Kişisel veri uyuşmazlıklarında taraflar çoğu zaman aynı olayı anlatır, farklı olan tek şey kayıtlardır. KVKK ve 6698 sayılı Kanun ile 5651 sayılı Kanun ekseninde bu rehber, veri ihlali sonrasında hem veri sorumlusunun hem ilgili kişinin nasıl bir belge düzeni kurması gerektiğini ve yurt dışı aktarımda hangi noktaların denetlendiğini ele alır.
İhlal anında kurulacak kayıt zinciri
Veri ihlalinde ispatın omurgası, olayın nasıl fark edildiğinden başlayan kesintisiz bir kayıttır. Sistem günlükleri, erişim kayıtları, ihlalin kapsamına ilişkin iç değerlendirme notları, alınan teknik önlemler ve bunların zamanı; sonradan yeniden üretilemeyecek verilerdir. Veri sorumlusu bakımından Kurula ve ilgili kişilere yapılan bildirimlerin içeriği ve zamanı da aynı dosyada tutulmalıdır; bildirimin yapıldığı ancak belgelenemediği durumlar, yapılmamış gibi sonuç doğurabilir.
İlgili kişi için başvuru sırası
- Önce veri sorumlusuna yazılı başvurun; başvurunun ulaştığını gösteren kaydı saklayın.
- Talebinizi somutlaştırın: hangi verinin, hangi işlemeye konu olduğunu belirtin.
- Cevap süresini takvime işleyin; cevapsız kalma da bir sonuç doğurur.
- Ardından öngörülen şikâyet yoluna, süresi içinde başvurun.
- Maddi veya manevi zarar talebinizi ayrı bir hukuki temelde değerlendirin.
Bu sıranın atlanması, esasen haklı bir talebin usul nedeniyle incelenmeden kapanmasına yol açan en yaygın hatadır.
Yurt dışı aktarımda denetlenen noktalar
Yurt dışına aktarım, işlemenin genel şartlarına ek olarak ayrı bir hukuka uygunluk zemini gerektirir. Uygulamada denetim; yeterlilik kararının bulunup bulunmadığı, bulunmuyorsa uygun güvencelerin sağlanıp sağlanmadığı ve istisnai hâllerin koşullarının gerçekleşip gerçekleşmediği üzerinden yürür. Standart sözleşme veya bağlayıcı şirket kuralları gibi araçlara dayanılıyorsa, bunların yalnızca imzalanmış olması yetmez; öngörülen bildirim ve onay adımlarının tamamlandığı da belgelenmelidir.
Belge seti
- Kişisel veri işleme envanteri ve saklama imha politikası
- Aydınlatma metinlerinin yayımlandığı tarihleri gösteren kayıtlar
- Açık rızaya dayanılıyorsa rızanın alındığı ana ilişkin log kaydı
- Aktarım yapılan alıcı grupları ve ülke bilgisi
- Yurt dışı aktarıma dayanak oluşturan sözleşme ve taahhüt metinleri
Usule aykırı işlem nasıl sonuç doğurur
Veri sorumlusu tarafında, ilgili kişi başvurusuna süresinde ve gerekçeli cevap verilmemesi ile bildirim yükümlülüğünün geciktirilmesi; esasa ilişkin savunmalar güçlü olsa dahi olumsuz değerlendirilir. İlgili kişi tarafında ise başvurunun eksik kimlik bilgisiyle yapılması veya talebin belirsiz kalması, dosyanın işlemden kaldırılmasına yol açar. Kurul kararlarına karşı başvurulacak yargı yolu bakımından ise, işlem yapmadan önce güncel mevzuat metninin kontrol edilmesi gerekir; bu konuda yapılan düzenlemeler süre ve merci bakımından belirleyicidir.
Bu metin genel bilgilendirme amacı taşır; veri kategorisi, işleme amacı ve aktarım yapısı her kurumda farklıdır. İhlal şüphesi doğduğu anda, kayıtlar bozulmadan hukuki ve teknik değerlendirme alınması önerilir.