Bir veri ihlali yaşandığında veri sorumlusunun karşılaştığı süreç iki katmanlıdır: önce bildirim ve iyileştirme yükümlülükleri, sonra olası bir idari yaptırım. KVKK ekseninde yürüyen bu süreçte en kritik nokta, uygulanan idari para cezasına karşı hangi yargı koluna başvurulacağıdır; çünkü bu konuda mevzuat değişikliği yaşanmış ve eski uygulamaya güvenerek yapılan başvurular hak kaybına yol açmıştır.
İhlal Bildirimi: İki Ayrı Muhatap
6698 sayılı Kanun kapsamında işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusunun hem Kurula hem de ilgili kişiye bildirimde bulunması gerekir. Bildirimin gecikmesi başlı başına bir yaptırım sebebi olabildiği için, ihlalin tespit edildiği an kayıt altına alınmalıdır. Bildirimde ihlalin kapsamı, etkilenen veri kategorileri ve alınan önlemler somut biçimde açıklanmalıdır; genel ifadelerle yapılan bildirim eksik sayılabilir.
İdari Para Cezasına İtirazda Merci Değişikliği
Kurul tarafından uygulanan idari para cezalarına karşı başvuru yolu, mevzuatta yapılan değişiklikle farklılaşmıştır. Değişiklik öncesinde bu kararlara karşı sulh ceza hâkimliğine itiraz edilirken, değişiklik sonrasında idari yargıda dava açılması öngörülmüştür. Eski uygulamaya göre hazırlanan bir itiraz dilekçesi, dava süresi içinde doğru mercie ulaşmadığında cezanın kesinleşmesiyle sonuçlanabilir. Bu nedenle tebligat alındığında ilk yapılacak iş, karar metnindeki başvuru yolu bilgisinin güncel düzenlemeyle karşılaştırılmasıdır.
Savunma Dosyasının Kurulması
- Veri envanteri, işleme amaçları ve hukuki sebepler tarihli olarak belgelenir.
- Aydınlatma metinleri ve varsa açık rıza kayıtları, ihlal tarihindeki hâliyle saklanır.
- Teknik ve idari tedbirlerin ihlal öncesinde alındığını gösteren kayıtlar derlenir.
- İhlalin tespiti sonrası yapılan müdahaleler zaman çizelgesi hâlinde hazırlanır.
- Veri işleyenlerle yapılan sözleşmeler ve sorumluluk dağılımı ayrıca gösterilir.
Yayın ve İçerik Boyutunun Ayrı Değerlendirilmesi
İhlale konu veriler internet ortamında yayılmışsa, bu boyut kişisel veri mevzuatından bağımsız olarak 5651 sayılı Kanun çerçevesinde ele alınır ve içerik kaldırma talebi ayrı bir mercie yöneltilir. Veri sorumlusunun idari yaptırıma karşı savunma hazırlaması ile ilgili kişilerin içeriğin kaldırılmasını talep etmesi eş zamanlı yürüyen iki farklı süreçtir. Bunların tek dosyada birleştirilmeye çalışılması, her iki tarafta da gecikme yaratır.
Tebligat Sonrası Kontrol Sırası
- Karar tebliğ tarihi belgelenir ve dava açma süresinin son günü belirlenir.
- Kararın dayandığı tespitler madde madde ayrıştırılır.
- Güncel mevzuata göre başvurulacak merci doğrulanır.
- Savunmayı destekleyen teknik kayıtların dosyaya eklenmesi sağlanır.
- Cezanın ödenmesi ile dava açılması arasındaki ilişki, mali sonuçlarıyla birlikte değerlendirilir.
Bu metin genel bilgilendirme amacıyla hazırlanmıştır. Kişisel veri mevzuatında ve başvuru yollarında değişiklik yapılabildiğinden, karar tebliğ edildiğinde güncel düzenlemenin kontrol edilmesi ve süre işlemeye başlamışken hukuki destek alınması gerekir.