Bir veri ihlali yaşandığında inceleme çoğu zaman tek bir soruyla sınırlı kalmaz. Kuruma yapılan bildirimin ardından, verinin hangi sunucuda tutulduğu ve yurt dışına hangi hukuki dayanakla aktarıldığı da gündeme gelir. Bu iki başlık aynı dosyanın parçası olduğundan, ihlal yönetimi ile aktarım belgelerinin birlikte hazırlanması gerekir.
İhlal Bildiriminin Takvimi
6698 sayılı Kanun kapsamında veri sorumlusu, ihlali öğrendiğinden itibaren en kısa sürede Kişisel Verileri Koruma Kuruluna bildirimde bulunmakla yükümlüdür. Kurulun ilke kararlarında bu süre yetmiş iki saat olarak belirlenmiştir. İlgili kişilere de makul en kısa sürede, uygun yöntemle bildirim yapılması beklenir. Bildirim formunda ihlalin türü, etkilenen kişi ve kayıt sayısı, olası sonuçlar ve alınan önlemler yer alır.
Yurt Dışı Aktarımın Dayanağını Belgelemek
Aktarımın hukuki dayanağı; yeterlilik kararı, uygun güvenceler ya da kanunda sayılan istisnai hâllerden hangisine dayanıyorsa dosyada gösterilmelidir. Standart sözleşmeye dayanan aktarımlarda, sözleşmenin imzalanmasının ardından kanunda öngörülen kısa süre içinde Kuruma bildirim yapılması gerekir. Bu bildirimin yapılmamış olması, ihlal incelemesinde ayrıca değerlendirilen bir eksikliktir.
- Veri envanteri ve işleme faaliyetlerinin kaydı
- Yurt dışındaki alıcı ile imzalanan sözleşme metinleri
- Bulut hizmet sağlayıcısının sunucu konumuna ilişkin taahhüdü
- Aydınlatma metinleri ve varsa açık rıza kayıtları
- Teknik ve idari tedbirlere ilişkin denetim raporları
İlgili Kişinin Başvurusu ve Şikâyet Yolu
İlgili kişi önce veri sorumlusuna başvurmak zorundadır. Veri sorumlusunun cevap vermemesi ya da cevabın yetersiz bulunması hâlinde Kurula şikâyet yolu açılır. Kanunda başvuruya cevap ve şikâyet için ayrı süreler öngörülmüştür; bu süreler birbirine karışmayacak biçimde takvimlenmelidir. Doğrudan Kurula yapılan ve öncesinde veri sorumlusuna başvurulmamış şikâyetler bu nedenle sonuçsuz kalabilir.
Karara ve İdari Para Cezasına İtiraz
Kurul kararlarına ve verilen idari para cezalarına karşı yargı yolu açıktır. Görevli yargı yeri konusunda son dönemde yapılan mevzuat değişiklikleri nedeniyle, başvurudan önce yürürlükteki düzenlemenin ve karar tebliğ yazısındaki başvuru yolu açıklamasının kontrol edilmesi gerekir. Süre, kararın tebliğ tarihinden işler.
Usule Aykırı İşlem Riski
Bildirim formunun eksik doldurulması, ihlalin öğrenildiği tarihin belgelenememesi, log kayıtlarının incelemeden önce silinmesi ve ilgili kişilere yapılan duyurunun kanıtlanamaması en sık rastlanan aksaklıklardır.
Bu metin genel bilgilendirme amaçlıdır. Veri koruma mevzuatı sık güncellendiğinden, uygulamaya geçmeden önce güncel düzenlemeler ve profesyonel destek esas alınmalıdır.