Bir veri ihlali yaşandığında veri sorumlusunun karşısına iki ayrı yük çıkar: ihlalin bildirilmesi ve sonrasında gündeme gelebilecek idari para cezasına karşı izlenecek yolun belirlenmesi. KVKK ve 6698 çerçevesinde yürüyen bu süreçte, 5651 kapsamındaki içerik boyutu da devreye girebilir. Kayıpların çoğu, ihlalin kendisinden değil, bildirim ve savunma aşamasındaki eksikliklerden doğar.
İhlal Bildiriminde Yapılan Tipik Hatalar
- İhlalin öğrenilme anının kayıt altına alınmaması
- Etkilenen veri kategorilerinin ve ilgili kişi sayısının belirsiz bırakılması
- İlgili kişilere yapılacak duyurunun ihmal edilmesi veya erişilemeyecek bir kanaldan yapılması
- Alınan teknik ve idari tedbirlerin tarihsiz biçimde anlatılması
Savunma Yazısı Bir Şekil Şartı Değildir
Kurul incelemesi sırasında istenen savunma, cezanın miktarını etkileyen asıl metindir. Burada anlatılması gereken, sadece ihlalin nasıl olduğu değil; ihlal öncesinde alınmış tedbirlerin varlığı, ihlalin fark edilmesinden sonra geçen süre ve alınan düzeltici önlemlerdir. Envanter, saklama ve imha politikası, erişim yetkilendirme kayıtları ve varsa sızma testi raporları bu anlatımı somutlaştırır.
Ceza Kararı Tebliğ Edildiğinde İlk Kontrol
- Kararın tebliğ tarihi belgelenir; süre bu tarihten işlemeye başlar.
- Kararın sonuç kısmında gösterilen kanun yolu, başvurulacak merci ve süre birlikte okunur.
- Yürürlükteki düzenlemede görevli merciin değişmiş olma ihtimali ayrıca doğrulanır.
- Yanlış merciye yapılan başvurunun süreyi korumayabileceği dikkate alınır.
İtiraz Etmek ile Ödemek Arasındaki Değerlendirme
Karara karşı başvuru yapılıp yapılmayacağı, yalnızca tutarla değil; kararın gerekçesinin ileride benzer denetimlerde emsal oluşturup oluşturmayacağıyla da ilgilidir. Aynı yapısal eksikliğe dayanan bir gerekçe düzeltilmediği sürece tekrarlanan bir risk yaratır. Buna karşılık gerekçe münferit bir olaya dayanıyorsa ve düzeltici tedbirler tamamlanmışsa, süreci uzatmamak tercih edilebilir.
İhlalden Sonra Kalıcı Hale Getirilmesi Gerekenler
Süreç kapandıktan sonra yapılması gereken, olayı tekrar etmeyecek bir düzen kurmaktır: yetki matrisinin gözden geçirilmesi, log kayıtlarının saklanma süresinin tanımlanması, veri işleyenlerle imzalanan sözleşmelerin güncellenmesi ve çalışanlara yönelik farkındalık eğitimlerinin belgelenmesi.
Bu içerik yalnızca genel bilgilendirme sağlar. İhlalin kapsamı, sektör ve işlenen verinin niteliği yükümlülükleri değiştirir; karar tebliğ edildiğinde vakit kaybetmeden hukuki değerlendirme alınması önerilir.