Bir veri ihlali bildirimi yapıldığında inceleme çoğunlukla ihlalin kendisiyle sınırlı kalmaz; verinin nerede işlendiği, hangi tedarikçiye verildiği ve yurt dışına aktarılıp aktarılmadığı da gündeme gelir. Bu iki başlık tek dosyada karışırsa savunma zayıflar.
İki Ayrı Dosya, İki Ayrı Kanıt Seti
İhlal dosyasında sorulan sorular teknik ve zamansaldır: ihlal ne zaman öğrenildi, kaç kişi etkilendi, hangi veri kategorileri açığa çıktı, hangi önlemler alındı. Aktarım dosyasında ise sorular hukukidir: aktarımın dayanağı nedir, taahhütname veya bağlayıcı kurallar var mıdır, veri sahibi bilgilendirilmiş midir. KVKK ve 6698 çerçevesinde bu iki başlığın kanıtları ayrı klasörlerde tutulmalı, birbirine referans veren tek bir kronoloji tablosuyla birleştirilmelidir.
Aktarımın Dayanağını Belgeleyen Kayıtlar
- Veri işleyen ve tedarikçi sözleşmelerinin imzalı hâlleri
- Sunucu ve barındırma hizmetinin fiziki konumunu gösteren teknik belgeler
- Aydınlatma metinlerinin tarihli sürümleri ve yayınlandığı ekranlar
- Açık rıza alınmışsa rızanın alındığı arayüz ve kayıt logları
- Veri envanteri ve işleme faaliyetleri kaydının güncel sürümü
Bildirim Zamanlaması Neden Kritik
Veri ihlallerinde bildirim yükümlülüğü kısa süreye bağlanmıştır ve süre ihlalin öğrenildiği andan itibaren işler. Öğrenme anının belgelenmemesi, gecikmeli bildirim tartışmasını doğrudan aleyhe çevirir. Bu nedenle güvenlik ekibinin ilk alarm kaydı, olay yönetim sistemine düşen ticket ve yöneticiye yapılan ilk bildirim e-postası saklanmalıdır. İlgili kişilere yapılan bilgilendirmenin metni ve gönderim kayıtları da aynı dosyada tutulmalıdır.
Veri Sahibi Başvurusundan Kurul Şikâyetine Zincir
- İlgili kişi önce veri sorumlusuna yazılı başvurur; başvurunun tarihi ve içeriği kayda geçirilir.
- Veri sorumlusunun yanıt süresi kanunda belirlenmiştir; yanıt verilmemesi de bir sonuç doğurur.
- Yanıt yetersiz veya olumsuzsa Kurula şikâyet yoluna gidilir; bu başvuru için öngörülen süre hak düşürücü niteliktedir.
- Kurul kararına karşı idari yargı yolu ayrı bir takvim başlatır.
İnternet Ortamındaki Yayılımın Ayrı Boyutu
Sızan veriler internette yayınlanmışsa, 5651 kapsamındaki içerik kaldırma ve erişim engelleme yolları paralel olarak işletilmelidir. Bu süreç idari yaptırım riskini ortadan kaldırmaz; ancak zararın büyümesini sınırlandırdığını göstermesi bakımından savunmada dikkate alınır. Kaldırma başvurularının tarihleri ve sonuçları da kronoloji tablosuna eklenmelidir.
Yukarıdaki çerçeve genel bilgilendirme amaçlıdır. Kurumunuzun veri akışı, tedarikçi yapısı ve teknik altyapısı yükümlülüklerin kapsamını değiştirir; savunma dosyasının uzman desteğiyle hazırlanması yerinde olur.