Bir veri ihlali incelemesinde tartışma çoğu zaman ihlalin gerçekleşip gerçekleşmediğinden çıkıp, verinin nereye aktarıldığı ve bu aktarımın hangi hukuki zemine dayandığı sorusuna kayar. 6698 sayılı KVKK ve 5651 sayılı kanunun kesiştiği bu alanda veri sorumlusunun savunması, tuttuğu kayıtların kalitesinden daha güçlü olamaz. Delil eksikliği burada genellikle ihlal anında değil, ihlalden yıllar önce kurulmayan kayıt düzeninden doğar.
İhlal Bildirimi Dosyanın Omurgasıdır
Kurula yapılan ihlal bildiriminde yazılanlar, sonraki tüm aşamalarda veri sorumlusunu bağlar. Bildirimde etkilenen veri kategorileri, ilgili kişi sayısı ve alınan tedbirler eksik ya da çelişkili anlatılırsa, sonradan yapılan düzeltmeler inandırıcılığı zayıflatır. Bu nedenle bildirim öncesinde teknik ekibin bulgularının yazılı bir olay raporuna dönüştürülmesi gerekir.
Aktarımın Hukuki Dayanağını Gösteren Belgeler
Yurt dışına aktarımın hukuka uygunluğu iddia edilecekse, bunun dosyada görünür olması gerekir. Uygulamada aranan belge seti şöyle özetlenebilir:
- Aktarımın hangi mekanizmaya dayandığını gösteren sözleşme veya taahhüt metinleri
- Alıcı tarafın bulunduğu ülke ve sunucu konumuna ilişkin teknik doğrulama
- Aydınlatma metinlerinin aktarım bilgisini içeren sürümleri ve bunların yürürlük tarihleri
- Açık rızaya dayanılıyorsa rızanın alındığı anı gösteren sistem kaydı
Aydınlatma metninin yalnızca güncel hâlinin sunulması yeterli değildir; ihlal tarihinde yürürlükte olan sürümün gösterilmesi gerekir. Sürüm geçmişi tutulmayan sistemlerde bu nokta savunmanın en zayıf halkasına dönüşür.
İşleme Envanteri ve Tedarikçi Zinciri
Verinin hangi süreçte toplandığı, nerede saklandığı ve hangi tedarikçilere aktarıldığı envanterde izlenebilir değilse, aktarımın kapsamı hakkında yapılan açıklamalar doğrulanamaz. Bulut hizmeti, çağrı merkezi ve analiz araçları gibi alt yükleniciler çoğu zaman gözden kaçar. Zincirin her halkası için ayrı bir veri işleme sözleşmesi bulunması, incelemede somut karşılık bulur.
İlgili Kişi Başvurusunun Delil Değeri
İlgili kişinin veri sorumlusuna yaptığı başvuru ve verilen cevap, sonraki aşamalarda iki taraf için de delil oluşturur. Cevapta yazılan teknik açıklamalar, Kurul incelemesinde sunulan beyanlarla çelişmemelidir. Başvuruya süresi içinde ve içerikli cevap verilmemesi ise başlı başına ayrı bir tartışma başlığı yaratır.
İnceleme Öncesi Kendi Dosyanızı Test Etmek
Savunma hazırlanırken faydalı bir yöntem, dosyayı dışarıdan bakan biri gibi okumaktır: her iddianın karşısında hangi belge var, o belge tarihli mi, kim tarafından üretilmiş ve sonradan değiştirilmediği nasıl gösterilecek. Bu üç soruya cevap veremeyen kalemler, incelemede de karşılık bulmaz.
Yukarıdaki değerlendirmeler genel çerçeve sunar; veri türü, aktarım modeli ve kurum yapısı somut olayda farklı yükümlülükler doğurabilir. Bildirim ve savunma metinlerini oluşturmadan önce hukuki destek almanız yerinde olacaktır.