Bir veri ihlali yaşandığında tartışma yalnızca ihlalin nasıl gerçekleştiğiyle sınırlı kalmaz; verinin nereye aktarıldığı, aktarımın hangi hukuki dayanağa oturduğu ve bunun belgeyle gösterilip gösterilemediği hızla gündeme gelir. KVKK ve 6698 çerçevesinde veri sorumlusundan beklenen şey iyi niyet beyanı değil, aldığı tedbirleri ve aktarım gerekçesini kayıtla ortaya koymasıdır. 5651 kapsamındaki yükümlülükler de log tutma tarafında bu tabloyu tamamlar.
İhlal Anında Kurulacak Kayıt Düzeni
İhlalin tespit edildiği an, ispat açısından geriye dönülemez bir eşiktir. Sistem üzerinde yapılan müdahale kayıt altına alınmazsa, sonradan hangi verinin hangi tarihte etkilendiği gösterilemez. Bu aşamada tutulması gereken asgari kayıt seti şudur:
- İhlalin tespit tarihi, tespit eden birim ve ilk müdahale adımları
- Etkilenen veri kategorileri ve yaklaşık ilgili kişi sayısı
- Erişim ve sunucu logları ile bunların bütünlüğünü koruyan saklama yöntemi
- İlgili kişilere ve Kurul'a yapılan bildirimlerin metni ve zaman damgası
Yurt Dışı Aktarımda İspat Yükü Kimde
Aktarımın hukuka uygun olduğunu göstermek, aktaran taraf üzerindedir. Bu nedenle sunucusu yurt dışında bulunan bir hizmet kullanılıyorsa, sözleşme metni tek başına yeterli sayılmaz. Aranan şey, aktarımın hangi hukuki zemine dayandığının ve alıcı tarafta hangi güvenlik tedbirlerinin uygulandığının belgelenmesidir. Uygulamada en sık karşılaşılan eksiklik, hizmet sağlayıcıların alt yüklenicilerinin envanterde hiç yer almamasıdır; veri işleme envanteri gerçek veri akışıyla uyuşmadığında, savunma daha ilk aşamada zayıflar.
Kurul Süreci ile Tazminat Davasının Farklı Mantığı
Kurul incelemesi idari yaptırıma odaklanır ve büyük ölçüde belge üzerinden yürür. Tazminat davasında ise ilgili kişinin uğradığı zararı ve ihlalle bağlantısını göstermesi beklenir. İki süreç birbirini besler: idari süreçte ortaya çıkan tespitler, hukuk davasında dayanak hâline gelir. Bu nedenle veri sorumlusu tarafında verilen savunmanın, ileride açılabilecek tazminat davaları düşünülerek yazılması gerekir; aceleyle yazılmış geniş kapsamlı kabul beyanları sonradan aleyhe kullanılabilir.
Uzlaşma Seçeneği Nerede Anlamlı
İlgili kişi sayısı yüksek ve zarar kalemleri sınırlıysa, tazminat taleplerinin toplu biçimde ve erken aşamada karşılanması, hem itibar hem gider yönetimi açısından savunulabilir. Buna karşılık ihlalin varlığı ya da veri sorumlusu sıfatı tartışmalıysa erken kabul, benzer taleplerin önünü açar. Karar verirken sorulacak soru şudur: uyuşmazlık ihlalin varlığına mı, yoksa sonuçlarının kapsamına mı ilişkindir.
Bilgilendirme
Buradaki değerlendirmeler geneldir; veri kategorisi, aktarım yapısı ve kurumsal büyüklük yükümlülüklerin ağırlığını değiştirir. Bildirim yapmadan ve savunma hazırlamadan önce sürecin bir hukukçuyla birlikte planlanması yerinde olur.