Bir veri ihlali yalnızca sızan kayıtların sayısıyla değil, o kayıtların nerede tutulduğuyla da değerlendirilir. İhlale konu veriler yurt dışındaki bir sunucuda veya işleyende bulunuyorsa, KVKK ve 6698 sayılı Kanun bakımından yurt dışı aktarım rejiminin ayrıca sorgulanması gerekir. Bu rehber, ihlal anındaki bildirim yükümlülüğü ile aktarımın hukuki dayanağını aynı kontrol listesinde birleştirir.
İlk Saatlerde Ne Yapılır?
Kurul kararları uyarınca veri sorumlusu, ihlali öğrendiğinde makul olan en kısa sürede ve gecikmeksizin Kurula bildirimde bulunur; etkilenen ilgili kişilere de bildirim yapılır. Buradaki en kritik nokta, öğrenme anının belgelenmesidir. Log kayıtlarında ihlalin başlangıç anı ile ekibin farkına vardığı an farklı olabilir; bu iki tarih ayrı ayrı kayda geçirilmezse, bildirim gecikmesi tartışması ileride savunulamaz hâle gelir.
Aktarımın Dayanağını Yeniden Doğrulama
- Verinin hangi ülkeye, hangi hizmet sağlayıcıya ve hangi amaçla aktarıldığı yazılı olarak tespit edilmiş mi?
- Aktarım hangi hukuki zemine dayanıyor: açık rıza mı, kanunda öngörülen uygun güvenceler mi, istisnai hâller mi?
- Yedekleme, çağrı merkezi, analitik ve bulut hizmetleri gibi dolaylı aktarımlar envantere işlenmiş mi?
- İşleyen ile yapılan sözleşmede güvenlik yükümlülükleri ve ihlal bildirimi maddesi yer alıyor mu?
- Aydınlatma metinlerinde aktarım gerçeğe uygun biçimde açıklanmış mı?
İhlal incelemesi çoğunlukla bu belgelerden başlar; envanteri ihlalden sonra oluşturmaya çalışmak hem zaman kaybettirir hem de kayıtların sonradan üretildiği izlenimi doğurur.
İlgili Kişi Başvurusu ve Şikâyet Zinciri
Verisi sızan kişi önce veri sorumlusuna başvurur. Kanun, veri sorumlusuna cevap için bir süre tanır; bu süre içinde cevap verilmemesi ya da cevabın yetersiz bulunması hâlinde Kurula şikâyet yolu açılır. Şikâyet için de cevabın öğrenilmesine ve başvuru tarihine bağlanan süreler öngörülmüştür. Bu zincirde en sık yapılan hata, veri sorumlusuna hiç başvurmadan doğrudan şikâyete geçilmesidir; bu durumda şikâyet usulden değerlendirme dışı kalabilir.
Tazminat Tarafını Ayrı Yürütmek
Kurula yapılan şikâyet ile uğranılan zararın giderilmesi farklı yollardır. İhlal nedeniyle zarara uğrayan kişinin genel hükümlere göre tazminat talep etme hakkı saklıdır ve bu talebin kendi süresi işler. Kurul incelemesinin sonuçlanmasını beklemek, tazminat tarafında süre bakımından güvenli bir strateji değildir.
Bu içerik yol gösterici bir çerçeve sunar; veri kategorileri, aktarım modeli ve sektörel düzenlemeler yükümlülüğün kapsamını değiştirebilir. Kurumsal bir ihlal yönetiminde hukuki ve teknik değerlendirmenin birlikte yürütülmesi gerekir.