Veri ihlali yaşandığında kurumların karşılaştığı asıl sorun teknik müdahale değil, olayın hangi anda ne kadar bilindiğini gösterebilmektir. 6698 sayılı KVKK veri sorumlusuna ihlali ilgili kişilere ve Kurula bildirme yükümlülüğü yükler; bu yükümlülüğün ihlali idari para cezası gündemine yol açar. İnternet ortamındaki yayın boyutu söz konusu olduğunda 5651 sayılı Kanun kapsamındaki süreçler de devreye girebilir. Bu rehber, kayıt tutma pratiğinin ceza riskini nasıl azalttığına odaklanır.
İhlalin Öğrenildiği An Neden Kritiktir
Bildirim yükümlülüğü, ihlalin öğrenilmesinden itibaren işlemeye başlar. Bu nedenle öğrenme anının belgeye bağlanması, sonradan yapılacak her değerlendirmenin başlangıç noktasıdır. Sistem uyarısının düştüğü saat, olayın hangi ekibe hangi kanaldan iletildiği ve ilk müdahale kararının kim tarafından verildiği kayıt altına alınmalıdır. Bu kayıt yoksa, gecikme iddiasına karşı savunma yapılamaz.
İhlal Dosyasında Bulunması Gereken Kayıtlar
- Olay zaman çizelgesi: tespit, doğrulama, sınırlama ve kapatma adımlarının saatleri
- Etkilenen veri kategorileri ve yaklaşık ilgili kişi sayısına ilişkin analiz
- Sistem ve erişim kayıtlarının incelenmesine ilişkin teknik rapor
- Alınan teknik ve idari tedbirlerin öncesi ve sonrası karşılaştırması
- İlgili kişilere yapılan bildirimin metni ve gönderim kayıtları
Bildirim Metnini Kurmak
Bildirim metninin fazla teknik yazılması, ilgili kişilerin ne yapması gerektiğini anlamasını engeller. Metinde ihlalin ne zaman gerçekleştiği, hangi veri türlerinin etkilendiği, olası sonuçların neler olabileceği ve alınabilecek önlemlerin neler olduğu sade bir dille anlatılmalıdır. Belirsiz ifadelerle yazılmış bildirimler, hem şikâyetleri artırır hem de yükümlülüğün yerine getirilmediği yönünde değerlendirmeye açık hâle gelir.
Kayıt Eksikliğinin Ceza Aşamasındaki Yansıması
İdari para cezası değerlendirmesinde, alınan tedbirlerin ihlalden önce mi sonra mı hayata geçirildiği önem taşır. Kurum ihlalden önce risk analizi yaptığını, erişim yetkilerini sınırladığını ve saklama sürelerini belirlediğini gösteremiyorsa, sonradan yapılan iyileştirmeler geçmişi telafi etmez. Bu nedenle envanter, politika ve eğitim kayıtlarının tarihli biçimde saklanması sonuç doğuran bir savunma unsurudur.
Ceza Kararına Karşı İzlenecek Yol
İdari para cezası tebliğ edildiğinde, tebliğ tarihinin ve başvuru süresinin ilk günden hesaplanması gerekir. İtiraz aşamasında yeni bir hikâye kurmak yerine, ihlal anında tutulmuş kayıtlara dayanmak daha güçlü sonuç verir. Bu da yine sürecin başında yapılan kayıt disiplinine bağlıdır; ihlal günü tutulmayan not, aylar sonra üretilemez.
Bu yazı genel bilgilendirme niteliğindedir ve somut bir ihlal olayına ilişkin görüş içermez. Veri işleme faaliyetinizin yapısı yükümlülükleri değiştirdiğinden, süreçlerinizi hukuki destekle birlikte gözden geçirmeniz önerilir.