Bir veri ihlalinin ardından kurumların çoğu teknik müdahaleye odaklanır; oysa hukuki riskin büyüğü bildirim yükümlülüğünün zamanında yerine getirilmemesinden doğar. KVKK ve 6698 sayılı Kanun ekseninde yürüyen süreçte idari para cezası kararının kuruma tebliği ile bu kararın ilgili birimde fark edilmesi arasında geçen zaman, itiraz hakkını fiilen tüketebilir.
İhlal Bildiriminin İki Muhatabı Vardır
Veri sorumlusu, öğrendiği ihlali hem denetim otoritesine hem de etkilenen ilgili kişilere bildirmekle yükümlüdür. Uygulamada en sık atlanan kısım ikincisidir: kuruma yapılan bildirim tamamlandıktan sonra ilgili kişilere ulaşma adımı ertelenir. Bildirimin içeriği de önemlidir; ihlalin ne zaman ve nasıl gerçekleştiği, hangi veri kategorilerinin etkilendiği ve alınan önlemler açıkça yazılmalıdır. Eksik bildirim, hiç bildirim yapılmamış gibi değerlendirilme riski taşır.
Ceza Kararının Kurum İçinde Kaybolması
İdari yaptırım kararları çoğu zaman şirketin kayıtlı elektronik posta adresine ulaşır. Bu adresi düzenli izleyen bir sorumlunun bulunmaması, kararın gecikmeli görülmesine yol açar. Oysa itiraz süresi tebliğ ile işlemeye başlar ve kurum içi gecikme geçerli bir mazeret oluşturmaz. Bu nedenle kayıtlı elektronik posta kutusunun günlük kontrolü ve gelen resmî yazının aynı gün hukuk biriminde kayda alınması, teknik bir önlem kadar değerlidir.
İtiraz Dilekçesinde İşlenecek Eksenler
- İhlalin öğrenilme anı ile bildirim anı arasındaki sürenin belgeyle gösterilmesi
- Alınan teknik ve idari tedbirlerin ihlal öncesinde mevcut olduğunun kanıtlanması
- Etkilenen kişi sayısı ve veri kategorisinin kararda doğru tespit edilip edilmediği
- Yaptırım tutarının fiilin ağırlığı ve kurumun ölçeğiyle orantısı
- Aynı olaya ilişkin başka bir yaptırım bulunup bulunmadığı
Karar Elinize Ulaştığında Sıralama
- Tebliğ tarihi resmî kayda geçirilir ve itiraz için son gün takvime işlenir.
- Karara dayanak yapılan denetim yazışmalarının tam dosya örneği talep edilir.
- Kurum içi olay kayıtları, günlük dosyaları ve müdahale raporları tek klasörde toplanır.
- Ödeme yapılacaksa indirim seçeneğinin itiraz hakkına etkisi ayrıca değerlendirilir.
İhlal Sonrası Kalıcı Düzeltme
Yaptırıma itiraz etmek kadar önemli olan, aynı ihlalin tekrarını engelleyen yapıyı kurmaktır. Erişim yetkilerinin sadeleştirilmesi, günlük kayıtlarının anlamlı süre saklanması, veri işleyenlerle imzalanan sözleşmelerin gözden geçirilmesi ve internet ortamında yayımlanan içerikler bakımından 5651 sayılı Kanun kapsamındaki yükümlülüklerin ayrıca kontrolü bu yapının parçalarıdır.
Yukarıdaki değerlendirmeler genel niteliktedir. Veri kategorisi, etkilenen kişi sayısı ve kararın gerekçesi izlenecek stratejiyi belirleyeceğinden, ceza kararı tebliğ edildikten sonra vakit kaybetmeden hukuki görüş alınması uygun olur.