Veri ihlallerinde ceza riskini belirleyen tek etken ihlalin kendisi değildir; ihlalden sonra gösterilen refleks ve bunun belgelenebilirliği de aynı ölçüde ağırlık taşır. 6698 sayılı Kişisel Verilerin Korunması Kanunu bildirim yükümlülüğünü ve idari yaptırımları düzenler; internet ortamındaki yayınlar bakımından 5651 sayılı Kanun ayrıca gündeme gelebilir. Bu rehber, bildirim aşamasını ve gecikmenin yaptırım üzerindeki etkisini ele alır.
İhlalin Öğrenildiği An Kayıt Altına Alınmalı
Bildirim süresi, ihlalin öğrenildiği andan itibaren işler. Bu nedenle dosyanın ilk satırı şudur: olayı kim, hangi kanaldan, hangi saatte öğrendi. Sistem uyarısı, bir çalışanın bildirimi veya üçüncü kişinin ihbarı olabilir. Bu anın belgesiz kalması, sonradan yapılan bildirimin geç sayılması riskini doğurur.
İki Ayrı Bildirim, İki Ayrı Muhatap
- Kurula yapılacak bildirim: ihlalin kapsamı, etkilenen kişi ve kayıt sayısı, olası sonuçları ve alınan tedbirler
- İlgili kişilere yapılacak bildirim: makul en kısa sürede, anlaşılır bir dille ve doğrudan iletişim yoluyla
Yalnızca internet sitesine konulan bir duyuru, doğrudan iletişim kurulabilecek durumlarda genellikle yeterli sayılmaz. Bildirim metninde etkilenen kişiye ne yapması gerektiğinin de söylenmesi beklenir.
Savunmayı Güçlendiren Belgeler Olaydan Önce Üretilir
Ceza aşamasında en çok sorulan soru, ihlalden önce hangi teknik ve idari tedbirlerin alındığıdır. Bu sorunun cevabı olaydan sonra üretilemez. Kişisel veri işleme envanteri, saklama ve imha politikası, erişim yetkisi matrisi, log kayıtları, çalışan gizlilik taahhütleri, veri işleyenlerle imzalanan sözleşmeler ve sızma testi raporları savunmanın gövdesini oluşturur. VERBİS yükümlülüğü kapsamdaysa kaydın güncelliği ayrıca kontrol edilmelidir.
Ceza Kararı Geldiğinde Süre Yeniden Başlar
İdari para cezasına ilişkin karar tebliğ edildiğinde, buna karşı başvuru için tanınan süre kısadır ve kaçırıldığında ceza kesinleşir. Başvuru dilekçesinde yalnızca cezanın ağırlığına değil; ihlalin niteliğine, etkilenen veri kategorisine, alınan tedbirlere ve bildirim davranışına dayanan bir orantılılık tartışması yürütülmelidir. Kararın hangi eylem için verildiği açıkça belirlenmeli, birden fazla eylem için tek karar verilmişse bu ayrım vurgulanmalıdır.
İç Soruşturma ile Dış Yazışmayı Ayırın
İhlal sonrası yürütülen teknik inceleme raporu ile kuruma sunulacak beyan aynı metin olmamalıdır. İç incelemede yer alan varsayımlar, dışarıya kesinleşmiş bilgi gibi aktarıldığında sonradan düzeltilmesi zor beyanlar doğar. Bildirim güncellenebilir; ancak çelişkili beyan güven kaybı yaratır.
Bu açıklamalar genel bilgilendirme niteliğindedir. Etkilenen veri türü, kişi sayısı ve şirketin sıfatı sonucu doğrudan etkilediğinden, bildirimi göndermeden önce metnin bir hukukçu tarafından gözden geçirilmesi yerinde olur.