Bir veri ihlali yaşandığında ilk soru genellikle "hangi veriler sızdı" olur. Oysa hukuki sorumluluğun kapsamını belirleyen ikinci bir soru daha vardır: bu veriler yurt dışındaki bir sunucuda mı işleniyordu ve aktarım hangi hukuki dayanağa göre yapılmıştı? KVKK (6698) sisteminde yurt dışına aktarım, sıradan bir işleme faaliyeti değil, ayrı şartlara bağlı bir işlemdir.
İhlalin Tespiti ve Bildirim Zinciri
- İhlalin ne zaman öğrenildiği, kim tarafından tespit edildiği ve hangi sistemleri kapsadığı tutanakla kayda geçirilmelidir.
- Veri sorumlusunun Kurul'a bildirim yükümlülüğü ile ilgili kişilere bildirim yükümlülüğü ayrıdır; ikisi de ihmal edilmemelidir.
- Bildirim metninde ihlalin kapsamı, etkilenen veri kategorileri ve alınan tedbirler somut biçimde yer almalıdır.
- İhlalin log kayıtları, bildirim tarihinden sonra da erişilebilir kalacak şekilde arşivlenmelidir.
Aktarımın Dayanağını Belgelemek
Yurt dışı aktarım söz konusuysa, aktarımın hangi mekanizmaya dayandığı dosyada gösterilebilmelidir: ilgili kişinin açık rızası mı, mevzuatta öngörülen taahhüt ve sözleşme araçları mı, yoksa Kurul'un düzenlediği başka bir yol mu? Uygulamada en sık görülen eksiklik, bulut hizmet sağlayıcısıyla imzalanan standart sözleşmenin veri işleme eklerinin bulunmaması veya alt işleyicilerin listelenmemesidir. Envanter ve VERBİS kayıtlarının gerçek durumu yansıtması bu noktada belirleyicidir.
İlgili Kişi İçin Başvuru Sırası
- Önce veri sorumlusuna yazılı başvuru yapılır; talep açıkça yazılmalı (bilgi talebi, silme, aktarımın durdurulması gibi).
- Başvuruya cevap verilmez veya cevap yetersiz kalırsa Kurul'a şikâyet yoluna gidilir.
- Şikâyet dilekçesine, veri sorumlusuna yapılan başvurunun tarihini gösteren belge eklenmelidir.
- Zarar doğmuşsa tazminat talebi genel hükümlere göre ayrıca değerlendirilir.
- Sızan içerik internette yayımlanmışsa 5651 kapsamındaki tedbirler paralel işletilebilir.
Tebligat Gecikmesinin Yarattığı Risk
Bu alanda süreler hem başvuru hem de itiraz tarafında işler. Veri sorumlusuna yapılan başvurunun cevabının geç ulaşması şikâyet takvimini kaydırır; Kurul kararının veya idari yaptırım kararının tebliğinin gecikmesi ise iptal davası süresini eritir. Kurumsal tarafta bu riski düşürmenin yolu, KEP ve e-tebligat kutularını sorumlu bir birime bağlamak ve tebliğ evrakının tarihini merkezî bir kayda işlemektir. İlgili kişi tarafında ise başvuruların iadeli taahhütlü ya da KEP üzerinden yapılması ispat kolaylığı sağlar.
Kayıt Düzeni Neden Sonucu Değiştirir?
İhlal sonrası incelemede en çok sorulan şey, ihlalden önceki teknik ve idari tedbirlerdir. Erişim yetkisi matrisi, log tutma politikası, saklama ve imha politikası ile personel eğitim kayıtları önceden düzenli tutulmuşsa savunma somut dayanağa oturur; sonradan üretilen belgeler ise tarih tutarsızlığı nedeniyle zayıf kalır.
Bu metin genel bilgilendirme amacıyla hazırlanmıştır; veri kategorileri ve aktarım yapısı sonucu doğrudan etkiler. Bildirim süreleri kısa olduğundan, ihlal şüphesi doğduğu anda hukuki destek almanız önerilir.