Bir veri ihlali yaşandığında ilk incelenen başlıklardan biri, etkilenen kişisel verilerin nerede tutulduğu ve yurt dışına aktarılıp aktarılmadığıdır. Aktarımın hukuki dayanağı gösterilemediğinde, ihlalin kendisinden bağımsız ikinci bir uyumsuzluk tartışması doğar. Bu rehber 6698 sayılı KVKK ve 5651 sayılı kanun çerçevesinde yurt dışı aktarım boyutunu ele alır ve bildirim gecikmesinin yarattığı riski öne çıkarır.
İhlalin İlk Saatlerinde Sorulacak Soru
Teknik ekip sızıntıyı kapatmaya çalışırken hukuk tarafında sorulması gereken soru şudur: etkilenen veri tabanı nerede barındırılıyor ve hangi üçüncü taraf hizmetlerle paylaşılıyor. Bulut hizmeti, analiz aracı, müşteri destek yazılımı ve pazarlama platformları çoğu zaman veri akışının görünmeyen halkalarıdır. Bu envanter ihlal anında çıkarılmaya çalışıldığında geç kalınır; önceden hazır olmalıdır.
Aktarımın Dayanağını Belgelemek
Yurt dışına aktarımda mesele verinin gitmiş olması değil, hangi hukuki zemine dayandığının gösterilebilmesidir. Aktarım yapılan her hizmet sağlayıcı için sözleşmesel çerçeve, veri işleme şartları ve ilgili kişinin bilgilendirilip bilgilendirilmediği ayrı ayrı kayıt altında olmalıdır. Aydınlatma metninde aktarımdan hiç söz edilmemişse, ihlal incelemesinde bu eksiklik ayrıca değerlendirilir.
Bildirim Zincirinde Gecikme
Veri ihlalinde bildirim yükümlülüğü hem denetim otoritesine hem de etkilenen ilgili kişilere yöneliktir. Bu bildirimin geciktiği durumlarda tablo ağırlaşır. Ayrıca kuruma yapılan yazışmaların ve gelen tebligatların kurumsal elektronik tebligat adresinden takip edilmemesi, cevap verme süresinin kaçırılmasına yol açar. Şirket içinde bu adresi kimin izleyeceği yazılı olarak belirlenmelidir.
İhlal Sonrası Kontrol Listesi
- Etkilenen veri kategorilerinin ve kişi sayısının tespiti
- Verinin barındırıldığı sunucu konumları ve aktarım yapılan ülkeler
- Her aktarım için dayanak belge ve sözleşmelerin toplanması
- Aydınlatma metni ve varsa açık rıza kayıtlarının güncelliği
- Erişim kayıtlarının değiştirilmeden muhafaza altına alınması
İlgili Kişi Başvuruları Gelmeye Başladığında
İhlal duyurulduktan sonra ilgili kişilerden gelen başvurular hızla artar. Bu başvurulara verilecek yanıtların tutarlı olması, ileride açılacak dosyalarda kurumun savunmasını doğrudan etkiler. Farklı kişilere farklı içerikte cevap verilmesi, en sık karşılaşılan ve en zor telafi edilen hatadır.
Bu yazı genel bilgilendirme amacı taşır. Veri akışının yapısı ve hizmet sağlayıcı sözleşmeleri her kurumda farklı olduğundan, ihlal sonrası adımların hukuki destekle planlanması yerinde olacaktır.