Bir veri ihlali yaşandığında incelemenin odağı hızla tek bir soruya kayar: bu veri nerede tutuluyordu ve yurt dışına aktarılmış mıydı? Sorunun cevabı belgelerle verilemediğinde, ihlalin teknik boyutundan bağımsız olarak sorumluluk tablosu ağırlaşır. Bu rehber, aktarım kayıtlarının ihlal anında nasıl işe yaradığını ele alır.
İhlal Anında Cevaplanması Gereken Üç Soru
KVKK kapsamında bir ihlal tespit edildiğinde ilk belirlenmesi gereken hususlar; etkilenen veri kategorileri, etkilenen kişi sayısı ve verinin bulunduğu sistemlerin coğrafi konumudur. Bu üçü bilinmeden ne ilgili kişilere yapılacak bildirimin içeriği ne de Kurula yapılacak bildirim doğru kurulabilir. Bildirimin gecikmesi kadar, eksik bilgiyle yapılması da ayrı bir sorun doğurur.
Aktarım Zincirini Görünür Kılmak
- Kullanılan bulut ve barındırma hizmetlerinin sunucu konumları
- Analitik, e-posta gönderim ve müşteri destek araçlarının veri işleme kapsamı
- Grup şirketleri arasında yapılan aktarımların dayanağı
- Aktarımın hangi hukuki mekanizmaya dayandığını gösteren belge ve taahhütler
- Alt işleyicilerin listesi ve bunların değiştiği tarihler
Envanter ile Gerçeğin Örtüşmesi
Uygulamada en sık rastlanan tablo şudur: kâğıt üzerindeki veri envanteri ile sistemin fiilî durumu birbirini tutmaz. Yeni eklenen bir araç envantere işlenmemiştir ya da eski bir entegrasyon kapatıldığı hâlde kayıtta durmaktadır. İhlal incelemesinde bu uyumsuzluk, sürecin bütününe dair güveni zedeler. Bu nedenle envanter, yılda bir güncellenen bir belge olarak değil, sistem değişikliklerine bağlı olarak güncellenen canlı bir kayıt olarak tutulmalıdır.
İlgili Kişiye Yapılan Bildirimin İçeriği
- İhlalin ne zaman ve nasıl gerçekleştiği sade bir dille açıklanır.
- Hangi veri kategorilerinin etkilendiği belirtilir; genel ifadelerden kaçınılır.
- Kişinin alması önerilen somut önlemler yazılır.
- Başvuru yapılabilecek iletişim kanalı ve yetkili birim gösterilir.
- Bildirimin gönderildiği tarih ve kanal ayrıca kayda geçirilir.
İnternet Ortamına Yayılan Veriler
İhlal sonucu veriler internet ortamında yayımlanmışsa, mesele yalnızca bildirimle sınırlı kalmaz. 5651 sayılı Kanun çerçevesinde içeriğin çıkarılması veya erişimin engellenmesi yollarının işletilmesi gerekir. Bu aşamada içerik adreslerinin tam listesi, tespit tarihiyle birlikte hazırlanmış olmalıdır; sonradan derlenen listeler çoğu zaman eksik kalır.
Buradaki açıklamalar genel niteliktedir ve her ihlalin kapsamı, kullanılan altyapı ile veri türüne göre farklı sonuçlar doğurur. Bir ihlal şüphesi varsa teknik ve hukuki değerlendirmenin eş zamanlı yürütülmesi, kayıp süreyi en aza indirir.