Bir veri ihlali yaşandığında veri sorumlusunun karşılaştığı asıl baskı teknik değil, hukukidir: olayın kapsamı henüz netleşmeden bildirim yükümlülüğünün süresi işlemeye başlar. 6698 sayılı Kişisel Verilerin Korunması Kanunu, işlenen verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusunun en kısa sürede Kurula ve ilgili kişilere bildirimde bulunmasını öngörür. Kurulun ilke kararıyla bu süre pratikte yetmiş iki saat olarak uygulanmaktadır.
Bildirimin Zamanı ile Kapsamı Arasındaki Gerilim
Uygulamadaki en yaygın hata, ihlalin tüm ayrıntısı netleşene kadar bildirimin ertelenmesidir. Oysa bildirim aşamalı yapılabilir: ilk bildirimde olayın niteliği, etkilenen veri kategorileri ve alınan ilk önlemler yer alır; ayrıntı sonradan tamamlanır. Sürenin başlangıcı ise ihlalin öğrenildiği andır, ihlalin gerçekleştiği an değil. Bu nedenle olayın hangi saatte ve kim tarafından öğrenildiği, kurum içi kayıtla sabitlenmelidir; bu tek satırlık kayıt, sonraki inceleme sürecinin merkezinde yer alır.
İlgili Kişilere Bildirimde Ölçüt
- Bildirim, ilgili kişinin doğrudan ulaşılabildiği kanaldan yapılmalıdır
- Etkilenen veri kategorileri açık ve teknik olmayan bir dille anlatılmalıdır
- Muhtemel sonuçlar ve alınabilecek koruyucu adımlar belirtilmelidir
- İletişim adresi bulunamayan kişiler için uygun yöntemin gerekçesi kayda geçirilmelidir
İdari Para Cezasında Belirleyici Olan Unsurlar
Kanun, veri güvenliğine ilişkin yükümlülüklerin ihlali, aydınlatma yükümlülüğünün yerine getirilmemesi, Kurul kararlarının uygulanmaması ve sicile kayıt yükümlülüğünün ihlali bakımından ayrı idari para cezaları öngörür. Uygulamada cezanın miktarını etkileyen unsurlar arasında ihlalin süresi, etkilenen kişi sayısı, verinin özel nitelikli olup olmaması, alınmış teknik ve idari tedbirlerin varlığı ve veri sorumlusunun sürece katkısı öne çıkar. Bu nedenle savunma dosyasında yalnızca olay anlatımı değil, ihlalden önce alınmış tedbirlerin belgeleri de yer almalıdır.
Ceza Tebliğ Edildiğinde: Kanun Yolunu Doğru Belirlemek
İdari para cezasına karşı başvurulacak merci ve süre, cezanın dayanağına ve tebliğ tarihine göre belirlenir. Bu konu son yıllarda mevzuat değişikliklerine konu olduğundan, kararı elinize aldığınız gün yürürlükteki hükmün teyit edilmesi gerekir. Süresi içinde yanlış mercie yapılan başvuru, çoğu durumda süreyi korumaz. Tebligatın usulüne uygunluğu ve tebliğ tarihi de bu aşamada kontrol edilmesi gereken ilk noktadır.
İhlal Sonrası Kalıcı Hâle Getirilecek Beş Kayıt
- Kişisel veri işleme envanterinin güncellenmiş hâli
- Veri güvenliği önlemlerine ilişkin teknik dokümantasyon ve log politikası
- Veri işleyenlerle imzalanan sözleşmelerdeki güvenlik taahhütleri
- Çalışanlara verilen farkındalık eğitimlerinin tarihli kayıtları
- İhlal müdahale planı ve olay günlüğü
Bilişim ortamında yayılan içerik söz konusuysa 5651 sayılı Kanun kapsamındaki kaldırma yolları da paralel olarak değerlendirilmelidir. Bu yazı genel bilgilendirme amaçlıdır; ihlalin kapsamı ve veri kategorisi sonuçları değiştirebileceğinden, bildirim süresi işlemeye başladığı anda hukuki destek alınması önerilir.