Bir veri ihlali yaşandığında inceleme çoğu zaman tek bir soruyla sınırlı kalmaz; ihlalin nasıl gerçekleştiği kadar, verinin hangi ülkelere ve hangi hukuki dayanakla aktarıldığı da gündeme gelir. Bu rehber, KVKK ve 6698 sayılı Kanun ile 5651 sayılı Kanun ekseninde yurt dışı aktarım boyutuyla birlikte ihlal sürecinin yönetimini ele alır.
İhlal Bildirimi ile Aktarımın Meşruiyeti Ayrı Konulardır
İhlal bildirimi, olayın ortaya çıkmasının ardından yapılan bir yükümlülüktür; aktarımın hukuka uygunluğu ise ihlalden önceki döneme ilişkin bir değerlendirmedir. Bildirimin zamanında yapılmış olması, aktarımın dayanaksız olduğu yönündeki bir tespiti ortadan kaldırmaz. Bu nedenle iki başlık ayrı ayrı çalışılmalı ve savunma metninde karıştırılmamalıdır.
Aktarım Zincirini Belgelemek
- Verinin hangi hizmet sağlayıcılara, hangi ülkelerde tutulan sistemlere aktarıldığı listelenir.
- Her aktarım için hukuki dayanak ve varsa taahhüt metni veya sözleşme hükmü eşleştirilir.
- Alt işleyen kullanılıyorsa zincir sonuna kadar takip edilir.
- Aydınlatma metninde aktarımın açıklanıp açıklanmadığı kontrol edilir.
- Veri saklama ve imha politikasının fiilen uygulandığını gösteren kayıtlar toplanır.
Kurul İncelemesinde Savunma Dosyasının Kurgusu
- Olay akışı, tespit anı ve alınan ilk teknik önlemler zaman çizelgesi hâlinde sunulur.
- Etkilenen veri kategorileri ve ilgili kişi sayısı somut olarak belirtilir.
- Aktarım söz konusuysa dayanağı ve kapsamı ayrı başlıkta açıklanır.
- İhlalden sonra alınan kalıcı tedbirler ve tekrarını önleyici düzenlemeler gösterilir.
- İlgili kişilere yapılan bilgilendirmenin içeriği ve yöntemi belgelenir.
İlgili Kişi Tarafından Bakıldığında Süreç
Verisi ihlale konu olan kişi açısından ilk adım veri sorumlusuna başvurudur. Başvuruda hangi verinin etkilendiği, aktarım yapılıp yapılmadığı ve alınan önlemler sorulabilir; cevabın yetersiz kalması hâlinde Kurula şikayet yolu açıktır. Ayrıca ihlalden doğan zarar için ayrı bir tazminat talebi gündeme gelebilir; bu talep, idari sürecin sonucundan bağımsız olarak değerlendirilir.
Yaptırım Kararından Sonra: İtiraz mı, Uyum Programı mı
Karar veri sorumlusu aleyhine sonuçlanırsa iki hat birlikte yürütülür. Bir yandan kararın üzerinde gösterilen başvuru yolu ve süresi esas alınarak yargısal itiraz değerlendirilir; diğer yandan tespit edilen aykırılıkların giderilmesi için teknik ve idari tedbirler hızla uygulanır. Yargı yoluna gidilirken yapılan iyileştirmelerin, aykırılığın kabulü izlenimi doğurmayacak biçimde belgelenmesi önemlidir. Aktarım sorunlu bulunmuşsa, aktarımın durdurulması ya da farklı bir hukuki zemine oturtulması seçenekleri de aynı anda ele alınmalıdır.
Bu metin genel bilgilendirme amacı taşır; veri işleme süreçlerinin teknik yapısı ve sözleşme mimarisi sonucu değiştirebilir. Savunma veya başvuru metnini sunmadan önce sistem envanterinizi bilen bir hukukçuyla çalışmanız önerilir.