Bir veri ihlali yaşandığında en büyük risk çoğu zaman ihlalin kendisi değil, sonrasındaki bildirim ve belgelendirme sürecinin hatalı yürütülmesidir. KVKK ve 6698 çerçevesinde veri sorumlusunun yükümlülükleri zamana bağlıdır; verilerin yurt dışına aktarıldığı yapılarda ise aktarımın hukuki dayanağının önceden kurulmuş olması gerekir. Bu rehber, ihlal anından denetim yazışmasına uzanan zinciri kontrol edilebilir adımlara ayırır.
İhlalin Fark Edildiği Saat
Veri sorumlusu, ihlali öğrendiğinden itibaren en kısa sürede Kurula bildirimde bulunmakla yükümlüdür; Kurul düzenlemeleri bu süreyi somutlaştırmıştır. Bildirimde ihlalin ne zaman gerçekleştiği, hangi veri kategorilerinin etkilendiği ve muhtemel sonuçların neler olduğu yer alır. İlgili kişilere yapılacak bildirimin de makul en kısa sürede yapılması gerekir; bu iki bildirim birbirinin yerine geçmez.
İhlal Kayıt Defterinde Bulunması Gerekenler
- İhlalin tespit tarihi, saati ve tespit eden birim
- Etkilenen kişi sayısı ve veri kategorilerinin dökümü
- Alınan teknik ve idari tedbirlerin zaman çizelgesi
- Bildirim yapılan merciler ve bildirim tarihleri
- İhlalin tekrarını önlemek için yapılan yapısal değişiklikler
Yurt Dışı Aktarımın Dayanağını Belgelemek
- Aktarımın yapıldığı ülke bakımından yeterlilik kararı bulunup bulunmadığı kontrol edilir.
- Yeterlilik kararı yoksa uygun güvencelerden hangisine dayanıldığı belirlenir.
- Standart sözleşme kullanılıyorsa imza sonrasında Kurula bildirim yükümlülüğü takvimlenir.
- Bağlayıcı şirket kuralları tercih edilmişse onay süreci ayrı bir proje olarak yönetilir.
- Arızi hallere dayanılıyorsa bunun süreklilik taşımadığı belgeyle gösterilir.
İlgili Kişi Başvurularını Yönetmek
Veri sahibi önce veri sorumlusuna başvurmalı, cevap alamaz veya cevabı yetersiz bulursa Kurula şikâyette bulunmalıdır. Veri sorumlusunun cevap için öngörülen süreyi aşması, şikâyet yolunu doğrudan açar. Başvuruların tek bir kanaldan toplanmaması ve cevap tarihlerinin izlenmemesi, denetim yazışmalarında sık rastlanan bir usul zafiyetidir.
Denetime Hazırlık
Kurul yazışmasına verilecek cevabın süresi kaçırıldığında, esasa ilişkin savunma zayıflar. Bu nedenle yazının tebliğ tarihi, cevap son günü ve ek süre talebi ihtimali baştan planlanmalıdır. Aydınlatma metinleri, açık rıza kayıtları ve saklama süreleri tablosunun güncel tutulması, cevabın somut belgelerle desteklenmesini sağlar.
Bu metin genel bilgilendirme amaçlıdır. İşlenen verinin niteliği ve kurumun yapısı yükümlülükleri değiştirdiğinden, ihlal sonrasında uyum sürecinin hukuki destekle yürütülmesi önerilir.