Bir veri ihlalinde şirketin karşılaştığı asıl risk, ihlalin kendisinden çok ihlale verilen yanıtın kayıt altına alınmamış olmasıdır. KVKK (6698) ve internet yayınları bakımından 5651 sayılı Kanun çerçevesinde yürüyen incelemede Kurul, olayı değil süreci denetler. Bu rehber, veri ihlali sonrası bildirim takviminin kurulmasını ve idari para cezasına karşı savunmanın nasıl planlanacağını konu alır.
İhlalin Öğrenildiği An Neden Kritiktir?
Bildirim yükümlülüğünün süresi, ihlalin öğrenildiği andan işlemeye başlar. Bu yüzden ilk yapılacak iş, öğrenme anını belgeleyen bir kayıt oluşturmaktır: uyarı alarmı, çalışan bildirimi, tedarikçi e-postası veya güvenlik testinin raporu. Öğrenme anı belirsiz bırakıldığında, denetimde gecikme karinesi şirketin aleyhine işler. Bildirim, Kurul'un belirlediği usul ve içerik şartlarına göre yapılmalı; ilgili kişilere yönelik bildirim de ayrıca planlanmalıdır.
Kapsamı Küçük Göstermek Yerine Doğru Tespit Etmek
İhlalin etkilediği veri kategorileri, kişi sayısı ve özel nitelikli veri içerip içermediği savunmanın çekirdeğidir. Başlangıçta dar bildirilen bir kapsamın sonradan genişlemesi, şirketin beyanına duyulan güveni zedeler. Bu nedenle log incelemesi tamamlanmadan kesin sayı verilmemeli, tamamlandığında ise güncelleme bildirimi yapılmalıdır.
Kurul İncelemesinde Sorulan Sorulara Hazırlık
- Veri işleme envanteri ve saklama süreleri güncel mi?
- Teknik ve idari tedbirler yazılı bir politikaya bağlanmış mı?
- Yetki matrisi ve erişim logları ihlal öncesinde de tutuluyor muydu?
- Veri işleyenlerle yapılan sözleşmelerde güvenlik yükümlülükleri var mı?
- Çalışan farkındalık eğitimleri kayıtlı mı?
Bu soruların yanıtı ihlalden sonra üretilen belgelerle verilemez; tarih tutarlılığı incelenir. Geriye dönük düzenlenmiş izlenimi veren evrak, cezayı ağırlaştıran bir unsura dönüşebilir.
Ceza Kararına Karşı İtiraz Yolu
İdari para cezasına karşı başvurulacak merci ve süre, kararın tebliğ tarihine bağlıdır ve kısa süreli olduğundan tebligatın kime, hangi adrese yapıldığı ilk kontrol edilecek noktadır. Şirketin kayıtlı elektronik posta adresine yapılan tebligatın takip edilmemesi, esasa girilmeden hak kaybı doğurur. Bu nedenle KEP kutusunun sorumlusu ve kontrol sıklığı yazılı olarak belirlenmelidir.
Uzlaşmacı Tutum ile Dava Arasındaki Denge
İnceleme sürecinde işbirliğine açık, eksikleri gideren ve zararı azaltan bir tutum lehe değerlendirilebilir. Ancak bu tutum, hukuken kabul edilmemesi gereken bir sorumluluğun ikrarına dönüşmemelidir. Özellikle veri sorumlusu–veri işleyen ayrımının tartışmalı olduğu dosyalarda, sorumluluğu peşinen üstlenen yazışmalar hem cezayı hem de ilgili kişilerin tazminat taleplerini besler.
Genel Uyarı
Her ihlal kendi teknik gerçekliği içinde değerlendirilir. Sistem mimarisi, sözleşme yapısı ve etkilenen veri türü sonucu değiştireceğinden, bildirim ve savunma metinlerinin hukuki danışmanlıkla hazırlanması yerinde olur.