Bir veri ihlali yaşandığında ilk saatlerde alınan kararlar, hem veri sorumlusunun idari yaptırım riskini hem de ilgili kişinin başvuru başarısını doğrudan etkiler. 6698 sayılı KVKK ve internet ortamındaki içerikler bakımından 5651 sayılı Kanun birlikte değerlendirildiğinde, sürecin en kırılgan noktası ihlalin tespiti ile bildirimin yapıldığı an arasındaki boşluktur. Bu rehber, ihlal sonrası Kurula şikâyet yolunu izlerken karşılaşılan usul risklerini azaltmaya odaklanır.
İlk 48 Saatte Kayıt Altına Alınacaklar
İhlalin niteliği sonradan tartışmalı hale geldiğinde, elde kalan tek dayanak o gün alınan kayıtlardır. Bu nedenle şu unsurlar zaman damgalı biçimde saklanmalıdır:
- İhlalin fark edildiği tarih, saat ve fark eden birim
- Etkilenen veri kategorileri ve tahmini kişi sayısı
- Erişim ve sistem günlükleri ile ilgili yedeklerin alındığına dair kayıt
- Alınan acil teknik tedbirler ve bunların uygulanma zamanı
Bildirim Zincirinde Sık Yapılan Hatalar
Veri sorumlusu tarafında en sık görülen hata, ihlalin kapsamı tam olarak netleşmeden bildirim yapılmaması gerektiği varsayımıdır. Kapsamın netleşmesi beklenirken bildirim süresi işlemeye devam eder. İlgili kişi tarafında ise en sık hata, doğrudan Kurula şikâyet edilmesidir; oysa kural olarak önce veri sorumlusuna başvurulması ve cevap için öngörülen sürenin beklenmesi gerekir. Bu ön aşama atlandığında şikâyet usulden reddedilebilir ve arada geçen zaman geri kazanılamaz.
Tebligat Gecikmesinin Yarattığı Sessiz Kayıp
Şikâyet dosyasında Kurul yazışmaları ile veri sorumlusunun tebligat adresi arasındaki uyumsuzluk, sürecin uzamasının başlıca nedenidir. Kayıtlı elektronik posta adresi güncel değilse ya da şirketin ticaret sicilindeki adresi fiilen terk edilmişse, bilgi ve belge talepleri yerine ulaşmaz. Bu durumda hem veri sorumlusu savunma hakkını geç kullanır hem de ilgili kişi sonucu geç öğrenir. Kurul kararına karşı idari yargı yoluna gidilecekse, dava süresi kararın tebliğine bağlı olduğundan tebligat takibi ayrıca önem taşır.
Şikâyet Dilekçesini Güçlendiren Yapı
- Hangi kişisel verinin, hangi işleme faaliyeti sırasında ihlale uğradığını tek paragrafta tanımlayın.
- Veri sorumlusuna yapılan başvuruyu, tarihini ve varsa cevabını ek olarak sunun.
- Uğranılan somut zararı ya da riski soyut ifadelerle değil, örneklerle anlatın.
- Talebinizi ayrı başlıkta ve ölçülebilir biçimde yazın: işlemenin durdurulması, silinmesi, üçüncü kişilere bildirim gibi.
İhlal Sonrası Kalıcı Tedbirler
Aynı açığın tekrarlanması, sonraki incelemelerde ağırlaştırıcı bir unsur olarak değerlendirilebilir. Bu nedenle envanterin güncellenmesi, erişim yetkilerinin daraltılması ve saklama sürelerinin gözden geçirilmesi, ihlal dosyası kapandıktan sonra da sürdürülmelidir.
Yukarıdaki açıklamalar yol gösterici niteliktedir ve her ihlalin teknik yapısı farklıdır. Bildirim ve şikâyet adımlarını atmadan önce, kendi veri işleme faaliyetiniz özelinde profesyonel değerlendirme almanız önerilir.