Bir veri ihlali yaşandığında ortaya çıkan panik, çoğu zaman yanlış sıralamayla yapılan başvurulara yol açar. 6698 sayılı KVKK, hem veri sorumlusuna hem ilgili kişiye ayrı yükümlülük ve haklar tanır; internet ortamındaki yayınlar bakımından 5651 sayılı Kanun ise farklı bir tedbir mekanizması işletir. Yurt dışına aktarım söz konusu olduğunda tablo daha da katmanlanır: burada mesele yalnızca ihlalin giderilmesi değil, aktarımın hangi hukuki zemine dayandığıdır.
İhlal Anında Kim, Kime Bildirim Yapar
Veri sorumlusu, ihlali öğrendiğinde Kurula ve etkilenen ilgili kişilere bildirimde bulunmakla yükümlüdür. Bu, ilgili kişinin başvurusuna bağlı olmayan, kendiliğinden doğan bir yükümlülüktür. İlgili kişi tarafında ise sıra farklıdır: önce veri sorumlusuna yazılı başvuru yapılır, tatmin edici cevap alınamazsa Kurula şikâyet yoluna gidilir. Bu ön basamak atlandığında şikâyet esastan incelenmez.
Yurt Dışı Aktarımda Zemin Kontrolü
Yurt dışına veri aktarımı, tek bir gerekçeye dayanmaz; mevzuat birden çok hukuki zemin öngörür. Bir denetim veya şikâyet hâlinde ilk sorulacak soru, aktarımın hangi zemine dayandığı ve bunun belgelendirilip belgelendirilemediğidir. Pratikte hazır tutulması gereken kayıtlar şunlardır:
- Aktarımın dayandığı hukuki sebep ve bunu gösteren iç karar veya sözleşme
- Aktarılan veri kategorileri, alıcı grupları ve aktarım sıklığı
- Alıcı taraf ile imzalanan sözleşmesel güvenceler ve bunların Kurula bildirimi gerekiyorsa bildirim kaydı
- Aydınlatma metninde aktarımın açıkça belirtilip belirtilmediği
- Bulut hizmeti kullanılıyorsa verinin fiilen nerede tutulduğuna dair teknik bilgi
Sık Yapılan Sıralama Hatası
İlgili kişilerin en sık yaptığı hata, veri sorumlusuna hiç başvurmadan doğrudan Kurula şikâyette bulunmaktır. Kurumların en sık yaptığı hata ise ihlal bildirimini hukuki değerlendirme tamamlanana kadar ertelemektir; oysa bildirim yükümlülüğü, olayın tüm boyutlarının netleşmesini beklemeye izin vermeyen bir zaman baskısı taşır. Üçüncü bir hata da tazminat talebinin Kuruldan istenmesidir; Kurul idari bir denetim mercidir, kişisel zararın tazmini ise yargı yoluna aittir.
Kurul Kararına Karşı Ne Yapılır
Kurul tarafından verilen idari yaptırım kararları idari işlem niteliğindedir ve bunlara karşı idari yargıda iptal davası açılabilir. Buradaki kritik nokta, kararın tebliğ tarihinin doğru tespit edilmesi ve dava süresinin işlemeye başladığının kaçırılmamasıdır. Kurumla yapılan yazışmalar ya da yaptırımın taksitlendirilmesine ilişkin görüşmeler dava süresini durdurmaz.
İhlal Sonrası Kalıcı Düzeltme
Bildirim ve şikâyet süreçleri tamamlansa bile, aynı açığın tekrarını önleyecek teknik ve idari tedbirlerin belgelenmesi gerekir. Erişim yetkilerinin gözden geçirilmesi, log kayıtlarının tutulma süresi, veri saklama ve imha politikasının güncellenmesi, sonraki bir denetimde kurumun iyi niyetini gösteren somut kayıtlardır. Belgelenmemiş bir iyileştirme, yapılmamış sayılma riski taşır.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; veri işleme faaliyetinizin kapsamı yükümlülüklerinizi değiştirebilir. Envanterinizi ve aktarım zeminlerinizi birlikte gözden geçirecek bir hukukçudan görüş almanız, başvuru sırasını doğru kurmanızı sağlar.