Bir veri ihlali yaşandığında kurumların karşılaştığı asıl tehdit, çoğu zaman ihlalin kendisi değil, ihlal sonrası yürütülen sürecin kayıt altına alınmamış olmasıdır. KVKK ve 6698 çerçevesinde idari para cezası gündeme geldiğinde belirleyici olan, usule aykırı işlem nedeniyle savunma imkânının daralıp daralmadığıdır.
İhlal Anından İtibaren Tutulması Gereken Kayıtlar
Veri sorumlusu, ihlali öğrendiğinde Kurula ve ilgili kişilere bildirim yükümlülüğü altındadır. Bildirimin gecikmesi kadar, gecikmenin gerekçesinin belgelenememesi de ayrı bir risk oluşturur. İhlalin tespit edildiği an, etkilenen veri kategorileri, kişi sayısı, alınan teknik önlemler ve sistem üzerinde yapılan müdahaleler kronolojik bir kayıt defterine işlenmelidir. Bu kayıt, sonraki aşamada kusurun ağırlığının değerlendirilmesinde en somut dayanaktır.
Kurul İncelemesinde Savunmanın Kurulması
Kurul incelemesinde istenen bilgi ve belgelerin süresi içinde ve eksiksiz sunulması gerekir. Eksik gönderilen yanıtlar, işlenen verinin niteliği tartışılmadan önce ayrı bir aykırılık başlığı doğurabilir. Savunma metninde teknik önlemler soyut biçimde sayılmamalı; hangi önlemin ne zaman devreye alındığı, log kayıtları ve yetkilendirme matrisiyle desteklenmelidir. Aydınlatma metinleri, açık rıza kayıtları, veri işleme envanteri ve varsa yurt dışına aktarım belgeleri aynı dosyada toplanmalıdır.
Cezaya İtiraz: Merci ve Süre
İdari para cezasına karşı gidilecek kanun yolu ve başvuru süresi, güncel mevzuat hükümlerine göre belirlenir. Bu noktada en sık yapılan hata, geçmiş uygulamaya dayanılarak yanlış mercie başvurulması ve bu sırada başvuru süresinin dolmasıdır. Tebligatın kuruma ulaştığı tarih, kayıt sisteminde ayrıca işaretlenmeli; süre hesabı tebliğ tarihinden itibaren yapılmalıdır. İtiraz dilekçesinde hem cezanın hukuki dayanağına hem de miktarın belirlenmesindeki ölçütlere ayrı ayrı karşı çıkılması, savunmanın kapsamını genişletir.
Kurum İçi Zafiyet Noktaları
- İhlal bildiriminin karar mekanizmasına ulaşmadan teknik ekipte kalması
- Veri işleyenlerle yapılan sözleşmelerde sorumluluk dağılımının belirsiz bırakılması
- Log kayıtlarının saklama süresinin inceleme tamamlanmadan dolması
- İlgili kişi başvurularının kayıt altına alınmadan yanıtlanması
- 5651 kapsamındaki yükümlülüklerin KVKK süreçlerinden ayrı düşünülmesi
İhlal Sonrası Kalıcı Düzeltme
Cezaya itiraz kadar, aynı ihlalin tekrarını önleyen düzeltici eylem planı da önemlidir. Yetki matrisinin gözden geçirilmesi, erişim kayıtlarının düzenli denetlenmesi ve çalışan farkındalık eğitimlerinin belgelenmesi, sonraki incelemelerde iyi niyetin ve özenin göstergesi olarak dosyaya girer.
Yukarıdaki değerlendirmeler genel bilgi amacıyla hazırlanmıştır. Veri işleme faaliyetinizin niteliği ve ihlalin kapsamı, hem yükümlülükleri hem de başvuru yolunu değiştirebileceğinden, sürecin başında hukuki görüş alınması önerilir.