Bir veri ihlali yaşandığında ilk sorulan soru genellikle kaç kişinin etkilendiğidir. Oysa 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında yürütülen incelemelerde belirleyici olan ikinci bir eksen daha vardır: etkilenen verilerin yurt dışına aktarılıp aktarılmadığı ve bu aktarımın hangi hukuki dayanağa oturduğu. Bulut hizmetlerinin yaygınlığı düşünüldüğünde bu soru artık istisnai değil, neredeyse her ihlal dosyasının parçasıdır.
İhlalin Kapsamını Aktarım Zinciri Üzerinden Çıkarmak
Veri sorumlusunun kendi sunucusunda tuttuğu veri ile hizmet aldığı sağlayıcının altyapısında bulunan veri çoğu kez aynı kayıt setinin farklı kopyalarıdır. İhlalin kapsamı belirlenirken yalnızca doğrudan erişilen sistem değil, o sistemden veri alan tüm işleyen ve alt işleyenler haritalanmalıdır. Bu haritanın ihlal anında değil, önceden hazırlanmış olması gerekir; kriz anında çıkarılan envanter neredeyse her zaman eksik kalır.
Aktarımın Hukuki Dayanağını Belgelemek
Kanunda yurt dışına aktarım için öngörülen yollar arasında yeterlilik kararı, uygun güvencelerin sağlanması ve belirli hâllerle sınırlı arızi durumlar yer alır. Uygun güvence yolu tercih edilmişse, kullanılan standart sözleşme metninin imzalanmış hâli ve Kuruma yapılan bildirim kaydı dosyada bulunmalıdır. İnceleme sırasında bu belgelerin sunulamaması, aktarımın hiç yapılmamış olmasından daha ağır bir sonuç doğurabilir.
Bildirim Sürecinde Tutulması Gereken Kayıtlar
İhlalin öğrenilmesinden itibaren Kurula ve ilgili kişilere gecikmeksizin bildirim yapılması gerekir. Bu aşamada sıkça atlanan nokta, bildirimin kendisinin de bir delil olduğudur: ihlalin hangi anda ve hangi kanaldan öğrenildiği, kimin karar verdiği ve hangi teknik tedbirin ne zaman devreye alındığı kayıt altına alınmadığında, sonradan yapılan açıklamalar doğrulanamaz hâle gelir. Olay müdahale kayıtları zaman damgasıyla saklanmalıdır.
İnceleme Öncesi Kontrol Başlıkları
- Veri envanteri ve işleme faaliyetleri kaydı ihlal tarihinden önceki hâliyle mevcut mu?
- Yurt dışında bulunan hizmet sağlayıcıların listesi ve aktarım dayanakları güncel mi?
- İşleyenlerle imzalanan sözleşmelerde güvenlik yükümlülükleri yazılı olarak yer alıyor mu?
- Erişim yetkileri ve log kayıtları ihlal öncesi dönemi de kapsayacak şekilde saklanıyor mu?
- İlgili kişilere yapılan bildirimin içeriği ve gönderim kaydı arşivlendi mi?
Kapanış
Yukarıdaki başlıklar genel bir çerçeve sunar. Veri kategorileri, sektörel düzenlemeler ve aktarımın yapıldığı ülke değiştikçe yükümlülüklerin ağırlığı da değişir; bu nedenle ihlal sonrası adımların kurumunuza özgü biçimde değerlendirilmesinde fayda vardır.