Veri ihlali yaşandığında kurumun karşılaştığı asıl güçlük teknik müdahale değil, kısa bir zaman diliminde doğru muhatabı ve doğru içeriği belirlemektir. Bu rehber, KVKK kapsamındaki bildirim yükümlülüğünden idari para cezasına giden hattı süre yönetimi açısından inceliyor.
Bildirim penceresi ne zaman açılır?
6698 sayılı Kanun, işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusuna Kurula bildirim yükümlülüğü getirir. Kurul ilke kararıyla bu bildirimin ihlalin öğrenilmesinden itibaren yetmiş iki saat içinde yapılmasını aramaktadır. Buradaki kritik nokta, sürenin ihlalin gerçekleştiği an değil öğrenildiği an başlamasıdır; bu nedenle olayın kim tarafından, hangi saatte fark edildiği kayıt altına alınmalıdır.
İlgili kişilere bildirim ayrı bir adımdır
Kurula bildirim, etkilenen kişilere bilgi verme yükümlülüğünü ortadan kaldırmaz. İlgili kişilere yapılacak bildirimde etkilenen veri kategorileri, olası sonuçlar ve alınan tedbirler anlaşılır biçimde açıklanmalıdır. Yalnızca kurumsal internet sitesinde duyuru yapılması, doğrudan iletişim kurulabilecek hâllerde yeterli sayılmayabilir.
İnceleme sürecinde savunma hazırlığı
Kurum tarafından bilgi ve belge istendiğinde verilen süre kısadır. Bu aşamada teknik ve idari tedbirlerin ihlalden önce alındığını gösteren belgeler öne çıkar: erişim yetki matrisi, log kayıtları, sızma testi raporları, çalışan taahhütleri ve saklama-imha politikası. Sonradan hazırlanmış görünen belgeler savunmayı güçlendirmez.
Para cezasında yargı yolunu doğru seçmek
İdari para cezasına karşı hangi mercie başvurulacağı, cezanın dayanağına ve karar tarihindeki düzenlemeye göre farklılık gösterebilmektedir. Bu nedenle karar metnindeki kanun yolu açıklaması esas alınmalı, tereddüt hâlinde güncel mevzuat metni kontrol edilmelidir. Yanlış mercie yapılan başvuruda geçen süre, çoğu zaman geri kazanılamaz.
Kurum içi hazırlık listesi
- İhlal müdahale prosedürünün yazılı hâle getirilmesi
- Öğrenme anını belgeleyen kayıt mekanizması
- Bildirim metinleri için hazır şablonlar
- Veri işleyenlerle sözleşmesel bildirim zinciri
- Karar tebliğinden itibaren süre takibi
Yukarıdakiler genel bilgilendirme amacıyla derlenmiştir. Verinin niteliği, etkilenen kişi sayısı ve kurumun yapısı yükümlülükleri değiştirebileceğinden, ihlal anında hukuki ve teknik desteğin birlikte alınması yerinde olur.