Bir veri ihlalinde kurumun karşılaştığı asıl sorun çoğu zaman ihlalin kendisi değil, ihlal sonrası yönetilen ilk günlerdir. 6698 sayılı Kişisel Verilerin Korunması Kanunu, işlenen verilerin hukuka aykırı biçimde başkalarınca ele geçirilmesi hâlinde veri sorumlusuna bildirim yükümlülüğü getirir. Bu yükümlülüğün gecikmeli veya eksik yerine getirilmesi, ihlalin teknik boyutundan bağımsız olarak idari para cezası riskini büyütür.
İhlalin Fark Edildiği Anın Kayda Geçirilmesi
Bildirim süresi ihlalin gerçekleştiği andan değil, veri sorumlusunun ihlali öğrendiği andan işlemeye başlar. Kurulun ilke kararı uyarınca bildirimin en geç yetmiş iki saat içinde yapılması beklenir. Bu nedenle öğrenme anının kim tarafından, hangi kayıt üzerinden tespit edildiği kritik önemdedir. Güvenlik yazılımının alarm ürettiği saat, sistem yöneticisinin bilgilendirme e-postası ve olay müdahale ekibinin ilk toplantı notu aynı zaman çizelgesinde tutulmalıdır. Yetmiş iki saat aşılacaksa, gecikmenin gerekçesi bildirimle birlikte açıklanır.
Kurula Bildirim ile İlgili Kişiye Bildirim Aynı Şey Değildir
İki ayrı yükümlülük çoğu kurumda birbirine karıştırılır. Kurula yapılan bildirim, ihlalin kapsamını, etkilenen kişi ve kayıt sayısını, olası sonuçlarını ve alınan tedbirleri içeren resmî bir bilgilendirmedir. İlgili kişiye bildirim ise etkilenen kişinin kendisini koruyabilmesine yöneliktir; sade bir dille, hangi verisinin etkilendiğini ve ne yapması gerektiğini anlatmalıdır. İlgili kişinin iletişim adresi bilinmiyorsa, kurumun kendi internet sitesinde uygun yöntemlerle duyuru yapılması yoluna gidilir.
Cezanın Ağırlığını Etkileyen Somut Unsurlar
- İhlalin etkilediği kişi sayısı ve verinin niteliği; sağlık, biyometrik ve ceza mahkûmiyeti gibi özel nitelikli veriler ağırlaştırıcı etkidedir
- Bildirim yapılmadan önce geçen sürenin uzunluğu ve gecikmenin makul bir gerekçeye dayanıp dayanmadığı
- Olay öncesinde alınmış teknik ve idari tedbirlerin belgelenebilir olması
- Erişim yetkilerinin, günlük kayıtlarının ve şifreleme uygulamalarının denetlenebilir biçimde tutulup tutulmadığı
- İhlal sonrası zararı azaltmaya yönelik adımların hızı ve kapsamı
İdari Para Cezasına Karşı Ne Yapılabilir?
Kurul tarafından verilen idari para cezalarına karşı idare mahkemesinde dava açılabilir. Dava süresi kararın tebliğ tarihinden işlediği için, tebligat zarfının ve tarihinin muhafazası ilk adımdır. Dava dilekçesinde yalnızca cezanın ağır olduğu değil, kurumun olay öncesi ve sonrasında hangi somut tedbirleri aldığı ortaya konmalıdır. İhlal müdahale planı, sızma testi raporları, farkındalık eğitimi kayıtları ve veri işleyenlerle imzalanmış sözleşmeler bu aşamada dosyanın omurgasını oluşturur.
İhlalden Önce Kurulan Savunma
Cezayı azaltan asıl unsur, ihlalden sonra yazılan yazılar değil ihlalden önce kurulmuş sistemdir. Kişisel veri envanteri, saklama ve imha politikası, yetki matrisi ve günlük kayıtlarının belirli bir süre saklanması; olay anında hem teknik müdahaleyi hem hukuki savunmayı kolaylaştırır. Veri işleyen konumundaki tedarikçilerle yapılan sözleşmelerde bildirim yükümlülüğünün açıkça düzenlenmesi, zincirin en zayıf halkasından doğan gecikmeyi önler.
Bu metin genel bilgilendirme amacı taşır; her ihlalin kapsamı ve sonuçları kendi teknik verileri içinde değerlendirilir. Bildirim yapılıp yapılmayacağı konusunda tereddüt varsa, karar öncesinde hukuki ve teknik görüşün birlikte alınması yerinde olur.