Bir veri ihlalinde tartışma çoğu zaman ihlalin yaşanıp yaşanmadığı üzerinde değil, veri sorumlusunun gerekli teknik ve idari tedbirleri aldığını belgeleyip belgeleyemediği üzerinde yürür. 6698 sayılı KVKK bakımından hesap verebilirlik, iyi niyet beyanıyla değil kayıtla ispatlanır. Verinin yurt dışına aktarıldığı hâllerde ise ihlalin etkisi tek bir kurumun sınırlarını aşar ve aktarımın hukuki dayanağı ayrıca sorgulanır.
İhlal anından itibaren tutulması gereken kayıtlar
İhlalin tespit edildiği an, etkilenen veri kategorileri, yaklaşık ilgili kişi sayısı, olası sonuçlar ve alınan önlemler ayrı ayrı kayda geçirilmelidir. Kurula bildirim ve ilgili kişilere yapılacak duyuru bu kayda dayanır. Sonradan oluşturulan belgelerin ispat gücü sınırlıdır; bu nedenle olay yönetimi sırasında tutulan tutanakların zaman damgalı biçimde saklanması önem taşır.
Yurt dışı aktarımda dayanak sorusu
- Aktarımın açık rızaya mı yoksa başka bir hukuki sebebe mi dayandığı
- Aktarılan ülke veya sektör bakımından yeterlilik kararının bulunup bulunmadığı
- Yeterlilik kararı yoksa uygun güvencelerin hangi belgeyle sağlandığı
- Alıcı tarafın yükümlülüklerinin sözleşmede açıkça düzenlenip düzenlenmediği
- Bulut hizmeti kullanılıyorsa verinin fiilen nerede işlendiği
Şikâyet yolunda sıralama
İlgili kişinin izleyeceği yol bir sıra düzenine bağlıdır: önce veri sorumlusuna başvurulur, verilen cevap yetersiz kalırsa ya da süresinde cevap verilmezse Kurula şikâyette bulunulur. Bu ilk aşama atlandığında şikâyet incelenmeyebilir. Kurul kararlarına karşı gidilecek yol ise idari yargıdır; tazminat talebi ise hukuk mahkemesinde ayrıca ileri sürülür. Aynı olayın 5651 sayılı Kanun kapsamında içerik boyutu varsa, bu talep de ayrı bir usule tabidir. Bu ayrımların gözetilmemesi, hem süre hem de esas bakımından kayıp doğurur.
Kurum tarafında hazırlık
- İşleme envanteri ve saklama-imha politikası güncel tutulur.
- Yetkilendirme matrisi ve erişim logları düzenli olarak gözden geçirilir.
- Veri işleyenlerle yapılan sözleşmelerde sorumluluk paylaşımı açık yazılır.
- Aydınlatma metinleri ile fiilen yapılan işleme faaliyeti karşılaştırılır.
- İhlal senaryoları için önceden yazılı bir müdahale planı hazırlanır.
Buradaki değerlendirmeler geneldir; verinin niteliği, işleme amacı ve aktarımın yapısı sonucu değiştirebilir. Somut bir ihlalde bildirim yapmadan önce hukuki görüş alınması önemlidir.