Bir veri ihlalinin ardından veri sorumlusunun karşılaştığı tablo tek katmanlı değildir: bildirim yükümlülüğü, idari yaptırım riski ve ilgili kişilerin tazminat talepleri aynı anda gündeme gelir. Aktarımın yurt dışına yapıldığı yapılarda tablo bir kat daha karmaşıklaşır. KVKK ve 6698 ile 5651'in birlikte okunması gereken bu alanda karar noktası, Kurul sürecini yönetmekle yargı yoluna gitmek arasındaki dengedir.
İhlal Anında Kurulacak Zaman Çizelgesi
İhlalin öğrenildiği an, bildirim yükümlülüğünün başlangıcıdır ve bu anın nasıl belgelendiği sonraki tüm tartışmayı etkiler. Sistem loglarının, olay müdahale ekibinin ilk raporunun ve yönetime bilgi verilme saatinin tek bir kronolojide toplanması gerekir. Kurula yapılacak bildirimin gecikmesi hâlinde gerekçenin de aynı dosyada hazır olması beklenir.
Yurt Dışı Aktarımın Hukuki Temelini Belgelemek
- Aktarımın hangi hukuki mekanizmaya dayandığı: açık rıza, yeterlilik kararı, standart sözleşme ya da bağlayıcı şirket kuralları
- Bulut hizmet sağlayıcısının sunucu konumu ve alt işleyici zinciri
- Veri işleyenle imzalanan sözleşmede güvenlik yükümlülüklerinin yazılı olup olmadığı
- Aktarılan veri kategorileri ve özel nitelikli veri bulunup bulunmadığı
- Kurula yapılması gereken bildirim ve belgelendirmelerin tamamlanma durumu
İdari Süreç ile Dava Yolunu Ayırmak
Kurul tarafından verilen idari para cezasına karşı başvurulacak yol ile ilgili kişinin açacağı tazminat davası birbirinden bağımsız işler. İdari yaptırıma karşı yapılacak itirazın süresi kısadır ve kaçırılması cezayı kesinleştirir. Buna karşılık ilgili kişilerin zarar iddiaları genel sorumluluk hükümlerine göre değerlendirilir. Veri sorumlusu açısından mantıklı sıralama, önce teknik ve idari tedbirlerin belgelendiği bir savunma dosyası kurmak, ardından bireysel taleplerde uzlaşma seçeneğini değerlendirmektir.
İlgili Kişi Başvurusu Geldiğinde
- Başvurunun kanunda öngörülen usule uygun yapılıp yapılmadığını kontrol edin.
- Yanıt süresini takvime işleyin; sessiz kalmanın Kurula şikâyet yolunu açtığını unutmayın.
- Talebin silme, anonim hâle getirme veya aktarımın durdurulmasına ilişkin olup olmadığını ayırın.
- Yanıt metninde ihlalin kapsamını gerçeğe uygun ancak gereksiz ayrıntıya girmeden açıklayın.
- Aynı ihlalden etkilenen kişilere verilen yanıtların tutarlı olmasını sağlayın.
Veri işleme faaliyetinin niteliği ve kullanılan altyapı her kurumda farklı olduğundan, buradaki başlıklar genel bir çerçevedir. Bildirim metinleri ve yanıtlar sonraki aşamalarda delil olarak değerlendirileceğinden, gönderilmeden önce hukuki gözden geçirmeden geçirilmesi önerilir.