Kişisel veri ihlali, bir kayıt sisteminde tutulan verilerin hukuka aykırı biçimde ele geçirilmesi, yayılması veya erişilebilir hâle gelmesidir. Böyle bir olayda veri sorumlusunun ilk sorumluluğu, olayı öğrenir öğrenmez Kurula ve ilgili kişilere gecikmeksizin bildirim yapmaktır. Bu rehber, 6698 sayılı KVKK kapsamında ihlal anından idari yaptırıma kadar uzanan süreci pratik adımlarla ele alır.
İhlal Anında İlk 72 Saat
İhlalin tespit edildiği an, tüm sürecin başlangıç noktasıdır. Bu aşamada sızıntının kapsamı (etkilenen kişi sayısı, veri kategorisi, özel nitelikli veri içerip içermediği) hızla belirlenmeli ve teknik günlük kayıtları dondurulmalıdır. Bildirim yükümlülüğünün doğduğu anı ispatlayamamak, ilerideki savunmanın en zayıf halkasıdır.
Bildirimde Yer Alması Gerekenler
- İhlalin ne zaman ve nasıl gerçekleştiğine dair kronoloji
- Etkilenen veri kategorileri ve yaklaşık kişi sayısı
- Alınan ve alınacak teknik-idari tedbirler
- İlgili kişilere yapılan bilgilendirmenin şekli
Delil Eksikliğinin İdari Cezaya Etkisi
İdari para cezasının belirlenmesinde, sorumlunun ihlal öncesinde makul güvenlik tedbirlerini aldığını gösterebilmesi belirleyicidir. Şifreleme, erişim logları, sızma testi raporları ve eğitim kayıtları önceden arşivlenmemişse, savunma büyük ölçüde beyandan ibaret kalır. En sık görülen kayıp, olay sonrası oluşturulan belgelerin ihlal tarihinden önceye ait olduğunu kanıtlayamamaktır.
İdari Yaptırıma İtiraz
Kurulun idari para cezası kararına karşı kanun yolu açıktır. İtirazda, cezanın hem esasına (kusurun bulunmadığı, tedbirlerin yeterli olduğu) hem de tutarın orantılılığına ayrı ayrı dayanılması sürecin verimini artırır. İtiraz dilekçesi, olay tarihindeki teknik altyapıyı belgeleyen eklerle desteklenmelidir.
Kalıcı Uyum İçin Öneriler
Tek seferlik bir müdahale yerine, ihlal müdahale planının önceden yazılı hâle getirilmesi, veri envanterinin güncel tutulması ve log saklama sürelerinin politikaya bağlanması, benzer olaylarda hem bildirim hızını hem de savunulabilirliği güçlendirir.
Bu metin genel bilgilendirme niteliğindedir; her veri ihlalinin teknik ve hukuki koşulları farklı olduğundan, somut olayda alanında yetkin bir hukukçudan görüş alınması önerilir.