Veri ihlali bildirimleri, çoğu kurumda teknik ekiple hukuk biriminin ilk kez aynı masaya oturduğu andır. Sorun da genellikle buradan çıkar: teknik ekip olayın kapsamını netleştirmeye çalışırken, kanunun öngördüğü bildirim penceresi işlemeye devam eder. Veri ihlallerinde yaptırım riskini büyüten şey çoğu zaman ihlalin kendisi değil, ihlal sonrası yönetilmeyen zamandır.
İhlalin Tespitinden Bildirime Giden Zincir
6698 sayılı KVKK, kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusuna Kurul'a ve ilgili kişilere bildirim yükümlülüğü getirir. Bildirim süresi, ihlalin öğrenildiği andan itibaren işler. Bu nedenle "öğrenme anı" iç kayıtlarda net biçimde tespit edilmelidir: hangi log, hangi tarihte, kim tarafından incelenmiştir? Bu kayıt tutulmadığında, sonradan yapılan savunmada bildirim gecikmesi açıklanamaz.
Bildirim Metninde Yer Alması Gerekenler
- İhlalin niteliği, başlangıç ve tespit zamanı.
- Etkilenen kişi ve kayıt sayısına ilişkin mevcut bilgi ile bunun tahmini olduğu.
- Etkilenen veri kategorileri; özel nitelikli veri bulunup bulunmadığı.
- Olası sonuçlar ve alınan teknik–idari tedbirler.
- İletişim kurulacak kişi bilgileri.
İlk bildirimde tüm bilgiler tam olmayabilir; bu durumda eksik bilgilerin sonradan tamamlanacağı belirtilerek bildirimin geciktirilmemesi tercih edilir.
Savunma Dosyasını İhlal Anında Kurmak
Kurul incelemesinde en çok sorulan sorular, ihlalden önceki döneme ilişkindir. Bu nedenle savunmanın çekirdeği, ihlal sonrası yazılan metinler değil, ihlal öncesinde var olan belgelerdir:
- Kişisel veri işleme envanteri ve saklama–imha politikası.
- Erişim yetkilendirme matrisi ve yetki değişikliği kayıtları.
- Veri işleyenlerle imzalanmış sözleşmeler ve denetim kayıtları.
- Sızma testi, güncelleme ve yedekleme kayıtları.
- Personel farkındalık eğitimlerine ilişkin belgeler.
Bu belgelerin ihlalden sonra üretildiği izlenimi doğuran tarih tutarsızlıkları, savunmayı güçlendirmek yerine zayıflatır.
Yaptırım Kararı Geldiğinde İzlenecek Yol
İdari yaptırım kararına karşı başvurulacak mercii ve süre, kararın tebliğ edildiği metinde gösterilir. Bu alandaki düzenlemelerde zaman içinde değişiklikler yapıldığından, başvuru yolunun kararın tarihine göre farklılaşabileceği unutulmamalıdır; tereddüt hâlinde karar metnindeki bildirim esas alınıp güncel düzenleme kontrol edilmelidir. İtiraz dilekçesinde yalnızca ceza miktarına değil, ihlalin varlığına ve kusurun ağırlığına ilişkin değerlendirmeye de karşı çıkılması gerekir; sadece miktar tartışılırsa ihlal örtülü olarak kabul edilmiş sayılabilir.
Uzlaşma Beklentisi Yerine Zarar Kontrolü
İdari yaptırımlarda klasik anlamda bir uzlaşma kurumu bulunmaz. Buna karşılık kurumun ihlal sonrası davranışı sonuç üzerinde etkili olur: hızlı bildirim, ilgili kişilerin bilgilendirilmesi, açığın kapatılması ve tekrarını önleyen kalıcı tedbirler. Ayrıca ilgili kişilerin açabileceği tazminat talepleri ile içeriğin internete yayılması hâlinde 5651 sayılı Kanun kapsamındaki kaldırma başvuruları ayrı bir hat olarak izlenmelidir; idari süreç kapansa bile bu hat açık kalır.
Bu metin genel bilgilendirme amaçlı olup somut bir olayın değerlendirmesi değildir. Veri ihlallerinde kurumun sektörü, veri kategorileri ve etkilenen kişi sayısı sonucu belirlediğinden, süreç başından itibaren hukuki destekle yürütülmelidir.