Bir veri ihlali yaşandığında ilk refleks genellikle teknik tarafa yönelir: açık kapatılır, şifreler sıfırlanır, loglar incelenir. Oysa KVKK bakımından belirleyici olan, olayın fark edilmesinden sonraki idari takvimin doğru yönetilmesidir. İhlale konu veriler yurt dışındaki bir sunucuda tutuluyor ya da yurt dışındaki bir hizmet sağlayıcıya aktarılmışsa, tabloya ikinci bir uyum katmanı daha eklenir.
İhlalin Fark Edildiği An Neden Kritik
6698 sayılı Kanun kapsamında veri sorumlusunun bildirim yükümlülüğü, ihlalin öğrenilmesiyle işlemeye başlar. Bu nedenle olayın ne zaman öğrenildiği kayıt altına alınmalı; hangi personelin, hangi uyarıyla, hangi saatte durumu tespit ettiği yazılı hâle getirilmelidir. Bu kayıt yoksa, sonradan yapılan bildirimin geciktiği iddiasına karşı savunma dayanaksız kalır.
Yurt Dışı Aktarımın Ayrı Kontrol Kalemleri
- Aktarımın hangi hukuki zemine dayandığı: ilgili kişinin açık rızası mı, yoksa Kanunda öngörülen diğer aktarım araçlarından biri mi.
- Bulut hizmeti, analitik araç veya müşteri iletişim yazılımı kullanılıyorsa verinin fiilen hangi ülkede işlendiği.
- Yurt dışındaki tarafla imzalanan sözleşmede veri güvenliği ve ihlal bildirimi yükümlülüklerinin bulunup bulunmadığı.
- Alt yüklenici zinciri: hizmet sağlayıcının kendi tedarikçisine aktarım yapıp yapmadığı.
- Aktarımın kayıt altına alındığı envanterin güncel olup olmadığı.
Bildirim Metninde Bulunması Gerekenler
- İhlalin gerçekleştiği ve tespit edildiği zaman aralığı.
- Etkilenen kişi grubu ve yaklaşık sayısı; özel nitelikli veri bulunup bulunmadığı.
- İhlalin olası sonuçları ve ilgili kişiler için doğabilecek riskler.
- Alınan ve alınması planlanan teknik ile idari tedbirler.
- İlgili kişilerin başvurabileceği iletişim kanalı.
İlgili Kişiye Bildirim ile Kamuoyu Açıklaması Aynı Şey Değildir
Etkilenen kişilere yapılacak bildirimin, makul olan en kısa sürede ve doğrudan iletişim kanalıyla yapılması esastır. Yalnızca internet sitesinde yayımlanan bir duyuru, doğrudan iletişim mümkünken yeterli sayılmayabilir. Ayrıca ihlale konu içerik internette yayılmışsa, 5651 sayılı Kanun kapsamındaki erişimin engellenmesi mekanizması ayrı ve paralel bir yol olarak değerlendirilebilir.
Süre Kaybının Doğurduğu İkincil Riskler
Gecikmiş bildirim yalnızca idari yaptırım riski doğurmaz; ilgili kişilerin uğradığı zararın büyümesine yol açtığı için tazminat taleplerinin de zeminini genişletir. Bu nedenle ihlal müdahale planında bildirim adımı, teknik düzeltmenin tamamlanmasına bağlanmamalı; iki iş kolu eş zamanlı yürütülmelidir.
Yukarıdakiler genel çerçeve niteliğindedir. İşlenen verinin türü, aktarımın yapıldığı ülke ve kullanılan hukuki araç yükümlülükleri belirgin biçimde değiştirir; kurumsal süreçlerinizi bu alanda çalışan bir hukukçuyla birlikte gözden geçirmeniz yerinde olur.