınan teknik ve idari tedbirlerin ihlal anından önce mevcut olduğunun gösterilmesi
- İhlalin kapsamının ve etkilenen kişi sayısının doğru belirlenip belirlenmediği
- Yaptırımın belirlenmesinde ölçülülük ve kusur durumunun değerlendirilmesi
- Aynı fiil için mükerrer yaptırım uygulanıp uygulanmadığı
Ceza Sonrası Uyum Programının Kurulması
İtiraz sürecinden bağımsız olarak, ihlalin tekrarını önleyecek adımların belgelenmesi gerekir. Veri envanterinin güncellenmesi, erişim yetkilerinin sınırlandırılması, log kayıtlarının düzenli tutulması ve veri işleyenlerle yapılan sözleşmelerin gözden geçirilmesi bu kapsamdadır. Bu adımların tarihli biçimde kayda geçirilmesi, sonraki incelemelerde veri sorumlusunun tutumunu gösteren somut dayanak oluşturur.
Yukarıdaki bilgiler genel bir çerçeve sunmaktadır. Veri ihlali dosyalarında süreler kısa ve sonuçları mali olduğundan, ihlal tespit edilir edilmez teknik incelemeyle paralel yürüyen bir hukuki değerlendirme yapılması önerilir.