Bir veri ihlali yaşandığında ilk gündem genellikle teknik müdahaledir; oysa hukuki riskin büyük bölümü ihlalin ardından atılan usul adımlarında ortaya çıkar. KVKK olarak anılan 6698 sayılı Kanun kapsamındaki yükümlülükler, kayıt tutulmasına ilişkin 5651 sayılı Kanun düzeniyle birlikte değerlendirildiğinde, verinin yurt dışında işlenip işlenmediği sorusu hızla merkeze oturur. Bulut hizmeti kullanan hemen her yapıda bu soru kaçınılmazdır.
İhlal Anında Kurulacak Olay Kaydı
- İhlalin öğrenildiği an ve öğrenilme biçimi
- Etkilenen veri kategorileri ve özel nitelikli veri bulunup bulunmadığı
- Etkilenen kişi gruplarının yaklaşık kapsamı
- İhlalin gerçekleştiği sistem ve bu sistemin fiziki konumu
- Alınan teknik ve idari tedbirler ile uygulanma zamanları
Bu kayıt sonradan hatırlanarak değil, olay sürerken tutulmalıdır. Kurul incelemesinde en çok sorgulanan başlık, alınan tedbirlerin ihlalden önce mi sonra mı yürürlükte olduğudur.
Bildirim Zincirinde Kim Kime Ne Bildirir
Veri işleyen sıfatıyla hizmet veren taraf, ihlali gecikmeksizin veri sorumlusuna bildirir; ilgili kişilere ve Kurul'a yapılacak bildirim ise veri sorumlusunun yükümlülüğüdür. Uygulamada sık görülen hata, tedarikçinin bildirimi yaptığı varsayılarak veri sorumlusunun beklemesidir. Bildirimlerin mevzuatta ve Kurul düzenlemelerinde öngörülen süreler içinde yapılması gerekir; süre geçtikten sonra yapılan bildirim, ihlalin kendisinden ayrı bir aykırılık olarak değerlendirilir.
Yurt Dışı Aktarımın Dayanağını Belgelemek
İhlal incelemesi çoğu kez veri akış haritasının istenmesiyle derinleşir. Bu aşamada verinin hangi ülkedeki hangi sunucuda tutulduğu, aktarımın hangi hukuki dayanağa göre yapıldığı ve aktarım için gerekli belgelerin ihlalden önce hazır olup olmadığı sorulur. Aydınlatma metninde yurt dışı aktarımdan hiç söz edilmemişken uygulamada aktarım yapılıyor olması, tek başına ayrı bir aykırılık başlığı doğurur. Alt yüklenici zincirinde aktarımın nereye kadar uzandığı da kayıt altında olmalıdır.
Başvuru ve Şikayet Sırasını Karıştırmamak
- İlgili kişi, kural olarak önce veri sorumlusuna başvurur; bu adım atlanarak yapılan şikayet usulden reddedilebilir.
- Başvuruya verilen cevabın tarihi ve içeriği kaydedilir; cevapsız kalan başvuru için de süre işler.
- Şikayet dilekçesinde talep, hangi işlemin durdurulması ya da hangi verinin silinmesi istendiği düzeyinde somutlaştırılır.
- Kurul kararlarına karşı yargı yolu ayrı bir usule tabidir ve süresi kaçırıldığında karar kesinleşir.
Yaptırım Riskini Azaltan Belge Düzeni
İhlal sonrası incelemede en çok fark yaratan unsur, kurumun önceden hazırlanmış belge setidir: veri envanteri, saklama ve imha politikası, erişim yetki matrisi, tedarikçi sözleşmelerindeki veri hükümleri ve ihlal müdahale planı. Bu belgelerin ihlalden sonra üretilmiş olması kolayca fark edilir ve iyi niyetli özen iddiasını zayıflatır.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; sektör, veri türü ve kullanılan altyapı yükümlülükleri değiştirir. İhlal şüphesi doğduğu anda teknik müdahaleyle eş zamanlı olarak hukuki değerlendirme başlatmak, sonradan telafisi güç sonuçların önüne geçer.