Veri ihlali yaşandığında veri sorumlusunun karşısında iki ayrı takvim vardır: bildirim yükümlülüğünün takvimi ve olası bir idari yaptırıma karşı savunmanın takvimi. KVKK ve 6698 sayılı Kanun ile 5651 sayılı Kanun çerçevesinde yürüyen bu süreçte, ihlalin kendisi kadar ihlale verilen tepkinin usulü de değerlendirmeye girer.
Bildirim Yükümlülüğünün İki Yönü
Veri ihlalinin öğrenilmesinden itibaren Kurula makul en kısa sürede bildirim yapılması beklenir; uygulamada bu süre yetmiş iki saat olarak kabul edilmektedir. İlgili kişilere bildirim ise, ihlalden etkilenenlerin belirlenmesinin ardından en kısa sürede ve uygun yöntemle yapılır. Burada iki tipik hata görülür: bildirimin teknik incelemenin tamamlanması beklenerek geciktirilmesi ve bildirim metninin etkilenen veri kategorilerini belirsiz bırakması. Her ikisi de yaptırım değerlendirmesinde aleyhe bir unsur olarak ele alınabilir.
Savunma Dosyasının Kurulması
- İhlalin öğrenildiği an, kim tarafından ve hangi kanaldan öğrenildiği kayda geçirilir.
- Alınmış teknik ve idari tedbirler, ihlal tarihinden önceki hâliyle belgelenir.
- Log kayıtları, yetkilendirme matrisi ve erişim politikaları dosyaya eklenir.
- İhlal sonrası uygulanan sınırlama ve iyileştirme adımları tarihleriyle listelenir.
- Veri envanteri ve saklama süreleri politikası ile fiilî durumun uyumu kontrol edilir.
İlgili Kişi Başvurusu ve Şikâyet Zinciri
İlgili kişi, önce veri sorumlusuna başvurmak zorundadır. Veri sorumlusunun cevap vermesi için tanınan süre ile cevabın ardından Kurula şikâyet için tanınan süre birbirine bağlıdır; başvuru yapılmadan doğrudan yapılan şikâyet usulden değerlendirilmeyebilir. Veri sorumlusu açısından ise süresinde ve gerekçeli cevap vermek, sonraki aşamada iyi niyetin göstergesi olarak öne çıkar.
Yaptırıma Karşı Başvuru Yolu
İdari para cezasına karşı başvurulacak yargı yeri, mevzuatta yapılan değişikliklere göre farklılaşabilmektedir. Bu nedenle karar elinize ulaştığında yapılacak ilk iş, tebliğ tarihini kaydetmek ve o tarihte yürürlükte olan başvuru yolu ile süreyi doğrulamaktır. Yanlış mercie yapılan başvuru, kısa süreler nedeniyle telafisi güç sonuç doğurabilir. Kararın gerekçesinde hangi yükümlülük ihlaline dayanıldığı da satır satır ayrıştırılmalı; savunma bu başlıklara birebir karşılık verecek şekilde kurulmalıdır.
Yukarıdaki açıklamalar genel bilgilendirme amaçlıdır. İhlalin kapsamı, veri kategorileri ve kurumun büyüklüğü değerlendirmeyi etkilediğinden, somut olayda hukuki ve teknik desteği birlikte almanız önerilir.