Bir veri ihlali yaşandığında veri sorumlusunun karşılaştığı süreç iki ayrı koldan ilerler: bir yandan ihlalin bildirimi ve teknik önlemler, diğer yandan ilgili kişilerin başvuruları ve olası idari yaptırım. KVKK ve 6698 sayılı Kanun ile içerik boyutunda 5651 sayılı Kanun birlikte değerlendirildiğinde, bu iki kolun ayrı ayrı planlanması gerektiği görülür.
İhlal Bildirimi: Gecikme Ayrı Bir Sorumluluk Doğurur
Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusunun Kurula ve ilgili kişilere bildirimde bulunması gerekir. Bildirim yükümlülüğünün geciktirilmesi, ihlalin kendisinden bağımsız bir değerlendirme konusu olur. Bu nedenle olayın fark edildiği an, kapsamı tam olarak netleşmemiş olsa dahi kayıt altına alınmalı; sonraki bilgiler tamamlayıcı bildirimle iletilmelidir.
İlgili Kişi Başvurusunun Yönetimi
- Başvuru veri sorumlusuna yapılır ve kanunda öngörülen süre içinde cevaplanması gerekir.
- Cevap verilmemesi ya da yetersiz görülmesi hâlinde ilgili kişi Kurula şikayet yoluna gidebilir.
- Cevap metni, sonraki aşamada dosyanın çekirdeğini oluşturur; standart bir yazı yerine somut talebe karşılık gelen açıklama yazılmalıdır.
- Talep kısmen kabul ediliyorsa, hangi kısmın hangi gerekçeyle karşılanmadığı ayrı ayrı belirtilmelidir.
İdari Para Cezasında İtiraz Merciini Doğrulamak
Kurul tarafından uygulanan idari para cezalarına karşı gidilecek yargı yolu, mevzuatta yapılan değişikliklerle farklılaşmıştır. Bu nedenle karar tebliğ edildiğinde ilk yapılacak iş, kararın kendisinde gösterilen başvuru yolu ve süresinin teyit edilmesidir. Yanlış mercie yapılan başvuru, süre geçtikten sonra düzeltilemeyeceği için cezanın kesinleşmesine yol açar. Karar metninde belirtilen süre, tebliğ tarihi belgelenerek takvime işlenmelidir.
İlgili Kişiyle Anlaşmak Yaptırımı Ortadan Kaldırmaz
Zarar gören kişiyle yapılan bir sulh anlaşması, o kişinin talepleri bakımından sonuç doğurur; ancak idari yaptırım süreci kamusal niteliktedir ve taraf iradesiyle sona ermez. Bu iki süreci tek bir müzakerede birleştirmek, hem yaptırım riskinin küçümsenmesine hem de gereksiz taahhütler verilmesine neden olur.
İhlal Sonrası Kalıcı Düzeltme
Yaşanan olayın teknik ve idari tedbirlerdeki hangi boşluktan kaynaklandığı, yazılı bir değerlendirme raporuyla ortaya konmalıdır. Aynı boşluğun sürdüğü bir yapıda ikinci ihlalin gerçekleşmesi, sürecin bütününü ağırlaştırır. Envanterin güncellenmesi, erişim yetkilerinin gözden geçirilmesi ve saklama sürelerinin sadeleştirilmesi bu aşamanın somut adımlarıdır.
Buradaki açıklamalar genel bilgilendirme amaçlıdır ve her ihlal kendi koşullarında değerlendirilir. Bildirim veya itiraz adımını atmadan önce dosyanın teknik ve hukuki yönlerinin birlikte incelenmesi tavsiye edilir.